تحليل أساليب هجمات هاكر في مجال Web3 النصف الأول من عام 2022

تقرير أمان Web3 الذي تم نشره مؤخرًا يتناول بعمق الوضع العام في مجال أمان blockchain في النصف الأول من عام 2022. ستركز هذه المقالة على أساليب الهجوم الشائعة التي يستخدمها هاكر Web3 خلال هذه الفترة، وتستكشف أنواع الثغرات الأكثر تكرارًا وتدابير الوقاية منها.

الخسائر الإجمالية الناتجة عن الثغرات

أظهرت البيانات أنه في النصف الأول من عام 2022، حدثت 42 حالة هجوم على عقود رئيسية، مما يمثل حوالي 53% من جميع حالات الهجوم. أدت هذه الهجمات إلى خسائر إجمالية تصل إلى 644 مليون دولار.

من بين جميع الثغرات المستغلة، فإن تصميم الوظائف بشكل غير صحيح هو أكثر الثغرات التي يستغلها هاكر، يليه مشاكل التحقق وثغرات إعادة الدخول.

تحليل حالة الخسائر الكبيرة

في فبراير 2022، تعرض مشروع جسر عبر السلاسل لهجوم، حيث تكبد خسائر تقدر بحوالي 3.26 مليار دولار. استغل هاكر ثغرة التحقق من التوقيع في عقد المشروع، مما أدى إلى تزوير حسابات وتعدين كميات كبيرة من الرموز.

في أبريل 2022، تعرضت اتفاقية إقراض لهجوم قرض فلاش، مما أدى إلى خسارة 80.34 مليون دولار. أدت هذه الهجمة إلى تكبد المشروع خسائر كبيرة، مما اضطره في النهاية إلى إعلان الإغلاق.

استغل المهاجمون ثغرة إعادة الإدخال في العقد الذكي الأساسي للبروتوكول، من خلال بناء دالة استدعاء لاستخراج جميع الرموز من حوض الأموال المتأثر. تشمل عملية الهجوم بأكملها عدة مراحل مثل القرض الفوري، الإقراض المضمون، وهجوم إعادة الإدخال.

أنواع الثغرات الشائعة في التدقيق

1. هجوم إعادة الدخول على ERC721/ERC1155: يحتوي على كود خبيث في دالة إشعار التحويل، مما قد يؤدي إلى هجوم إعادة الدخول.

2. ثغرات منطقية:

   • عدم كفاية الاعتبارات في السيناريوهات الخاصة، مثل تحويل الأموال لنفسك مما يؤدي إلى خلق المال من عدم.
   • تصميم الوظائف غير مكتمل، مثل عدم وجود وظيفة السحب أو التسوية.

3. نقص في التحقق من الهوية: لم يتم تعيين التحكم في الصلاحيات للوظائف الأساسية.

4. التحكم في الأسعار: استخدام غير صحيح للأوراكل أو استخدام بيانات أسعار غير موثوقة مباشرة.

الثغرات المستغلة الفعلية وقابلية التدقيق لها

تتوافق الثغرات التي تم استغلالها فعليًا بواسطة الهاكر مع أنواع الثغرات التي تم اكتشافها خلال التدقيق، حيث تظل ثغرات منطق العقد الهدف الرئيسي للهجمات.

من الجدير بالذكر أنه من خلال منصات التحقق من العقود الذكية المتخصصة ومراجعة الخبراء الأمنيين، يمكن اكتشاف هذه الثغرات خلال مرحلة التدقيق قبل إطلاق المشروع. يمكن للخبراء الأمنيين تقديم اقتراحات إصلاح مناسبة بعد التقييم، مما يساعد الجهة المعنية بالمشروع على القضاء على المخاطر المحتملة مسبقًا.

بناءً على ما سبق، على الرغم من أن مجال Web3 يواجه تحديات أمنية معقدة، إلا أنه يمكن تقليل مخاطر التعرض للهجمات بشكل كبير من خلال إجراء تدقيق أمني صارم وإصلاح الثغرات في الوقت المناسب. يجب على الفرق المعنية بالمشاريع أن تعطي أهمية لعمل تدقيق الأمان وأن تعتبره جزءًا لا يتجزأ من عملية تطوير المشروع.