Безопасность Web3: Анализ распространенных методов атак в первой половине 2022 года

В первой половине 2022 года в области Web3 произошло несколько крупных инцидентов безопасности, приведших к огромным убыткам. В данной статье будут проанализированы распространенные методы атак, используемые хакерами в этот период, и обсуждены меры по их предотвращению.

Обзор убытков, вызванных уязвимостями за первое полугодие

Некоторые данные платформы мониторинга показывают, что в первой половине 2022 года произошло 42 основных инцидента с атаками на уязвимости контрактов, общие убытки составили 644 миллиона долларов США. При этом около 53% атак использовали уязвимости контрактов.

В используемых уязвимостях логические или функциональные недостатки проектирования являются наиболее распространенными методами атаки, за ними следуют проблемы валидации и уязвимости повторного входа.

Анализ случаев значительных убытков

В феврале 2022 года стал жертвой атаки один из проектов кросс-цепного моста, понесший убытки в размере около 326 миллионов долларов. Хакеры использовали уязвимость в проверке подписи в контракте для подделки аккаунтов и выпуска токенов.

30 апреля некий кредитный протокол подвергся атаке повторного входа через флеш-займы, в результате чего понес убытки в 80,34 миллиона долларов. Эта атака нанесла проекту смертельный удар, в конечном итоге приведя к его закрытию.

Атакующий получил средства через флеш-кредиты, используя уязвимость повторного входа в протоколе, многократно извлекая средства в процессе займа. В конечном итоге атакующий заработал более 28380 ETH.

Распространенные типы уязвимостей

Наиболее распространенные уязвимости в процессе аудита можно разделить на четыре категории:

1. Ретро-атака ERC721/ERC1155
2. Уязвимость логики контракта
3. Отсутствие аутентификации
4. Манипуляция ценами

Среди них логические уязвимости и атаки повторного входа являются наиболее часто используемыми хакерами типами уязвимостей.

Важность аудита

Большинство упомянутых уязвимостей можно выявить с помощью профессионального аудита смарт-контрактов. Аудит не только может обнаружить потенциальные риски, но и предложить рекомендации по их исправлению. Поэтому проектные команды должны уделять внимание безопасности аудита, заранее выявлять и исправлять уязвимости, чтобы снизить риск атак.