Tình hình an ninh Web3: Phân tích các phương thức tấn công phổ biến trong nửa đầu năm 2022

Trong nửa đầu năm 2022, lĩnh vực Web3 đã phải đối mặt với nhiều sự kiện an ninh nghiêm trọng, gây ra thiệt hại lớn. Bài viết này sẽ phân tích các phương thức tấn công phổ biến mà hacker thường sử dụng trong thời gian này và thảo luận về các biện pháp phòng ngừa.

Tóm tắt thiệt hại do lỗ hổng trong nửa đầu năm

Một nền tảng dữ liệu đã theo dõi cho thấy, trong nửa đầu năm 2022, đã xảy ra tổng cộng 42 vụ tấn công lỗ hổng hợp đồng chính, với tổng thiệt hại lên đến 644 triệu USD. Trong đó, khoảng 53% các vụ tấn công đã tận dụng lỗ hổng hợp đồng.

Trong các lỗ hổng bị khai thác, lỗi thiết kế logic hoặc hàm là phương thức tấn công phổ biến nhất, tiếp theo là các vấn đề xác thực và lỗ hổng tái nhập.

Phân tích trường hợp tổn thất lớn

Vào tháng 2 năm 2022, một dự án cầu nối chuỗi chéo đã bị tấn công, thiệt hại khoảng 326 triệu USD. Tin tặc đã lợi dụng lỗ hổng xác minh chữ ký trong hợp đồng để làm giả tài khoản và đúc token.

Vào ngày 30 tháng 4, một giao thức cho vay đã bị tấn công bằng cách sử dụng vay chớp nhoáng, dẫn đến thiệt hại 80,34 triệu USD. Cuộc tấn công này đã gây ra cú sốc chết người cho dự án, cuối cùng dẫn đến việc dự án phải đóng cửa.

Kẻ tấn công đã lấy tiền thông qua khoản vay chớp nhoáng, lợi dụng lỗ hổng tái nhập trong giao thức để rút tiền nhiều lần trong quá trình vay. Cuối cùng, kẻ tấn công đã kiếm được hơn 28380 ETH.

Các loại lỗ hổng phổ biến

Có bốn loại lỗ hổng phổ biến nhất trong quá trình kiểm toán:

1. Tấn công tái nhập ERC721/ERC1155
2. Lỗ hổng logic hợp đồng
3. Thiếu xác thực
4. Thao túng giá

Trong đó, lỗ hổng logic và tấn công tái nhập là những loại lỗ hổng thường bị hacker khai thác nhất.

Tầm quan trọng của việc kiểm toán

Hầu hết các lỗ hổng trên đều có thể được phát hiện thông qua kiểm toán hợp đồng thông minh chuyên nghiệp. Kiểm toán không chỉ có thể phát hiện rủi ro tiềm ẩn mà còn có thể cung cấp các gợi ý sửa chữa. Do đó, các bên dự án nên coi trọng việc kiểm toán an toàn, phát hiện và sửa chữa lỗ hổng sớm, giảm thiểu rủi ro bị tấn công.