Web3 Hacker Saldırı Teknikleri Analizi: 2022'nin İlk Yarısında Yaygın Açıklar ve Önleme Stratejileri

2022 yılının ilk yarısında, Web3 alanı birçok büyük Hacker saldırısına maruz kaldı ve büyük kayıplara yol açtı. Bu makalede, bu dönemde Hacker'ların sıkça kullandığı saldırı yöntemleri derinlemesine analiz edilecek, hangi açıkların en sık görüldüğü ve nasıl etkili bir şekilde önlenebileceği tartışılacaktır.

İlk Yarısında Açıklar Üzerinden Yapılan Saldırılardan Kaybedilenler

Bir blockchain güvenlik izleme platformunun verilerine göre, 2022'nin ilk yarısında toplam 42 ana sözleşme açığı saldırı olayı meydana geldi ve bu, tüm saldırı türlerinin %53'ünü oluşturuyor. Bu saldırılar toplamda 644 milyon dolar zarar verdi.

Kullanılan tüm açıklar arasında, mantıksal veya işlev tasarımı hataları hacker'lar tarafından en sık kullanılan açıklar olup, bunu doğrulama sorunları ve yeniden giriş açıkları takip etmektedir.

Önemli Zarar Durum Analizi

Wormhole Çoklu Zincir Köprüsü saldırısı

3 Şubat 2022'de, bir çoklu zincir köprü projesi saldırıya uğradı ve yaklaşık 326 milyon dolar kaybedildi. Hacker, sözleşmedeki imza doğrulama açığını kullanarak, sahte sistem hesapları oluşturarak wETH bastı.

Fei Protocol Yıldırım Kredisi Saldırısı

30 Nisan 2022'de, bir borç verme protokolü flash kredi ağırlaştırma saldırısına uğradı ve 80.34 milyon dolar kayba neden oldu. Bu saldırı projeye ölümcül bir darbe vurdu ve nihayetinde proje 20 Ağustos'ta resmi olarak kapandığını duyurdu.

Saldırgan, aşağıdaki adımlarla saldırıyı gerçekleştirir:

1. Belirli bir fon havuzundan ani kredi alın.
2. Borç verme protokolündeki cEther'i kullanarak sözleşmenin reentrancy zafiyetini gerçekleştirme
3. Saldırı sözleşmesi aracılığıyla oluşturulan geri çağırma fonksiyonu ile etkilenen havuzdaki tüm tokenleri çıkarın.
4. Lightning kredisi geri ödenir, saldırıdan elde edilenler transfer edilir

Yaygın Güvenlik Açıkları

Denetim sürecinde en yaygın güvenlik açıkları dört ana kategoriye ayrılabilir:

1. ERC721/ERC1155 yeniden giriş saldırısı: _safeMint(), _safeTransfer() gibi fonksiyonlar kullanıldığında, kötü niyetli sözleşmelerdeki geri çağırma fonksiyonları tetiklenebilir ve yeniden giriş saldırısı oluşturulabilir.

2. Mantık açığı:
   • Özel durumların yeterince dikkate alınmaması, örneğin kendine transferin ruhsatsız bir şekilde oluşturulmasına yol açması.
   • Fonksiyon tasarımı eksik, örneğin çekim veya tasfiye özelliği yok.

3. Yetkilendirme eksikliği: Madeni para basma, rol ayarlama gibi kritik işlevlerde yetki kontrolü yok.

4. Fiyat Manipülasyonu:
   • Kullanılmamış zaman ağırlıklı ortalama fiyat
   • Sözleşmedeki token bakiyesi oranını fiyat olarak doğrudan kullanma

Açık Önleme Önerileri

1. İşlevsel fonksiyonları tasarlarken "kontrol-et-uygula-etkileşim" modeline sıkı bir şekilde uyulmalıdır.
2. Özel senaryoları kapsamlı bir şekilde göz önünde bulundurarak, fonksiyon tasarımını geliştirin.
3. Anahtar işlevler için sıkı yetki kontrolleri uygulayın.
4. Güvenilir fiyat oracle'ları kullanın, fiyat manipülasyonundan kaçının.
5. Kapsamlı bir güvenlik denetimi yapılmalı, otomatik tespit ve uzman incelemesi dahil.
6. Düzenli olarak güvenlik değerlendirmeleri yapın, tespit edilen açıkları zamanında düzeltin.

Bu önlemleri alarak, proje sahipleri saldırı riskini önemli ölçüde azaltabilir ve varlık güvenliğini sağlayabilir. Web3 ekosisteminin sürekli gelişimiyle birlikte, güvenlik bilincinin ve koruma yeteneğinin artması giderek daha önemli hale gelecektir.