Аналіз методів атак веб3: поширені способи атак та стратегії захисту в першій половині 2022 року

У першій половині 2022 року ситуація з безпекою у сфері Web3 не була оптимістичною. Дані показують, що лише через вразливості смарт-контрактів було завдано збитків приблизно на 644 мільйони доларів, що стосується 42 основних атак. У цих атаках логічні або функціональні недоліки, проблеми з валідацією та вразливості повторного входу є найбільш поширеними слабкостями, які використовують хакери.

Аналіз випадків значних втрат

1. Крос-чейн міст Wormhole на Solana зазнав атаки: у лютому 2022 року хакер використав уразливість у перевірці підписів, успішно підробивши обліковий запис для випуску wETH, що призвело до втрат приблизно в 3,26 мільярда доларів.

2. Пул Rari Fuse під управлінням Fei Protocol було атаковано: у квітні 2022 року хакер за допомогою флеш-кредитів у поєднанні з атакою повторного входу викрав активи на суму 80,34 мільйона доларів США. Цей удар мав величезний вплив на проект, внаслідок чого Fei Protocol у серпні оголосив про закриття.

Деталі атаки на Fei Protocol:

• Атакуючий спочатку отримує миттєвий кредит з Balancer: Vault.
• Використовуючи позичені кошти для заставного кредитування в Rari Capital, одночасно використовуючи вразливість повторного входу в контракті cEther.
• Завдяки ретельно спроектованій функції атаки, повторно викликається вилучення всіх токенів з пулу.
• Нарешті поверніть блискавичний кредит, перемістивши прибуток до зазначеного контракту.

Ця атака була зосереджена на використанні вразливості повторного входу в контракті cEther, реалізованому Rari Capital, що зрештою призвело до крадіжки понад 28380 ETH (близько 8034 мільйонів доларів).

Типи вразливостей, які часто зустрічаються під час аудиту

1. Атака повторного входу ERC721/ERC1155: Під час використання функцій _safeMint(), _safeTransfer() та інших, якщо в зворотному виклику контракту одержувача міститься шкідливий код, це може призвести до атаки повторного входу.

2. Логічна вразливість:

   • Недостатній розгляд особливих ситуацій, таких як внутрішні перекази, що призводять до неочікуваного збільшення активів.
   • Дизайн функцій недосконалий, наприклад, відсутні механізми виведення або ліквідації.

3. Відсутність контролю доступу: Ключові операції (такі як випуск монет, налаштування ролей, коригування параметрів) не мають належного контролю доступу.

4. Ризик маніпуляції цінами:

   • Не використовується система ораклів з часово зваженою середньою ціною.
   • Пряме використання пропорції активів у контракті як цінового орієнтира може бути легко маніпульоване.

Використання вразливостей у реальних атаках

Статистика показує, що різноманітні уразливості, виявлені під час аудиту, практично завжди використовувалися хакерами в реальному середовищі, при цьому логічні уразливості контрактів залишаються основною мішенню для атак.

Варто зазначити, що за допомогою професійних платформ формальної верифікації смарт-контрактів та ручного аудиту безпекових експертів, більшість цих вразливостей можуть бути виявлені на етапі розробки. Безпекові експерти також можуть надати рекомендації щодо виправлення залежно від конкретних обставин, допомагаючи командами проектів підвищити безпеку контрактів.

Рекомендації щодо запобігання

1. Покращення аудиту коду: регулярно проводити всебічний аудит безпеки, особливо звертаючи увагу на логічний дизайн та обробку спеціальних сценаріїв.

2. Реалізуйте строгий контроль доступу: налаштуйте механізми захисту, такі як мультипідпис або таймлок для ключових функцій.

3. Оптимізація цінових оракулів: використання децентралізованих оракулів та середньозваженої ціни з урахуванням часу для зниження ризику маніпуляцій з цінами.

4. Дотримуйтесь практик безпечного кодування: суворо дотримуйтесь моделі "Перевірка-Застосування-Взаємодія", щоб запобігти атакам повторного входу.

5. Постійний моніторинг: впровадження системи моніторингу в режимі реального часу для своєчасного виявлення та реагування на аномальні дії.

Завдяки вжиттю цих заходів, проекти Web3 можуть суттєво підвищити свою безпеку, зменшуючи ризик стати об'єктом хакерських атак. З розвитком технологій підтримувати пильність та постійно оновлювати стратегії безпеки буде ключовим для забезпечення стабільної роботи проекту в довгостроковій перспективі.