Analyse des techniques d'attaque couramment utilisées par les Hacker Web3 au premier semestre 2022

Au premier semestre 2022, le domaine du Web3 a été victime de plusieurs attaques de hackers majeures, entraînant des pertes considérables. Cet article analysera en profondeur les méthodes d'attaque couramment utilisées par les hackers durant cette période, dans le but de fournir des références pour la prévention des risques dans l'industrie.

Aperçu de l'exploitation des vulnérabilités

Selon les données d'une plateforme de surveillance de la sécurité des blockchains, 42 attaques majeures sur des contrats ont eu lieu au cours du premier semestre 2022, avec des pertes totales atteignant 644 millions de dollars. Parmi toutes les vulnérabilités exploitées, les trois types de vulnérabilités les plus souvent exploitées par les hackers sont les erreurs de logique ou de conception de fonction, les problèmes de validation et les vulnérabilités de réentrance.

Analyse de cas typiques

Le pont inter-chaînes Wormhole a été attaqué

Le 3 février 2022, un projet de pont inter-chaînes a été attaqué, entraînant une perte d'environ 326 millions de dollars. Le Hacker a exploité une vulnérabilité dans la vérification des signatures du contrat pour créer des faux tokens en falsifiant des comptes système.

L'incident d'attaque de Fei Protocol

Le 30 avril 2022, un protocole de prêt a subi une attaque par emprunt flash et re-entrance, entraînant une perte de 80,34 millions de dollars. Cette attaque a porté un coup fatal au projet, qui a finalement annoncé sa fermeture le 20 août.

L'attaquant a principalement exploité la vulnérabilité de réentrance du contrat dans le cEther du protocole. Le processus d'attaque comprend :

1. Obtenir un prêt flash à partir d'un protocole d'agrégation
2. Utiliser des fonds empruntés pour effectuer des prêts et des emprunts dans le protocole cible.
3. Répéter l'extraction des jetons dans le pool affecté en construisant une fonction de rappel.
4. Remboursement du prêt éclair et transfert des bénéfices

Types de vulnérabilités courantes

Dans le processus d'audit des contrats intelligents, les vulnérabilités les plus courantes se divisent principalement en plusieurs catégories :

1. Attaque de réentrance ERC721/ERC1155 : Un risque de réentrance peut survenir en raison d'une conception inappropriée de certaines fonctions.

2. Failles logiques : inclut des problèmes tels que des scénarios spécifiques mal considérés et un design fonctionnel incomplet.

3. Défaillance de la gestion des autorisations : fonctionnalités clés sans contrôle d'autorisation approprié.

4. Manipulation des prix : utilisation inappropriée de l'oracle ou vulnérabilités dans la logique de calcul des prix.

Suggestions de prévention des vulnérabilités

1. Suivre strictement le modèle de conception "vérification - effet - interaction".

2. Prendre en compte toutes les situations limites et les scénarios spéciaux.

3. Mettre en œuvre une gestion stricte des droits d'accès pour les fonctionnalités clés.

4. Utiliser des mécanismes fiables tels que des oracles et des prix moyens pondérés par le temps.

5. Effectuer un audit de sécurité complet des contrats intelligents, y compris la détection automatisée et la révision manuelle par des experts.

En prenant des mesures mentionnées ci-dessus, la plupart des vulnérabilités courantes peuvent être détectées et corrigées avant le lancement du projet, ce qui réduit considérablement le risque d'attaques de hackers.