Аналіз поширених атак хакерів Web3 у першій половині 2022 року

У першій половині 2022 року ситуація з безпекою в сфері Web3 була серйозною. Дані показують, що через вразливості в смарт-контрактах сталося 42 основних атаки, загальні збитки сягнули 644 мільйонів доларів. У цих атаках використання вразливостей контрактів становило понад половину, досягнувши 53%.

Поширені методи атак

Аналіз показує, що найбільш поширеними типами вразливостей, які використовують хакери, є:

1. Неправильне проектування логічних або функціональних елементів
2. Перевірка питання
3. Вразливість повторного входу

Важкі випадки збитків

Подія Wormhole

3 лютого 2022 року проект міжмережевого мосту Solana Wormhole зазнав атаки, в результаті якої було втрачено близько 326 мільйонів доларів. Хакер скористався вразливістю перевірки підписів у контракті, успішно підробивши обліковий запис для випуску wETH.

Подія ### Fei Protocol

30 квітня 2022 року пул Rari Fuse, що належить Fei Protocol, зазнав атаки з використанням швидкого кредиту в поєднанні з атакою повторного входу, що призвело до збитків у розмірі 80,34 мільйона доларів. Ця подія зрештою призвела до оголошення про закриття проєкту 20 серпня.

Зловмисник реалізує атаку наступними кроками:

1. Отримати闪电贷 від Balancer
2. Використання вразливості повторного входу в контракті cEther від Rari Capital
3. Витягти всі токени з постраждалого пулу за допомогою функції зворотного виклику
4. Повернення блискавичного кредиту та переведення прибутку

Поширені вразливості під час аудиту

У процесі аудиту смарт-контрактів найпоширенішими типами вразливостей є:

1. Атака повторного входу ERC721/ERC1155
2. Логічна помилка ( недостатній розгляд спеціальних випадків, незавершений дизайн функцій )
3. Відсутність автентифікації
4. Маніпуляція цінами

Запобігання вразливостям

Більшість вразливостей, які насправді використовуються, можуть бути виявлені на етапі аудиту. Розробники контрактів повинні звертати увагу на:

• Строго дотримуватись перевірки-дії-інтерактивного режиму
• Поліпшення обробки спеціальних сцен
• Посилити управління правами
• Використовуйте надійні цінові оракули

Завдяки професійній платформі формалізованої верифікації смарт-контрактів та ручному аудиті від експертів з безпеки, можна ефективно виявляти потенційні ризики та своєчасно вживати заходів для їх усунення, підвищуючи безпеку контракту.