木星链 木星链
Ctrl+D收藏木星链
首页 > Pol币 > 正文

ETH:拆解「匿名者」套路:2022上半年Web3黑客常用的攻击方式有哪些?

作者:

时间:1900/1/1 0:00:00

在刚刚发布的《2022年上半年Web3安全态势深度研报》中,我们已经从各个维度展示和分析了区块链安全领域的总体态势,包括总损失金额、被攻击项目类型、各链平台损失金额、攻击手法、资金流向、项目审计情况等。今天,我们就2022上半年Web3黑客常用的攻击方式展开分析,看看在所有被利用的漏洞中,哪些频率最高,以及如何防范。一、上半年因漏洞造成的总损失有多少?

据成都链安鹰眼区块链态势感知平台监控显示,2022上半年共监测到因合约漏洞造成的主要攻击案例42次,约53%的攻击方式为合约漏洞利用。通过统计,2022上半年共监测到因合约漏洞造成的主要攻击案例42次,总损失达到了6亿4404万美元。在所有被利用的漏洞中,逻辑或函数设计不当被黑客利用次数最多,其次为验证问题、重入漏洞。

上海升级完成后,以太坊质押量增长超90万枚ETH:4月23日消息,Tokenview链上数据显示,当前以太坊质押存款累计突破1907万枚ETH,自以太坊上海升级完成后,ETH质押量增长超90万枚ETH。当前已有137万枚ETH解锁提款。[2023/4/23 14:21:45]

二、哪些类型的漏洞曾导致重大损失?

2022年2月3日,Solana跨链桥项目Wormhole遭到攻击,累计损失约3.26亿美元。黑客利用了Wormhole合约中的签名验证漏洞,这个漏洞允许黑客伪造sysvar帐户来铸造wETH。2022年4月30日,FeiProtocol官方的RariFusePool遭受闪电贷加重入攻击,总共造成了8034万美元的损失。本次攻击对项目方造成了无法挽回的损失,8月20号,官方表示项目正式关闭了。FeiProtocol事件回顾:

Arbitrum:未出售5000万ARB,仅其中1000万被兑换为法币用于运营成本:金色财经报道,Arbitrum已在官方推特就治理争议作出回应,并转发了一篇发布于官方治理论坛的长篇澄清。

关于治理提案中涉及的一些争议,Arbitrum对此解释道:随着DAO的推出,产生了一个“先有鸡还是先有蛋”的问题,很多决定必须在正式发布之前做出。

关于AIP-1,Arbitrum则指出,该提案的目标是让社区参与初始决策,最终让代币持有者通过DAO投票批准初始决策和框架。

关于5000万ARB的链上转账,Arbitrum作出澄清:基金会没有出售5000万枚ARB代币。其中4000万枚被作为贷款分配给金融市场中的一个精明的参与者,剩下的1000万则被兑换成法定货币,并用于运营成本。[2023/4/3 13:40:59]

由于漏洞出现在项目基本协议中,攻击者不止攻击了一个合约,以下仅分析一例。攻击交易0xab486012f21be741c9e674ffda227e30518e8a1e37a5f1d58d0b0d41f6e76530攻击者地址0x6162759edad730152f0df8115c698a42e666157f攻击合约0x32075bad9050d4767018084f0cb87b3182d36c45被攻击合约0x26267e41CeCa7C8E0f143554Af707336f27Fa051#攻击流程1.攻击者先从Balancer:Vault中进行闪电贷。

DeFi协议Umami获Circle批准开设其账户,支持企业通过USDC进入加密领域:9月9日消息,机构级DeFi协议Umami获Circle批准开设Circle账户。通过Circle帐户,企业可以使用USDC进入加密领域、使用USDC进行交易等方式快速融入数字经济。Umami表示,随着机构对合规DeFi产品的兴趣不断增加,Umami希望与Circle共同探索创建一个更加开放和包容的金融体系。[2022/9/9 13:18:58]

2.将闪电贷的资金用于RariCapital中进行抵押借贷,由于RariCapital的cEther实现合约存在重入。

Optimism当前总锁仓量为7.86亿美元:金色财经消息,据L2BEAT数据显示,截至目前,以太坊Layer2上总锁仓量为39.9亿美元,近7日上涨5.46%。其中锁仓量最高的为扩容方案Arbitrum,约20.2亿美元,占比50.6%。其次是Optimism,锁仓量7.86亿美元,占比19.66%。dYdX占据第三,锁仓量6.98亿美元,占比17.46%。[2022/6/25 1:30:29]

