تحليل أساليب هجمات Web3: استراتيجيات هاكر الشائعة في النصف الأول من 2022 وتدابير الوقاية

في النصف الأول من عام 2022، تعرض نظام Web3 البيئي للعديد من الحوادث الأمنية الكبرى. ستقوم هذه المقالة بتحليل عميق لأساليب الهجوم الأكثر استخدامًا من قبل الهاكر في هذه الفترة، واستكشاف الثغرات التي تسببت في خسائر كبيرة، وكيفية الوقاية الفعالة من هذه المخاطر في مراحل تطوير المشاريع والتدقيق.

الخسائر الإجمالية الناجمة عن هجمات الثغرات

تشير البيانات إلى أنه في النصف الأول من عام 2022، حدثت 42 حادثة هجوم رئيسي على العقود، ما يمثل حوالي 53% من جميع أساليب الهجوم. تسببت هذه الهجمات في خسائر إجمالية قدرها 644 مليون دولار. ومن بين الثغرات المستغلة، كانت عيوب التصميم المنطقي أو الوظيفي هي الأهداف الأكثر استغلالًا من قبل هاكر، تليها مشكلات التحقق وثغرات إعادة الإدخال.

حالات نموذجية تسبب خسائر كبيرة

حادثة هجوم جسر Wormhole跨链桥

في 3 فبراير 2022، تعرض مشروع جسر سلسلة الكتل المتعدد في نظام سولانا البيئي، وورم هول، للاختراق، حيث بلغت الخسائر 3.26 مليار دولار. استغل هاكر ثغرة في التحقق من التوقيع في العقد، وتمكن من تزوير حساب النظام لصك wETH.

بروتوكول في تم الهجوم عليه بواسطة قرض فوري

في 30 أبريل 2022، تعرضت مجموعة Rari Fuse الخاصة بـ Fei Protocol لهجوم اقتراض سريع مشترك مع هجوم إعادة دخول، مما أدى إلى خسارة بلغت 80.34 مليون دولار. كانت هذه الهجمة ضربة مدمرة للمشروع، مما أدى في النهاية إلى إعلان المشروع عن إغلاقه في 20 أغسطس.

استفاد المهاجمون بشكل رئيسي من الخطوات التالية:

1. احصل على القرض السريع من Balancer: Vault
2. استخدام القرض في Rari Capital لإجراء اقتراض مضمون، وفي نفس الوقت استخدام cEther لاستغلال ثغرة إعادة الدخول في العقد
3. من خلال هجوم على وظائف محددة في العقد، استخراج جميع الرموز من التجمع المتأثر
4. سداد القرض السريع ونقل الأرباح إلى العقد المحدد

أنواع الثغرات الشائعة أثناء عملية التدقيق

1. هجوم إعادة الإدخال على ERC721/ERC1155: عند استخدام وظائف السك أو التحويل القياسية هذه، قد يتم تشغيل كود خبيث يؤدي إلى هجوم إعادة الإدخال.

2. ثغرة منطقية:

   • نقص في الاعتبار في السيناريوهات الخاصة، مثل النتائج غير المتوقعة الناتجة عن التحويل الذاتي
   • تصميم الوظائف غير مكتمل، على سبيل المثال، يفتقر إلى آلية السحب أو التسوية.

3. غياب التحقق من الهوية: تفتقر الوظائف الأساسية مثل سك العملات، إعداد الأدوار إلى التحكم المناسب في الأذونات.

4. التحكم في الأسعار:

   • سعر المتوسط المرجح بالوقت غير المستخدم
   • استخدام نسبة رصيد الرموز في العقد كمرجع للسعر

الثغرات التي تم استغلالها فعليًا وإمكانية الحماية منها

وفقًا للإحصاءات، تم استغلال جميع أنواع الثغرات تقريبًا التي تم اكتشافها خلال عملية التدقيق من قبل هاكر في السيناريوهات الفعلية، حيث تظل ثغرات منطق العقد الهدف الرئيسي للهجمات.

من الجدير بالذكر أن معظم هذه الثغرات يمكن اكتشافها خلال مرحلة تدقيق المشروع من خلال منصة التحقق الرسمية للعقود الذكية والفحص اليدوي من قبل الخبراء الأمنيين. يمكن للخبراء الأمنيين تقديم نصائح إصلاح محددة للمشكلات المكتشفة، مما يساعد فريق المشروع على تحسين أمان العقود.

بشكل عام، مع التطور السريع لنظام Web3 البيئي، تبرز مشكلة الأمان بشكل متزايد. يجب على فرق المشاريع أن تولي أهمية لعمل تدقيق العقود، واستخدام أدوات وأساليب متطورة للكشف، بالإضافة إلى دمج نصائح الفرق الأمنية المحترفة، لتعزيز قدرات حماية المشروع بشكل شامل. في الوقت نفسه، يجب متابعة أساليب الهجوم الجديدة وأنواع الثغرات التي تظهر، وتحديث استراتيجيات الأمان في الوقت المناسب، للحفاظ على القدرة التنافسية في هذا المجال المليء بالتحديات.