Аналіз методів атаки веб3: поширені вразливості та стратегії захисту у першій половині 2022 року

Нещодавно опублікований звіт з дослідження безпеки Web3 детально проаналізував загальну ситуацію у сфері безпеки блокчейну за першу половину 2022 року. У цій статті буде зосереджено увагу на поширених способах атак, які використовують хакери в цей період, а також обговорено типи вразливостей, що виникають часто, та їхні засоби запобігання.

Втрата через вразливості, що сталися в першій половині року

Згідно з даними певної платформи моніторингу безпеки блокчейну, у першій половині 2022 року сталося 42 випадки атак на основні контракти, які призвели до загальних збитків у 644 мільйони доларів. Серед усіх експлуатованих вразливостей найбільш поширеними були логічні або функціональні дефекти проєктування, за ними слідували проблеми верифікації та повторні вразливості. Ці атаки становлять близько 53% від усіх атак, що сталися в той же період.

Типові випадки вразливостей, що завдають значних збитків

3 лютого певний міжланцюговий міст зазнав атаки, внаслідок чого було втрачено близько 3,26 мільярда доларів. Хакер скористався вразливістю перевірки підпису в контракті, підробивши облікові записи, щоб випустити велику кількість токенів.

30 квітня певний кредитний протокол зазнав атаки шляхом поєднання миттєвих кредитів і повторного входу, в результаті чого було втрачено 80,34 мільйона доларів. Ця атака завдала серйозного удару по проєкту, що зрештою призвело до оголошення про закриття в серпні.

В якості прикладу вище зазначеного кредитного договору, зловмисник в основному скористався такими кроками:

1. Взяти флеш-кредит з децентралізованої біржі
2. Використання вразливості повторного входу в контракті платформи кредитування для багаторазового позичання
3. В кінці витягніть всі токени з постраждалого пулу коштів.
4. Повернення блискавичного кредиту та передача отриманого від атаки

Високочастотні вразливості в процесі аудиту

Найбільш поширені вразливості в аудиті смарт-контрактів зазвичай діляться на чотири категорії:

1. Ризики атаки повторного входу в реалізації стандартів ERC721/ERC1155
2. Недоліки в проектуванні логіки контракту, такі як недостатній розгляд спеціальних ситуацій, неповна функціональність тощо
3. Важливі функції не мають контролю доступу
4. Ризик маніпуляцій цінами, наприклад, через неналежне використання оракулів тощо

Високочастотні вразливості та рівень виявлення аудиту в реальних атаках

Згідно зі статистикою безпекових інцидентів, типи вразливостей, виявлені під час аудиту, значною мірою збігаються з вразливостями, які насправді були використані хакерами, при цьому вразливості логіки контракту залишаються основними точками атаки.

Варто зазначити, що за допомогою професійних платформ формальної верифікації в поєднанні з ручною перевіркою експертів з безпеки, більшість вищезгаданих вразливостей можуть бути виявлені на етапі аудиту. Експерти з безпеки також можуть надати рекомендації щодо виправлення виявлених проблем, допомагаючи проектній стороні знизити ризики безпеки.

Отже, незважаючи на те, що ситуація з безпекою в сфері Web3 залишається напруженою, завдяки постійному вдосконаленню процесів аудиту безпеки та виправлення вразливостей, проєктні команди все ще мають можливість суттєво підвищити рівень своєї безпекової захисту. У швидко розвиваючому світі блокчейну безпека завжди є вічною темою, до якої потрібно ставитися з високою увагою.