Безпекова ситуація Web3: Аналіз поширених методів атак у першій половині 2022 року

У першій половині 2022 року в сфері Web3 сталося кілька значних інцидентів безпеки, що призвели до великих втрат. У цій статті буде проаналізовано способи атак, які часто використовуються хакерами в цей період, а також обговорено заходи запобігання.

Загальний огляд втрат, спричинених уразливостями в першій половині року

За даними моніторингу певної платформи даних, у першій половині 2022 року сталося 42 випадки основних атак на вразливості контрактів, загальні збитки склали 644 мільйони доларів. Приблизно 53% атак використовували вразливості контрактів.

Серед вразливостей, що використовуються, логічні або функціональні дефекти проєктування є найпоширенішими методами атаки, за ними йдуть проблеми верифікації та вразливості повторного входу.

Аналіз випадків значних втрат

У лютому 2022 року один з проектів міжланцюгового мосту зазнав атаки, внаслідок якої було втрачено близько 326 мільйонів доларів. Хакери скористалися уразливістю перевірки підписів у контракті, підробивши облікові записи для випуску токенів.

30 квітня певний кредитний протокол зазнав атаки з повторного входу через блискавичний кредит, в результаті якої було втрачено 80,34 мільйона доларів. Ця атака завдала смертельного удару проекту, що в кінцевому підсумку призвело до його закриття.

Атакуючи отримали кошти через блискавичний кредит, скористалися вразливістю повторного входу в протоколі, неодноразово витягуючи кошти в процесі позики. Врешті-решт, атакуючий отримав прибуток понад 28380 ETH.

Типи поширених вразливостей

У процесі аудиту найпоширеніші вразливості поділяються на чотири категорії:

1. Атака повторного входу ERC721/ERC1155
2. Логічні вразливості контракту
3. Відсутність аутентифікації
4. Маніпуляція цінами

Серед них логічні вразливості та атаки повторного входу є найчастіше використовуваними типами вразливостей зловмисниками.

Важливість аудиту

Більшість з вказаних вразливостей можна виявити за допомогою професійного аудиту смарт-контрактів. Аудит може не лише виявити потенційні ризики, але й надати рекомендації щодо їх виправлення. Тому команди проектів повинні приділяти увагу безпеці аудиту, щоб виявити та виправити вразливості заздалегідь і зменшити ризик атак.