Аналіз поширених методів атак у сфері Web3 за першу половину 2022 року

У першій половині 2022 року сфера безпеки Web3 стикнулася з серйозними викликами. Дані показують, що лише через вразливості контрактів сталося 42 основних атаки, загальні збитки склали 644 мільйони доларів. У цих атаках логічні або функціональні дефекти дизайну були найбільш часто використовуваними вразливостями хакерами, за ними йдуть проблеми з валідацією та вразливості повторного входу.

Випадки значних втрат

3 лютого певний міжланцюговий міст зазнав атаки, внаслідок якої було втрачено приблизно 326 мільйонів доларів. Хакери використали вразливість перевірки підпису в контракті, успішно підробивши обліковий запис для випуску токенів.

30 квітня певний кредитний протокол зазнав атаки з використанням флеш-кредиту, що призвело до збитків у 80,34 мільйона доларів. Ця атака завдала проекту смертельного удару, в результаті чого проект закрився.

Зловмисник реалізує атаку через такі кроки:

1. Взяти миттєвий кредит з певного пулу ліквідності
2. Використання cEther на платформі кредитування для реалізації вразливості повторного входу в контракти
3. Витягти всі токени з ураженого пулу через атаку на контракт
4. Повернення кредиту на блискавки, переказ отриманих внаслідок атаки

Загальні типи вразливостей

У процесі аудиту смарт-контрактів найпоширеніші вразливості можна поділити на чотири основні категорії:

1. Реінвазійна атака ERC721/ERC1155: пов'язана з шкідливим кодом у функціях сповіщення про передачу токенів.

2. Логічна уразливість:
   • Недостатньо враховано особливі ситуації, такі як самостійний переказ, що призводить до створення чогось з нічого
   • Дизайн функцій недосконалий, наприклад, відсутні механізми вилучення або розрахунку

3. Відсутність автентифікації: ключові функції не мають контролю доступу

4. Маніпуляція цінами:
   • Не використана часова зважена середня ціна
   • Використання пропорції залишку токенів у контракті як ціни

Запобігання вразливостям

Практично всі виявлені під час аудиту вразливості були використані хакерами в реальних сценаріях. Серед них логічні вразливості контракту залишаються основними точками атаки. Завдяки професійним платформам формальної верифікації та ручному огляду експертів з безпеки, більшість цих вразливостей можна виявити на етапі аудиту.

Для підвищення безпеки проектів Web3 рекомендується командам розробників:

1. Провести всебічний аудит безпеки контракту
2. Уважно ставитися до тестування в спеціальних сценаріях
3. Запровадження суворого управління доступом
4. Використання надійних цінових оракулів
5. Дотримуйтесь дизайну "Перевірка - Дія - Взаємодія"

З огляду на постійний розвиток атакуючих методів, безперервна обізнаність щодо безпеки та оновлення заходів захисту є вкрай важливими для здорового розвитку екосистеми Web3.