Web3領域における2022年上半期のハッカーの攻撃手法の分析

2022年上半期、Web3分野では複数の重大なセキュリティ事件が発生し、巨額の損失をもたらしました。本稿ではこの期間にハッカーがよく使用する攻撃手法を深く分析し、業界に安全防止の参考を提供することを目指します。

エクスプロイトの概要

あるブロックチェーンセキュリティ監視プラットフォームのデータによると、2022年上半期に主要な契約の脆弱性攻撃が42件発生し、すべての攻撃方法の53%を占めました。これらの攻撃は約6.44億ドルの損失をもたらしました。

すべての利用された脆弱性の中で、論理または関数設計の欠陥はハッカーが最も頻繁に悪用するターゲットであり、次に検証問題と再入脆弱性が続きます。

! 「匿名」ルーチンの解体:2022年前半のWeb3ハッカーの一般的な攻撃方法は何ですか?

大きな損失のケーススタディ

ワームホールクロスチェーンブリッジ攻撃事件

2022年2月3日、あるクロスチェーンブリッジプロジェクトが攻撃され、損失は3.26億ドルに達しました。ハッカーはプロジェクトの契約における署名検証の脆弱性を利用して、システムアカウントを偽造し、大量のトークンを鋳造しました。

! 「匿名」ルーチンの解体:2022年前半のWeb3ハッカーの一般的な攻撃方法は何ですか?

Fei Protocolはフラッシュローン攻撃を受けました

2022年4月30日、ある貸借協定の資金プールがフラッシュローンと再入攻撃の組み合わせに遭い、8034万ドルの損失を被りました。この攻撃はプロジェクトに致命的な打撃を与え、最終的にプロジェクトは8月20日に閉鎖を発表しました。

攻撃者はまず、ある資金プールからフラッシュローンを行い、次に貸出プラットフォームに存在する再入攻撃の脆弱性を利用して、構築した攻撃関数のコールバックを通じて、影響を受けた資金プールのすべてのトークンを成功裏に抽出しました。最後にフラッシュローンを返済し、利益を指定されたコントラクトに移しました。

! 「匿名」ルーチンの解体:2022年前半のWeb3ハッカーの一般的な攻撃方法は何ですか?

よくある脆弱性の種類

1. ERC721/ERC1155の再入攻撃：トークンスタンダードの転送通知関数を利用した再入攻撃。

! 「匿名」ルーチンの解体:2022年前半のWeb3ハッカーの一般的な攻撃方法は何ですか?

2. ロジックの欠陥：
   • 特殊なシーンの考慮が不十分であり、自分自身に送金することが無から有を生む結果となる。
   • 機能設計が不完全で、抽出や清算メカニズムが不足している。

! 「匿名」ルーチンの解体:2022年前半のWeb3ハッカーの一般的な攻撃方法は何ですか?

3. 権限管理の欠陥：コインの鋳造、ロール設定などの重要な機能に効果的な権限管理が欠けている。

! 「匿名」ルーチンの解体:2022年前半のWeb3ハッカーの一般的な攻撃方法は何ですか?

4.価格操作:

• 未使用の時間加重平均価格のオラクル。
• コントラクト内のトークン残高比率を価格の基準として直接使用する。

! 「匿名」ルーチンの解体:2022年前半のWeb3ハッカーの一般的な攻撃方法は何ですか?

監査の防止

上述の脆弱性の大部分は、専門のスマートコントラクト形式的検証プラットフォームとセキュリティ専門家の人工レビューを組み合わせることで、プロジェクトの立ち上げ前に発見できます。プロジェクトチームはセキュリティ監査を重視し、専門家の提案に基づいて潜在的なリスクを迅速に修正することをお勧めします。

! 「匿名」ルーチンの解体:2022年前半のWeb3ハッカーの一般的な攻撃方法は何ですか?

契約のロジック設計の強化、権限管理の改善、価格メカニズムの最適化などの安全対策を通じて、攻撃を受けるリスクを効果的に低減できます。また、継続的なセキュリティ監視と迅速な脆弱性修正も、プロジェクトの長期的な安全な運用を確保するための鍵です。

! 「匿名」ルーチンの解体:2022年前半のWeb3ハッカーの一般的な攻撃方法は何ですか?