Análise das técnicas de ataque comuns de Web3 Hacker no primeiro semestre de 2022

No primeiro semestre de 2022, o setor Web3 sofreu várias grandes ataques de hackers, resultando em enormes perdas. Este artigo irá analisar em profundidade os métodos de ataque frequentemente utilizados pelos hackers durante esse período, com o objetivo de fornecer referências de segurança para a indústria.

Visão Geral da Exploração de Vulnerabilidades

Os dados de uma plataforma de monitoramento de segurança de blockchain mostram que, no primeiro semestre de 2022, ocorreram 42 incidentes principais de ataques a contratos, com uma perda total que atingiu 644 milhões de dólares. Entre todas as vulnerabilidades exploradas, os tipos de vulnerabilidades mais frequentemente utilizados pelos hackers foram erros de lógica ou de design de função, problemas de validação e vulnerabilidades de reentrada.

Análise de Casos Típicos

Wormhole跨链桥遭攻击

No dia 3 de fevereiro de 2022, um projeto de ponte cross-chain foi atacado, resultando em perdas de cerca de 326 milhões de dólares. O Hacker explorou uma vulnerabilidade na verificação de assinatura do contrato, forjando contas do sistema para criar tokens falsos.

O incidente de ataque ao Fei Protocol

No dia 30 de abril de 2022, um determinado protocolo de empréstimo sofreu um ataque de reentrada por empréstimo relâmpago, resultando em uma perda de 80,34 milhões de dólares. Este ataque causou um golpe fatal ao projeto, levando finalmente à sua declaração de encerramento em 20 de agosto.

Os atacantes aproveitaram principalmente a vulnerabilidade de reentrada do contrato implementado pelo cEther no protocolo. O fluxo de ataque inclui:

1. Obter um empréstimo relâmpago de um protocolo de agregação
2. Utilizar fundos emprestados para realizar empréstimos colaterais no protocolo alvo
3. Extrair repetidamente os tokens do pool afetado através da função de callback construída
4. Devolver o empréstimo relâmpago e transferir os lucros

Tipos Comuns de Vulnerabilidades

Durante o processo de auditoria de contratos inteligentes, as vulnerabilidades mais comuns podem ser principalmente divididas nas seguintes categorias:

1. Ataques de reentrada ERC721/ERC1155: O design inadequado de funções específicas pode levar a riscos de reentrada.

2. Falhas lógicas: incluem problemas como a falta de consideração para cenários especiais e a insuficiência no design de funcionalidades.

3. Defeitos na gestão de permissões: funcionalidades críticas sem o controle de permissões adequado.

4. Manipulação de preços: uso inadequado de oráculos ou falhas na lógica de cálculo de preços.

Sugestões de prevenção de vulnerabilidades

1. Seguir rigorosamente o padrão de design "verificação-eficácia-interação".

2. Considerar todas as situações de fronteira e cenários especiais.

3. Implementar uma gestão rigorosa de permissões para funcionalidades críticas.

4. Usar oráculos confiáveis e mecanismos como o preço médio ponderado pelo tempo.

5. Realizar uma auditoria completa de segurança de contratos inteligentes, incluindo deteção automatizada e revisão manual por especialistas.

Ao adotar as medidas acima, a maioria das vulnerabilidades comuns pode ser detectada e corrigida antes do lançamento do projeto, reduzindo significativamente o risco de ataques de hackers.