2022年上半期のWeb3ハッカーの一般的な攻撃手法の分析

2022年上半期、Web3分野では多くの重大なハッカー攻撃事件が発生し、巨額の損失をもたらしました。本記事では、この期間にハッカーがよく使用した攻撃手法について深く分析し、業界に安全防止の参考を提供することを目指します。

エクスプロイトの概要

あるブロックチェーンセキュリティ監視プラットフォームのデータによると、2022年上半期に合計42件の主要な契約脆弱性攻撃事件が発生し、総損失は6.44億ドルに達しました。利用された脆弱性の中で、ロジックや関数の設計ミス、検証の問題、再入脆弱性はハッカーが最も頻繁に利用する3つの脆弱性タイプです。

! 「匿名」ルーチンの解体:2022年前半のWeb3ハッカーの一般的な攻撃方法は何ですか?

典型的なケース分析

Wormholeクロスチェーンブリッジが攻撃を受けました

2022年2月3日、あるクロスチェーンブリッジプロジェクトが攻撃を受け、約3.26億ドルの損失を被りました。ハッカーは契約内の署名検証の脆弱性を利用し、システムアカウントを偽造して偽のトークンを鋳造しました。

! 「匿名」ルーチンの解体:2022年前半のWeb3ハッカーの一般的な攻撃方法は何ですか?

Fei Protocolが攻撃されました

2022年4月30日、ある貸付協定がフラッシュローンによる再入攻撃を受け、8034万ドルの損失を被りました。この攻撃はプロジェクトに致命的な打撃を与え、最終的にプロジェクトは8月20日に閉鎖を発表しました。

攻撃者は主にプロトコルのcEtherを利用して、契約の再入可能性の脆弱性を実現しました。攻撃の流れは以下の通りです：

1. あるアグリゲータープロトコルからフラッシュローンを取得する
2. 借りた資金を利用してターゲットプロトコルで担保貸付を行う
3. 構築されたコールバック関数を通じて、影響を受けたプールからトークンを繰り返し抽出する
4. フラッシュローンを返済し、利益を移転する

! 「匿名」ルーチンの解体:2022年前半のWeb3ハッカーの一般的な攻撃方法は何ですか?

! 「匿名」ルーチンの解体:2022年前半のWeb3ハッカーの一般的な攻撃方法は何ですか?

よくある脆弱性の種類

スマートコントラクトの監査プロセスで最も一般的な脆弱性は、主に以下のいくつかのカテゴリに分けられます：

1. ERC721/ERC1155の再入攻撃：特定の関数設計が不適切なため、再入リスクが発生する可能性があります。

! 「匿名」ルーチンの解体:2022年前半のWeb3ハッカーの一般的な攻撃方法は何ですか?

2. ロジックの欠陥：特殊なシナリオの考慮不足や機能設計の不備などの問題を含む。

! 「匿名」ルーチンの解体:2022年前半のWeb3ハッカーの一般的な攻撃方法は何ですか?

3. 権限管理の欠陥：重要な機能に適切な権限管理が設定されていない。

! 「匿名」ルーチンの解体:2022年前半のWeb3ハッカーの一般的な攻撃方法は何ですか?

4. 価格操作：オラクルの誤用または価格計算ロジックに欠陥がある。

! 「匿名」ルーチンの解体:2022年前半のWeb3ハッカーの一般的な攻撃方法は何ですか?

脆弱性防止の推奨事項

1. "チェック-有効-インタラクション"のデザインパターンを厳守する。

2. 様々な境界条件や特殊なシーンを総合的に考慮する。

3. 重要な機能に対して厳格な権限管理を実施する。

4. 信頼できるオラクルや時間加重平均価格などのメカニズムを使用する。

5. 包括自動化検出と専門家による手動審査を含む、包括的なスマートコントラクトのセキュリティ監査を実施します。

上記の措置を講じることで、ほとんどの一般的な脆弱性はプロジェクトのローンチ前に発見され修正され、ハッカー攻撃を受けるリスクを大幅に低減できます。