تحليل أساليب الهجوم الشائعة للهاكر في النصف الأول من عام 2022 في Web3

في النصف الأول من عام 2022، كانت الحالة الأمنية في مجال Web3 خطيرة. تظهر البيانات أنه كانت هناك 42 حادثة هجوم رئيسية نتيجة لثغرات في العقود الذكية، مما أدى إلى خسائر إجمالية تصل إلى 644 مليون دولار. من بين هذه الهجمات، شكلت استغلال ثغرات العقود أكثر من نصف الهجمات، حيث وصلت النسبة إلى 53٪.

تقنيات الهجوم الشائعة

تحليل يشير إلى أن أكثر أنواع الثغرات التي يستغلها هاكر هي:

1. تصميم دالة المنطق أو غير صحيح
2. سؤال التحقق
3. ثغرة إعادة الإدخال

حالات الخسائر الكبيرة

حادثة الثقب الدودي

في 3 فبراير 2022، تعرض مشروع جسر سولانا المتقاطع Wormhole للاختراق، مما أدى إلى خسارة حوالي 3.26 مليار دولار. استغل هاكر ثغرة في التحقق من التوقيع في العقد، ونجح في تزوير حساب لصك wETH.

حدث بروتوكول في

في 30 أبريل 2022، تعرضت مجموعة Rari Fuse التابعة لبروتوكول Fei لهجوم اقتراض سريع يجمع بين هجوم إعادة الإدخال، مما أسفر عن خسارة قدرها 80.34 مليون دولار. أدى هذا الحدث في النهاية إلى إعلان المشروع عن إغلاقه في 20 أغسطس.

المهاجمون ينفذون الهجوم من خلال الخطوات التالية:

1. احصل على قرض فوري من Balancer
2. استغلال ثغرة إعادة الدخول لعقد cEther من Rari Capital
3. استخلاص جميع الرموز المتأثرة في المجموعة من خلال دالة الاستدعاء
4. سداد قرض الفلاش وتحويل الأرباح

الثغرات الشائعة في التدقيق

أكثر أنواع الثغرات شيوعًا في عملية تدقيق العقود الذكية تشمل:

1. هجوم إعادة الدخول ERC721/ERC1155
2. ثغرة منطقية ( عدم كفاية الاعتبار في السيناريوهات الخاصة، تصميم غير مكتمل للوظائف )
3. غياب التوثيق
4. التحكم في الأسعار

الوقاية من الثغرات

يمكن اكتشاف معظم الثغرات التي تم استغلالها بالفعل في مرحلة التدقيق. يجب على مطوري العقود الانتباه إلى:

• الالتزام الصارم بنموذج الفحص - السريان - التفاعل
• تحسين معالجة المشاهد الخاصة
• تعزيز إدارة الصلاحيات
• استخدم أوراكل أسعار موثوقة

من خلال منصة التحقق من العقود الذكية المحترفة والمراجعة اليدوية من قبل خبراء الأمن، يمكن تحديد المخاطر المحتملة بفعالية واتخاذ إجراءات إصلاح في الوقت المناسب، مما يزيد من أمان العقد.