Phân tích các phương pháp tấn công thường dùng của Hacker Web3 nửa đầu năm 2022

Trong nửa đầu năm 2022, tình hình an ninh trong lĩnh vực Web3 rất nghiêm trọng. Dữ liệu cho thấy, có tổng cộng 42 sự kiện tấn công lớn do lỗ hổng hợp đồng thông minh, gây ra tổng thiệt hại lên tới 644 triệu USD. Trong số những cuộc tấn công này, tỷ lệ khai thác lỗ hổng hợp đồng chiếm hơn một nửa, đạt 53%.

Các phương pháp tấn công phổ biến

Phân tích cho thấy, các loại lỗ hổng mà Hacker thường khai thác bao gồm:

1. Thiết kế hàm logic hoặc không phù hợp
2. Câu hỏi xác minh
3. Lỗ hổng tái nhập

Trường hợp tổn thất lớn

Sự kiện Wormhole

Vào ngày 3 tháng 2 năm 2022, dự án cầu liên chuỗi Solana Wormhole đã bị tấn công, thiệt hại khoảng 326 triệu USD. Hacker đã tận dụng lỗ hổng xác minh chữ ký trong hợp đồng, thành công giả mạo tài khoản để đúc wETH.

Sự kiện Fei Protocol

Vào ngày 30 tháng 4 năm 2022, Rari Fuse Pool thuộc Fei Protocol đã chịu một cuộc tấn công kết hợp vay mượn chớp nhoáng và tái nhập, gây thiệt hại 80,34 triệu USD. Sự kiện này cuối cùng đã dẫn đến việc dự án thông báo đóng cửa vào ngày 20 tháng 8.

Kẻ tấn công thực hiện cuộc tấn công qua các bước sau:

1. Lấy khoản vay chớp nhoáng từ Balancer
2. Lợi dụng lỗ hổng tái nhập của hợp đồng cEther của Rari Capital
3. Thông qua hàm callback để trích xuất tất cả các token trong pool bị ảnh hưởng
4. Hoàn trả khoản vay chớp nhoáng và chuyển nhượng lợi nhuận

Lỗ hổng thường gặp trong kiểm toán

Trong quá trình kiểm tra hợp đồng thông minh, các loại lỗ hổng phổ biến nhất bao gồm:

1. Tấn công tái nhập ERC721/ERC1155
2. Lỗ hổng logic ( xem xét không đủ các tình huống đặc biệt, thiết kế chức năng không hoàn thiện )
3. Thiếu xác thực
4. Kiểm soát giá

Phòng ngừa lỗ hổng

Hầu hết các lỗ hổng thực tế được khai thác đều có thể được phát hiện trong giai đoạn kiểm toán. Các nhà phát triển hợp đồng nên chú trọng:

• Tuân thủ nghiêm ngặt chế độ kiểm tra - có hiệu lực - tương tác
• Hoàn thiện xử lý tình huống đặc biệt
• Tăng cường quản lý quyền
• Sử dụng oracle giá cả đáng tin cậy

Thông qua nền tảng xác thực hợp đồng thông minh chuyên nghiệp và việc đánh giá thủ công của các chuyên gia an ninh, có thể nhận diện hiệu quả các rủi ro tiềm ẩn và kịp thời thực hiện các biện pháp khắc phục, nâng cao độ an toàn của hợp đồng.