Análise das técnicas de ataque comuns dos Hackers Web3 no primeiro semestre de 2022

No primeiro semestre de 2022, a situação de segurança no campo do Web3 foi severa. Dados mostram que houve um total de 42 eventos de ataque principais devido a vulnerabilidades em contratos inteligentes, resultando em perdas totais de até 644 milhões de dólares. Desses ataques, a exploração de vulnerabilidades de contratos representou mais da metade, atingindo 53%.

Métodos de ataque comuns

Análise indica que os tipos de vulnerabilidades mais frequentemente explorados pelos Hackers incluem:

1. Design de função lógica inadequado
2. Pergunta de verificação
3. Vulnerabilidade de Reentrada

Casos de grandes perdas

Evento Wormhole

No dia 3 de fevereiro de 2022, o projeto de ponte cross-chain da Solana, Wormhole, foi atacado, resultando em uma perda de cerca de 326 milhões de dólares. O hacker explorou uma vulnerabilidade na verificação de assinatura do contrato, conseguindo falsificar contas para cunhar wETH.

Evento Fei Protocol

No dia 30 de abril de 2022, o Rari Fuse Pool da Fei Protocol sofreu um ataque de empréstimo relâmpago combinado com um ataque de reentrada, resultando em uma perda de 80,34 milhões de dólares. Este evento levou, em última análise, ao anúncio do encerramento do projeto em 20 de agosto.

Os atacantes implementam o ataque através dos seguintes passos:

1. Obter um empréstimo relâmpago do Balancer
2. Aproveitar a vulnerabilidade de reentrada do contrato cEther da Rari Capital
3. Extrair todos os tokens do pool afetado através de uma função de callback
4. Devolver o empréstimo relâmpago e transferir os lucros

Vulnerabilidades Comuns em Auditoria

Durante o processo de auditoria de contratos inteligentes, os tipos de vulnerabilidades mais comuns incluem:

1. Ataque de reentrada ERC721/ERC1155
2. Falha lógica ( consideração insuficiente em cenários especiais, design de funcionalidade incompleto )
3. Falta de autenticação
4. Manipulação de Preços

Prevenção de Vulnerabilidades

A maioria das vulnerabilidades realmente exploradas podem ser detectadas na fase de auditoria. Os desenvolvedores de contratos devem se concentrar em:

• Seguir rigorosamente o modo de verificação-eficácia-interação
• Melhorar o tratamento de cenários especiais
• Reforçar a gestão de permissões
• Utilize oráculos de preços confiáveis

Através de uma plataforma de verificação formal de contratos inteligentes profissional e da revisão manual por especialistas em segurança, é possível identificar eficazmente riscos potenciais e tomar medidas corretivas a tempo, aumentando a segurança dos contratos.