Analyse des techniques d'attaque des Hackers Web3 : vulnérabilités courantes et stratégies de prévention au premier semestre 2022

Au cours du premier semestre 2022, le domaine du Web3 a subi plusieurs attaques de hackers majeures, entraînant d'énormes pertes. Cet article analysera en profondeur les méthodes d'attaque couramment utilisées par les hackers pendant cette période, explorant les vulnérabilités les plus fréquentes et comment les prévenir efficacement.

Aperçu des pertes dues aux attaques de vulnérabilité au premier semestre

Selon les données d'une plateforme de surveillance de la sécurité blockchain, 42 incidents majeurs d'attaques sur des contrats intelligents ont eu lieu au cours du premier semestre de 2022, représentant 53 % de toutes les méthodes d'attaque. Ces attaques ont causé des pertes totalisant 644 millions de dollars.

Parmi toutes les vulnérabilités exploitées, les défauts de conception logique ou de fonction sont les vulnérabilités les plus souvent exploitées par les Hackers, suivis des problèmes de validation et des vulnérabilités de réentrance.

Analyse des cas de pertes majeures

Wormhole pont inter-chaînes attaque

Le 3 février 2022, un projet de pont inter-chaînes a été attaqué, entraînant une perte d'environ 326 millions de dollars. Les hackers ont exploité une vulnérabilité de vérification de signature dans le contrat, en falsifiant des comptes système pour frapper des wETH.

Fei Protocol attaque de prêt flash

Le 30 avril 2022, un protocole de prêt a subi une attaque par prêt éclair et réentrance, entraînant une perte de 80,34 millions de dollars. Cette attaque a porté un coup fatal au projet, qui a finalement annoncé sa fermeture officielle le 20 août.

L'attaquant met en œuvre l'attaque par les étapes suivantes :

1. Effectuer un prêt flash depuis un certain fonds de liquidités
2. Utiliser cEther dans le protocole de prêt pour réaliser une vulnérabilité de réentrance dans le contrat
3. Extraire tous les jetons du pool affecté via la fonction de rappel construite par l'attaque du contrat.
4. Rembourser le prêt éclair, transférer les gains de l'attaque

Types de vulnérabilités courantes

Les vulnérabilités les plus courantes dans le processus d'audit peuvent être classées en quatre grandes catégories :

1. Attaque par réentrance ERC721/ERC1155 : lors de l'utilisation des fonctions _safeMint(), _safeTransfer(), il est possible de déclencher des fonctions de rappel dans des contrats malveillants, entraînant une attaque par réentrance.

2. Vulnérabilité logique :
   • Considérations insuffisantes pour des scénarios spéciaux, comme les transferts entre soi-même qui entraînent des gains inexpliqués.
   • Conception fonctionnelle incomplète, comme l'absence de fonctionnalités d'extraction ou de liquidation.

3. Absence d'authentification : les fonctions clés telles que le minting, la définition des rôles, etc. manquent de contrôle d'accès.

4. Manipulation des prix :
   • Prix moyen pondéré par le temps non utilisé
   • Utiliser directement le ratio du solde de jetons dans le contrat comme prix

Conseils de prévention des vulnérabilités

1. Suivre strictement le modèle "Vérifier - Prendre effet - Interagir" pour concevoir des fonctions commerciales.
2. Considérer pleinement les scénarios spéciaux et améliorer la conception des fonctionnalités
3. Mettre en œuvre un contrôle d'accès strict pour les fonctionnalités clés
4. Utiliser des oracles de prix fiables pour éviter la manipulation des prix
5. Effectuer un audit de sécurité complet, y compris des détections automatisées et des examens manuels par des experts.
6. Effectuer régulièrement des évaluations de sécurité et corriger rapidement les vulnérabilités détectées.

En prenant ces mesures, les projets peuvent considérablement réduire le risque d'attaques et garantir la sécurité des actifs. Avec le développement continu de l'écosystème Web3, la sensibilisation à la sécurité et l'amélioration des capacités de protection deviendront de plus en plus importantes.