Web3 Hacker 2022 Yılı İlk Yarısında Yaygın Kullanılan Saldırı Yöntemleri Analizi

2022 yılının ilk yarısında, Web3 alanında güvenlik durumu ciddi şekilde kötüleşti. Veriler, akıllı sözleşme açıkları nedeniyle meydana gelen ana saldırı olaylarının toplamda 42 olduğunu ve toplam kaybın 644 milyon dolara kadar ulaştığını gösteriyor. Bu saldırıların yarısından fazlasında, sözleşme açıklarının kullanımı %53'e ulaştı.

Yaygın Saldırı Yöntemleri

Analizler, hackerların en sık kullandığı açık türlerinin şunlar olduğunu göstermektedir:

1. Mantık veya fonksiyon tasarımı hatalı
2. Doğrulama Sorusu
3. Yeniden Giriş Açığı

Önemli Kayıp Vaka

Wormhole olayı

3 Şubat 2022'de, Solana çapraz zincir köprü projesi Wormhole saldırıya uğradı ve yaklaşık 326 milyon dolar kaybedildi. Hacker, sözleşmedeki imza doğrulama açığını kullanarak, hesapları sahte bir şekilde wETH basmak için başarılı oldu.

Fei Protocol olayı

30 Nisan 2022'de, Fei Protocol'e bağlı Rari Fuse Pool, flash kredi ve yeniden giriş saldırısına uğrayarak 80,34 milyon dolar kayba neden oldu. Bu olay, projenin 20 Ağustos'ta kapanacağını açıklamasına yol açtı.

Saldırgan, saldırıyı aşağıdaki adımlarla gerçekleştirir:

1. Balancer'dan anlık kredi alın
2. Rari Capital'ın cEther sözleşmesindeki reentrancy açığını kullanma
3. Etkilenen havuzdaki tüm tokenleri geri çağırma fonksiyonu ile çıkarın.
4. Flash kredisini geri ödeyin ve kazançları aktarın

Denetimlerde Yaygın Açıklar

Akıllı sözleşme denetimi sürecinde en yaygın hata türleri şunlardır:

1. ERC721/ERC1155 yeniden giriş saldırısı
2. Mantık açığı ( özel durum dikkate alınmamış, işlev tasarımı eksik )
3. Kimlik doğrulama eksik
4. Fiyat Manipülasyonu

Açık Önleme

Gerçekten kullanılan açıkların çoğu denetim aşamasında tespit edilebilir. Sözleşme geliştiricileri şuna dikkat etmelidir:

• Kontrol - Geçerlilik - Etkileşim moduna sıkı bir şekilde uyulmalıdır
• Özel senaryo işleme geliştirilmesi
• Yetki yönetimini güçlendirin
• Güvenilir fiyat oracle'larını kullanın

Profesyonel akıllı sözleşme biçimsel doğrulama platformu ve güvenlik uzmanlarının manuel incelemesi sayesinde, potansiyel riskler etkili bir şekilde tanımlanabilir ve zamanında düzeltici önlemler alınarak sözleşme güvenliği artırılabilir.