Análisis de la situación de seguridad en Web3: Análisis de las técnicas de ataque de hackers en la primera mitad de 2022

En la primera mitad de 2022, la situación de seguridad en el ámbito de Web3 no es optimista. Según los datos de monitoreo de seguridad de blockchain, las vulnerabilidades de los contratos se han convertido en el principal medio de ataque de los hackers, causando grandes pérdidas de capital. Este artículo analizará en profundidad los métodos de ataque comúnmente utilizados por los hackers durante este período, así como las medidas de prevención relacionadas.

Resumen de incidentes de seguridad en la primera mitad del año

Los datos muestran que en la primera mitad de 2022 ocurrieron un total de 42 casos principales de ataques, de los cuales el 53% fueron ataques por explotación de vulnerabilidades en contratos. Estos eventos de ataque causaron pérdidas acumuladas de hasta 64404 millones de dólares. De todas las vulnerabilidades explotadas, la frecuencia con la que los hackers aprovecharon el diseño lógico o de funciones inadecuadas fue la más alta, seguida de problemas de validación y vulnerabilidades de reentrada.

Análisis de casos de pérdidas significativas

Evento de ataque del puente cruzado Wormhole

El 3 de febrero de 2022, el proyecto de puente entre cadenas Wormhole en el ecosistema de Solana fue atacado, resultando en una pérdida de aproximadamente 326 millones de dólares. El Hacker aprovechó una vulnerabilidad en la verificación de firmas del contrato para falsificar con éxito la cuenta sysvar y realizar la acuñación ilegal de wETH.

Incidente de ataque de Fei Protocol

El 30 de abril de 2022, el Rari Fuse Pool, que pertenece a Fei Protocol, sufrió un ataque de préstamo relámpago combinado con un ataque de reingreso, lo que resultó en una pérdida de 80.34 millones de dólares. Este ataque causó un golpe mortal al proyecto, lo que finalmente llevó a que el proyecto anunciara su cierre el 20 de agosto.

El atacante lleva a cabo el ataque a través de los siguientes pasos:

1. Realizar un préstamo relámpago desde Balancer: Vault
2. Utilizar fondos prestados para realizar préstamos colateralizados en Rari Capital
3. Utilizar cEther de Rari Capital para implementar una vulnerabilidad de reentrada en el contrato
4. A través de la función de ataque construida como callback, extraer todos los tokens del pool.
5. Devolver el préstamo relámpago, transferir las ganancias del ataque

Tipos de vulnerabilidades comunes

Durante el proceso de auditoría de contratos inteligentes, las vulnerabilidades más comunes se pueden clasificar en cuatro grandes categorías:

1. Ataque de reentrada ERC721/ERC1155: Al utilizar funciones como _safeMint(), _safeTransfer(), puede activarse la ejecución de código malicioso mediante un ataque de reentrada.

2. Vulnerabilidades lógicas:
   • Falta de consideración de escenarios especiales, como la creación de dinero sin origen debido a transferencias internas.
   • Diseño de funciones incompleto, como la falta de funciones de extracción o liquidación

3. Falta de autenticación: Funciones clave como la acuñación, la configuración de roles, etc. carecen de un control de permisos efectivo.

4. Manipulación de precios:
   • Precio promedio ponderado por tiempo no utilizado
   • Utilizar directamente la proporción del saldo de tokens en el contrato como precio

Sugerencias para la prevención de vulnerabilidades

1. Seguir estrictamente el patrón de diseño "Verificación - Efecto - Interacción"
2. Considerar exhaustivamente todas las situaciones límite y escenarios especiales
3. Mejorar el diseño de funciones del contrato, asegurando que las operaciones clave cuenten con las funciones complementarias correspondientes.
4. Implementar una gestión de permisos estricta y realizar múltiples verificaciones en funciones clave.
5. Utilizar oráculos de precios confiables, evitando el uso de fuentes de datos de precios que sean fáciles de manipular.
6. Realizar auditorías de contratos inteligentes periódicamente, combinando herramientas de automatización con revisiones manuales de equipos de seguridad profesionales.

Al adoptar estas medidas de prevención, se puede mejorar significativamente la seguridad de los contratos inteligentes y reducir el riesgo de ser atacados. Sin embargo, a medida que las técnicas de ataque continúan evolucionando, los equipos de proyecto deben mantenerse alerta, prestar atención continua a las últimas tendencias de seguridad y actualizar sus estrategias de protección de manera oportuna.