攻击者通过攻击合约中构造的攻击函数回调,提取出受协议影响的池子中所有的代币。

加密行业广告支出下降了90%:6月21日消息,据Sensor Tower数据,加密行业广告支出已经下降90%。据悉,Gemini Trust在5月的广告支出不到50万美元

分析师Dennis Yeh表示,公众对宏观经济信心的下降导致了加密行业参与度的大幅下降。(U.Today)[2022/6/21 4:41:03]

3.归还闪电贷,将攻击所得发送到0xe39f合约中

本次攻击主要利用了RariCapital的cEther实现合约中的重入漏洞,被盗资金超过28380ETH。扩展阅读:“重入漏洞”如何破?损失约8034万美元,FeiProtocol被攻击事件分析三、审计过程中最常出现的漏洞有哪些?

在审计过程中最常见出现的总体来说分为四大类:1.ERC721/ERC1155重入攻击

在通过链必验形式化验证平台检测合约时不乏存在ERC721/ERC1155标准相关的业务合约,在ERC721中,ERC1155中存在分别存在一个onERC721Received()/onERC1155Received函数用于转账通知,类似于以太坊转账的fallback()函数,在相关的业务合约中使用ERC721/ERC1155标准中的_safeMint(),_safeTransfer(),safeTransferFrom()进行铸币或者转账时都会触发转账通知函数。如果在转账的目标合约中的onERC721Received()/onERC1155Received中包含了恶意代码,就可能形成重入攻击。除此之外在相关业务函数未严格按照检查-生效-交互模式设计,上述两点共同导致了漏洞的产生。2.逻辑漏洞

1)特殊场景考虑缺失:特殊场景往往是审计最需要关注的地方,例如转账函数设计未考虑自己给自己转账导致无中生有。2)设计功能不完善:存放费用的合约没有提取功能,借贷合约不含清算功能等。3.鉴权缺失

铸币、设置合约特殊角色、设置合约参数的相关函数没有鉴权,导致三方地址也可以调用。4.价格操控

Oracle价格预言机未使用时间加权平均价格;未使用价格预言机,直接使用合约中两种代币的余额比例作为价格等。四、实际被利用的漏洞有哪些?哪些漏洞能在审计阶段发现?

根据成都链安鹰眼区块链安全态势感知平台所感知的安全事件统计,审计过程中出现的漏洞几乎都实际场景中被黑客利用过,其中合约逻辑漏洞利用仍然为主要部分。通过成都链安链必验-智能合约形式化验证平台检测和安全专家人工检测审计,以上漏洞均能在审计阶段被发现,并且可由安全专家在做出安全评估后提出相关安全修补建议供客户作为修复参考。

通过链必验工具扫描出某合约存在重入漏洞

标签:ETHARBTRUCLEEthernity ChainCRYPTO CARBON ENERGYarbitrum币中文名称Uncle Dolan

Pol币热门资讯
ETH:Grayscale:浅析ETHW分叉面临的挑战

背景以太坊计划于2022年9月15日合并到权益证明(PoS),正如预期的那样,这引起了人们对工作量证明(POW)以太坊(ETHW)分叉的猜测.

1900/1/1 0:00:00
FTX:万字拆解FTX的营销之道:如何在3年内做到320亿美元估值?

FTX是一个虚拟货币交易所,平均日交易量达100亿美元,日注册用户超过600万。2019年FTX开局不利仅收入720万美元,但是仅仅用了36个月,公司的估值便增长了4000%,飙升到320亿美元.

1900/1/1 0:00:00
SHO:Shopify的演变之路:为什么选择进军Web3?

很有意思的一件事:前几年最红的公司之一Shopify的CEO,在今年早期就加入了Coinbase的董事会,这段时间他个人也买了Coinbase的股票.

1900/1/1 0:00:00
ARK:浅谈Web3治理问题:发行代币真的「治百病」吗?

长期以来,我一直在为流动性治理代币的概念而苦苦挣扎。我倾向于将协议视为国家,因此我会把每个治理投票视为类似于在选举中投票.

1900/1/1 0:00:00
STEEM:Teenie Weenie:小熊IP开启元宇宙之旅

随着国内元宇宙行业的火热,越来越多的品牌、IP方将目光投向数字藏品领域。TeenieWeenie进入中国市场18周年之际,计划推出自己的数字藏品.

1900/1/1 0:00:00
POO:F2O模式是旁氏模型吗?一文详解其模型的经济学原理

在DigiDaigaku背后项目方LimitBreak完成2亿美元大额融资后,FreetoOwn也成为继PlaytoEarn、FreetoPlay之后最火的链游热词.

1900/1/1 0:00:00