Análise da Situação de Segurança Web3: Análise das Técnicas de Ataque de Hacker na Primeira Metade de 2022

No primeiro semestre de 2022, a situação de segurança no campo do Web3 não é encorajadora. De acordo com os dados de monitoramento de segurança de blockchain, as vulnerabilidades de contrato tornaram-se o principal meio de ataque dos hackers, resultando em grandes perdas financeiras. Este artigo irá analisar detalhadamente os métodos de ataque frequentemente utilizados pelos hackers durante este período, bem como as medidas de prevenção relacionadas.

Visão geral dos eventos de segurança do primeiro semestre

Os dados mostram que, no primeiro semestre de 2022, ocorreram 42 casos principais de ataques, dos quais 53% foram devido à exploração de vulnerabilidades de contratos. Esses eventos de ataque resultaram em perdas acumuladas de até 64404 mil dólares. Entre todas as vulnerabilidades exploradas, a frequência mais alta de exploração por hackers foi devido a falhas de lógica ou design de funções, seguidas por problemas de validação e vulnerabilidades de reentrada.

Análise de Casos de Grandes Perdas

Ataque ao Wormhole, a ponte entre cadeias

No dia 3 de fevereiro de 2022, o projeto de ponte cross-chain Wormhole no ecossistema Solana foi atacado, resultando em uma perda de cerca de 326 milhões de dólares. O Hacker explorou uma vulnerabilidade na verificação de assinatura do contrato, conseguindo falsificar a conta sysvar para a cunhagem ilegal de wETH.

Ataque ao Fei Protocol

No dia 30 de abril de 2022, o Rari Fuse Pool, sob o protocolo Fei, sofreu um ataque de empréstimo relâmpago combinado com um ataque de reentrada, resultando em uma perda de 80,34 milhões de dólares. Este ataque causou um golpe fatal no projeto, levando finalmente ao anúncio do encerramento do projeto em 20 de agosto.

Os atacantes implementam o ataque através dos seguintes passos:

1. Realizar um empréstimo relâmpago a partir do Balancer: Vault
2. Usar fundos emprestados para colateralizar empréstimos na Rari Capital
3. Utilizar o cEther da Rari Capital para explorar uma vulnerabilidade de reentrada no contrato
4. Através da função de ataque de construção de callback, extrair todos os tokens do fundo.
5. Devolver o empréstimo relâmpago, transferir os ganhos da ataque

Tipos comuns de vulnerabilidades

Durante o processo de auditoria de contratos inteligentes, as vulnerabilidades mais comuns podem ser divididas em quatro grandes categorias:

1. Ataque de reentrada ERC721/ERC1155: ao usar funções como _safeMint(), _safeTransfer(), pode-se desencadear a execução de código malicioso em um ataque de reentrada.

2. Vulnerabilidades lógicas:
   • Consideração insuficiente para cenários especiais, como a criação de algo do nada devido a transferências internas.
   • Design de funcionalidades incompleto, como a falta de funções de extração ou liquidação

3. Falta de autenticação: Funções chave como a cunhagem, configuração de papéis, etc., carecem de controle de permissões efetivo.

4. Manipulação de preço:
   • Preço médio ponderado pelo tempo não utilizado
   • Usar diretamente a proporção do saldo do token no contrato como preço

Sugestões de Prevenção de Vulnerabilidades

1. Seguir rigorosamente o padrão de design "Verificação-Ativação-Interação"
2. Considerar todos os casos limites e cenários especiais.
3. Aperfeiçoar o design das funcionalidades do contrato, garantindo que as operações-chave tenham as funcionalidades complementares apropriadas.
4. Implementar uma gestão rigorosa de permissões, realizando múltiplas verificações para funcionalidades críticas.
5. Utilizar oráculos de preços fiáveis, evitando o uso de fontes de dados de preços que sejam facilmente manipuláveis.
6. Realizar auditorias regulares de contratos inteligentes, utilizando uma combinação de ferramentas automatizadas e auditoria manual por equipes de segurança especializadas.

Ao adotar essas medidas preventivas, é possível aumentar significativamente a segurança dos contratos inteligentes e reduzir o risco de ataques. No entanto, à medida que as técnicas de ataque continuam a evoluir, as equipes dos projetos precisam manter-se alerta, acompanhar as últimas tendências de segurança e atualizar suas estratégias de proteção de forma oportuna.