تحليل وضع أمان Web3: تحليل أساليب هجمات هاكر في النصف الأول من 2022

في النصف الأول من عام 2022، كانت حالة الأمن في مجال Web3 غير مشجعة. وفقًا لبيانات مراقبة أمان blockchain، أصبحت ثغرات العقود الوسيلة الرئيسية لهجمات الهاكر، مما أدى إلى خسائر مالية كبيرة. ستقوم هذه المقالة بتحليل عميق لأساليب الهجمات الشائعة التي يستخدمها الهاكر خلال هذه الفترة، بالإضافة إلى التدابير الوقائية ذات الصلة.

نظرة عامة على أحداث الأمان في النصف الأول

أظهرت البيانات أنه خلال النصف الأول من عام 2022، حدثت 42 حالة هجوم رئيسية، كان 53% منها عبارة عن استغلال ثغرات في العقود. وتسببت هذه الأحداث الهجومية في خسائر تصل إلى 644040000 دولار. من بين جميع الثغرات المستغلة، كانت الثغرات الخاصة بالمنطق أو تصميم الدوال الأكثر استغلالاً من قبل الهاكر، تليها مشكلات التحقق وثغرات إعادة الإدخال.

تحليل حالات الخسائر الكبيرة

حدث هجوم جسر Wormhole عبر السلاسل

في 3 فبراير 2022، تعرض مشروع جسر عبر السلاسل Wormhole في نظام Solana البيئي للاختراق، مع خسائر تقدر بحوالي 326 مليون دولار. استخدم هاكر ثغرة في التحقق من التوقيع في العقد، ونجح في تزوير حساب sysvar لإصدار wETH بشكل غير قانوني.

هجوم بروتوكول في

في 30 أبريل 2022، تعرضت مجموعة Rari Fuse التابعة لبروتوكول Fei لهجوم اقتراض سريع مدمج مع هجوم إعادة الدخول، مما أسفر عن خسارة قدرها 80.34 مليون دولار. كانت هذه الهجمة ضربة قاتلة للمشروع، مما أدى في النهاية إلى إعلان إغلاق المشروع في 20 أغسطس.

المهاجمون ينفذون الهجوم من خلال الخطوات التالية:

1. اقتراض سريع من Balancer: Vault
2. استخدام الأموال المستعارة لاقتراض الضمانات في Rari Capital
3. استغلال ثغرة إعادة الدخول في العقد باستخدام cEther من Rari Capital
4. من خلال استدعاء دالة الهجوم التي تم بناؤها، استخراج جميع الرموز من المسبح
5. سداد قرض الوميض، نقل عائدات الهجوم

أنواع الثغرات الشائعة

في عملية تدقيق العقود الذكية، يمكن تقسيم الثغرات الأكثر شيوعًا إلى أربع فئات رئيسية:

1. هجوم إعادة الدخول على ERC721/ERC1155: عند استخدام الدوال _safeMint()، _safeTransfer()، قد يتم تفعيل تنفيذ التعليمات البرمجية الخبيثة في هجوم إعادة الدخول.

2. ثغرات منطقية:
   • ضعف الاعتبار للسيناريوهات الخاصة، مثل التحويل الذاتي الذي يؤدي إلى خلق شيء من لا شيء
   • تصميم الميزات غير مكتمل، مثل عدم وجود وظيفة السحب أو التسوية

3. غياب التحقق من الهوية: تفتقر الوظائف الأساسية مثل سك العملات، إعدادات الأدوار إلى تحكم فعال في الصلاحيات.

4. التحكم في الأسعار:
   • سعر متوسط ​​وزن الوقت غير المستخدم
   • استخدم نسبة رصيد الرموز في العقد مباشرة كسعر

نصائح للوقاية من الثغرات

1. اتبع بدقة نمط التصميم "فحص - تفعيل - تفاعل"
2. النظر في جميع حالات الحدود والمشاهد الخاصة
3. تحسين تصميم وظائف العقود لضمان توفر الوظائف المساعدة المناسبة للعمليات الرئيسية
4. تنفيذ إدارة صارمة للأذونات، وإجراء تحقق متعدد الوظائف على الميزات الأساسية
5. استخدام أوراق أسعار موثوقة، وتجنب استخدام مصادر بيانات الأسعار التي يسهل التلاعب بها
6. إجراء مراجعة دورية للعقود الذكية، بالاستفادة من أدوات الأتمتة ومراجعة الفريق الأمني المحترف بشكل مشترك.

من خلال اتخاذ هذه التدابير الوقائية، يمكن زيادة أمان العقود الذكية بشكل كبير وتقليل خطر الهجمات. ومع ذلك، مع تطور أساليب الهجوم باستمرار، يحتاج فريق المشروع إلى البقاء في حالة تأهب، ومتابعة أحدث الاتجاهات الأمنية، وتحديث استراتيجيات الحماية في الوقت المناسب.