Web3領域における2022年上半期のハッカーの攻撃手法の分析

2022年上半期、Web3分野では複数の重大なセキュリティ事件が発生しました。データ統計によると、スマートコントラクトの脆弱性によって引き起こされた主要な攻撃事例は合計42件で、総損失は6.4億ドルに達しました。これらの攻撃の約53%は、コントラクトの脆弱性を利用しました。

すべての利用された脆弱性の中で、ロジックや関数の設計欠陥はハッカーが最もよく使用する攻撃手段であり、次いで認証の問題や再入脆弱性があります。これらの脆弱性は頻繁に発生し、巨額の損失を引き起こしています。

! 「匿名」ルーチンの解体:2022年前半のWeb3ハッカーの一般的な攻撃方法は何ですか?

重大なセキュリティ事件の振り返り

2022年2月、あるクロスチェーンブリッジプロジェクトが攻撃を受け、約3.26億ドルの損失を被りました。ハッカーは契約内の署名検証の脆弱性を利用して、アカウントを偽造し資産をミントしました。

4月末、ある貸付プロトコルがフラッシュローンと再入攻撃に遭い、8000万ドル以上の損失を被りました。この攻撃はプロジェクトに致命的な打撃を与え、最終的にプロジェクトが閉鎖される結果となりました。

攻撃者は次のステップで攻撃を実施します:

1. あるアグリゲーションプロトコルからフラッシュローンを取得する
2. 目標プロトコルの再入可能性の脆弱性を利用して貸出操作を行う
3. 構築した攻撃関数のコールバックを通じて、影響を受けたプールの資産を引き出す
4. フラッシュローンを返済し、利益を移転する

! 「匿名」ルーチンの解体:2022年前半のWeb3ハッカーの一般的な攻撃方法は何ですか?

一般的な脆弱性タイプ

スマートコントラクト監査で最も一般的な脆弱性は、主に4つのカテゴリに分けられます：

1. ERC721/ERC1155の再入攻撃：送金通知関数に悪意のあるコードを埋め込み、不適切なビジネスロジックと組み合わせて再入を実現する。

! 「匿名」ルーチンの解体:2022年前半のWeb3ハッカーの一般的な攻撃方法は何ですか?

2. ロジックの欠陥：
   • 特殊なシーンを考慮していない、例えば自己送金によって資産が無から増加すること。
   • 機能設計が不完全で、重要な操作の機能実装が欠けている

! 「匿名」ルーチンの解体:2022年前半のWeb3ハッカーの一般的な攻撃方法は何ですか?

3. 権限管理の欠如：重要な機能（例えば、コインの発行、役割設定）に効果的な権限検証が欠けている

! 「匿名」ルーチンの解体:2022年前半のWeb3ハッカーの一般的な攻撃方法は何ですか?

4.価格操作:

• オラクルの不適切な使用、時間加重平均価格が採用されていない
• コントラクト内部の残高比率を価格の基準として直接使用する

! 「匿名」ルーチンの解体:2022年前半のWeb3ハッカーの一般的な攻撃方法は何ですか?

脆弱性防止の推奨事項

これらの脆弱性を防ぐために、プロジェクトチームは次のことを行うべきです：

1. "チェック-有効-インタラクション"の安全な開発モデルに厳密に従うこと
2. 様々な境界シナリオを全面的に考慮し、機能設計を充実させる
3. 厳格な権限管理メカニズムを実施する
4. 信頼できる価格オラクルを採用し、時間加重平均価格を適切に使用する

! 「匿名」ルーチンの解体:2022年前半のWeb3ハッカーの一般的な攻撃方法は何ですか?

さらに、専門的なスマートコントラクト監査が重要です。自動化ツールと専門家による手動レビューを組み合わせることで、プロジェクトのローンチ前に大部分の潜在的な脆弱性を発見し修正することができ、コントラクトの安全性を大幅に向上させることができます。

! 「匿名」ルーチンの解体:2022年前半のWeb3ハッカーの一般的な攻撃方法は何ですか?

! 「匿名」ルーチンの解体:2022年前半のWeb3ハッカーの一般的な攻撃方法は何ですか?