Web3 Hacker 2022 Yılı İlk Yarısı Yaygın Saldırı Yöntemleri Analizi

2022 yılının ilk yarısında, Web3 alanında birçok büyük Hacker saldırısı gerçekleşti ve büyük kayıplara yol açtı. Bu yazıda, bu dönemde Hacker'ların sıkça kullandığı saldırı yöntemlerini derinlemesine analiz edeceğiz ve sektöre güvenlik önlemleri için bir referans sağlamayı amaçlıyoruz.

Açık Kullanım Özeti

Bir blockchain güvenlik izleme platformunun verilerine göre, 2022 yılının ilk yarısında toplam 42 önemli sözleşme açığı saldırı olayı meydana geldi ve toplam kayıp 644 milyon dolara ulaştı. Kullanılan açıkların arasında, mantık veya fonksiyon tasarım hataları, doğrulama sorunları ve yeniden giriş açıkları, hacker'ların en sık kullandığı üç açık türüdür.

Tipik Vaka Analizi

Wormhole çapraz zincir köprüsü saldırıya uğradı

3 Şubat 2022'de, bir köprü projesi saldırıya uğradı ve yaklaşık 3.26 milyar dolar kaybedildi. Hacker, sözleşmedeki imza doğrulama açığını kullanarak sahte sistem hesapları oluşturup sahte token'lar bastı.

Fei Protocol saldırı olayı

30 Nisan 2022'de, bir borç verme protokolü flash kredi ağır geri alma saldırısına uğradı ve 80.34 milyon dolar kayba neden oldu. Bu saldırı projeye ölümcül bir darbe vurdu ve sonuç olarak proje 20 Ağustos'ta kapanacağını duyurdu.

Saldırganlar, protokoldeki cEther'i kullanarak sözleşmenin yeniden giriş açığını gerçekleştirdi. Saldırı süreci şunları içeriyor:

1. Bir agregat protokolden hızlı kredi alın
2. Hedef protokolde borç alınan fonları teminat olarak kullanarak borç verme
3. Oluşturulan geri çağırma fonksiyonu ile etkilenen havuzdaki tokenleri tekrar çıkarma
4. Lightning kredilerini geri verin ve kazançları transfer edin

Yaygın Açık Türleri

Akıllı sözleşme denetimi sürecinde, en yaygın açıklar genellikle şu birkaç kategoriye ayrılır:

1. ERC721/ERC1155 yeniden giriş saldırısı: Belirli fonksiyonların yanlış tasarımı nedeniyle yeniden giriş riski oluşabilir.

2. Mantık hatası: Özel durumların dikkate alınmaması ve işlev tasarımındaki eksiklikler gibi sorunları içerir.

3. Yetki yönetimi eksikliği: Ana işlevler için uygun yetki kontrolü ayarlanmamış.

4. Fiyat manipülasyonu: Oracle'in kötüye kullanımı veya fiyat hesaplama mantığında bir açık olması.

Açık Savunma Önerileri

1. "Kontrol-Etkileşim-İşlem" tasarım modeline kesinlikle uyulmalıdır.

2. Çeşitli sınır durumlarını ve özel senaryoları kapsamlı bir şekilde değerlendirin.

3. Anahtar işlevler için sıkı bir izin yönetimi uygulayın.

4. Güvenilir oracle'lar ve zaman ağırlıklı ortalama fiyat gibi mekanizmaları kullanın.

5. Kapsamlı bir akıllı sözleşme güvenlik denetimi gerçekleştirin, otomatik tespit ve uzman insan incelemesi dahil.

Yukarıda belirtilen önlemleri alarak, en yaygın açıkların çoğu projenin yayına alınmasından önce tespit edilip düzeltilebilir ve bu da hacker saldırısına maruz kalma riskini önemli ölçüde azaltır.