Analisis Metode Serangan Umum di Bidang Web3 pada Paruh Pertama Tahun 2022

Pada paruh pertama tahun 2022, bidang keamanan Web3 menghadapi tantangan serius. Data menunjukkan bahwa hanya karena kerentanan kontrak, telah terjadi 42 insiden serangan utama dengan total kerugian mencapai 644 juta dolar AS. Dalam serangan ini, cacat desain logika atau fungsi adalah celah yang paling sering dimanfaatkan oleh peretas, diikuti oleh masalah verifikasi dan celah reentrancy.

Kasus Kerugian Besar

Pada 3 Februari, sebuah proyek jembatan lintas rantai mengalami serangan, dengan kerugian sekitar 326 juta dolar AS. Para hacker memanfaatkan celah verifikasi tanda tangan dalam kontrak, berhasil memalsukan akun untuk mencetak token.

Pada 30 April, sebuah protokol pinjaman mengalami serangan reentrancy melalui pinjaman kilat, mengakibatkan kerugian sebesar 80,34 juta dolar. Serangan ini memberikan dampak fatal pada proyek, yang akhirnya menyebabkan proyek tersebut ditutup.

Penyerang melakukan serangan melalui langkah-langkah berikut:

1. Melakukan pinjaman kilat dari suatu pool dana
2. Menggunakan cEther dalam platform pinjaman untuk mengeksploitasi kerentanan reentrancy kontrak
3. Mengekstrak semua token dari kolam yang terpengaruh melalui serangan kontrak
4. Mengembalikan pinjaman kilat, mentransfer hasil serangan

Jenis Kerentanan Umum

Dalam proses audit kontrak pintar, kerentanan yang paling umum dapat dibagi menjadi empat kategori:

1. Serangan reentrancy ERC721/ERC1155: melibatkan kode jahat dalam fungsi notifikasi transfer token.

2. Celah logika:
   • Kurangnya pertimbangan untuk situasi khusus, seperti transfer diri yang menyebabkan sesuatu dari tidak ada
   • Desain fungsional tidak lengkap, seperti kurangnya mekanisme penarikan atau penyelesaian

3. Kekurangan otentikasi: Fitur kunci tidak diatur kontrol aksesnya.

4. Manipulasi harga:
   • Harga rata-rata tertimbang waktu yang tidak digunakan
   • Menggunakan proporsi saldo token dalam kontrak langsung sebagai harga

Pencegahan Kerentanan

Hampir semua kerentanan yang ditemukan dalam audit telah dimanfaatkan oleh peretas dalam skenario nyata. Di antara itu, kerentanan logika kontrak tetap menjadi titik serangan utama. Melalui platform verifikasi formal yang profesional dan tinjauan manual oleh ahli keamanan, sebagian besar kerentanan ini dapat ditemukan pada tahap audit.

Untuk meningkatkan keamanan proyek Web3, disarankan kepada tim pengembang:

1. Melakukan audit keamanan kontrak secara menyeluruh
2. Mengutamakan pengujian dalam skenario khusus
3. Menerapkan manajemen hak akses yang ketat
4. Menggunakan oracle harga yang dapat diandalkan
5. Mengikuti pola desain "Periksa-Validasi-Interaksi"

Dengan terus berkembangnya teknik serangan, kesadaran keamanan yang berkelanjutan dan peningkatan langkah perlindungan sangat penting untuk perkembangan sehat ekosistem Web3.