Phân tích bảo mật CertiK: Phân tích và tóm tắt các cuộc tấn công liên quan đến tiền kỹ thuật số trong tháng 8
"Một ngày trong vòng tròn tiền tệ, một năm trên thế giới", "Một ngày trong DeFi, một năm trong vòng tròn tiền tệ".
Trong giới blockchain và tiền tệ gần đây, hầu như tất cả sự phổ biến đã bị DeFi cướp mất.
Với sự xuất hiện liên tục của các dự án và lượng lớn người dùng đổ vào, tổng vị trí bị khóa của giao thức DeFi đã lên tới 10,38 tỷ đô la Mỹ.
Lợi nhuận đầu tư cực cao đã thu hút một số lượng lớn người nắm giữ tiền tệ tham gia và tháng 8 là tháng mà các dự án khai thác thanh khoản đang hoạt động sôi nổi.
Từ dự án khai thác thanh khoản thử nghiệm Yam đến SushiSwap vẫn còn rất thời sự, toàn bộ cộng đồng blockchain tiếp tục thảo luận về lợi nhuận khổng lồ và rủi ro bảo mật tiềm ẩn.
Trong tháng này, một số lượng lớn các dự án khai thác mới đã xuất hiện, hầu hết trong số đó đã sao chép trực tiếp mã của các dự án tương tự khác và vội vàng đưa lên mạng mà không cần kiểm tra bảo mật. Do đó, các lỗ hổng bảo mật hợp đồng thông minh được phát hiện có rất nhiều và giống nhau về bản chất. Ngày nay, điều kiện đầu tiên để xác định liệu một dự án có thể được đầu tư hay không là kiểm tra xem dự án và các hợp đồng của nó đã được kiểm toán chuyên nghiệp bởi một nhóm bảo mật nổi tiếng hay chưa và đã đạt được xếp hạng bảo mật cao hay chưa.
Theo thống kê của nhóm công nghệ bảo mật CertiK, thống kê các sự cố bảo mật liên quan đến blockchain trong tháng 8 như sau:
Vào ngày 11 tháng 8, dự án mã thông báo dựa trên Ethereum NUGS đã gặp sự cố bảo mật.Có lỗ hổng bảo mật trong hợp đồng thông minh của nó, điều này đã gây ra lạm phát lớn trong hệ thống mã thông báo của nó. Do không thể khắc phục các lỗ hổng bảo mật trong hợp đồng thông minh, dự án NUGS đã chính thức thông báo rằng họ đã quyết định từ bỏ dự án và không thể rút các mã thông báo được gửi trong đó.
Vào ngày 12 tháng 8, dự án khai thác thanh khoản Yam đã phát hiện ra lỗ hổng trong hợp đồng thông minh, sẽ dự trữ một số lượng lớn mã thông báo, dẫn đến số lượng mã thông báo cần thiết để quản lý dự án tăng lên.Cuối cùng, cộng đồng không có đủ mã thông báo tiền tệ thì mọi hành vi quản trị đều không thể thực hiện được.
Vào ngày 14 tháng 8, dự án khai thác thanh khoản Dựa có lỗ hổng bảo mật hợp đồng thông minh và bị kẻ tấn công tấn công. bị tấn công trước bởi kẻ tấn công bên ngoài. Khởi tạo, dẫn đến việc không thể hoàn thành bất kỳ cam kết nào trong Nhóm 1.
Vào ngày 28 tháng 8, nhiều lỗ hổng bảo mật đã được phát hiện trong hợp đồng thông minh Sushiswap, cho phép chủ sở hữu hợp đồng thông minh rút tiền tùy ý mà không cần bất kỳ sự cho phép nào của cộng đồng. Đồng thời, hợp đồng cũng có lỗ hổng tấn công reentrancy, điều này sẽ khiến mã độc tiềm ẩn được thực thi nhiều lần.
Vào ngày 31 tháng 8, 1.400 bitcoin đã bị đánh cắp do người dùng sử dụng phiên bản cũ của ứng dụng ví điện tử có lỗ hổng.
Vào ngày 31 tháng 8 và ngày 1 tháng 9, các hợp đồng thông minh của đĩa giả Sushiswap Yuno và Kimchi đều bị phát hiện có lỗ hổng bảo mật.
tiêu đề phụ
chi tiết sự kiện
Sau đây là phân tích cụ thể về các sự cố an ninh tiêu biểu trong tháng 8:
Sự cố số 1 là một lỗ hổng rất điển hình do sai lầm trong triển khai logic. Mô hình triển khai thương mại của dự án NUGS là một hệ thống bốc thăm xổ số, bốc thăm dựa trên các vòng quay, trong mỗi vòng rút thăm, các nhà đầu tư có thể gửi tiền vào quỹ giải thưởng vòng quay.
Sau một khoảng thời gian, chức năng xổ số trong hợp đồng thông minh NUGS có thể được gọi ra bên ngoài để xác định người chiến thắng trong vòng rút thăm này. Người chiến thắng nhận được tổng giải thưởng và người gọi từ bên ngoài gọi chức năng xổ số cũng nhận được một phần nhỏ của phần thưởng. Khi vòng quay xổ số này kết thúc, số tiền trong quỹ giải thưởng sẽ bị xóa về 0. Do đó, khi mỗi vòng quay số bắt đầu, số tiền ban đầu trong quỹ giải thưởng sẽ là "không".
Tuy nhiên, có một lỗ hổng triển khai logic trong hợp đồng thông minh NUGS liên quan đến số tiền ban đầu của phần thưởng nhóm giải thưởng: khi một vòng rút thăm kết thúc, số tiền trong nhóm giải thưởng không bị xóa, dẫn đến số tiền ban đầu trong nhóm giải thưởng là đợt trước sau đợt bốc thăm tiếp theo.tổng giải thưởng. Do đó, sẽ có ngày càng nhiều phần thưởng trong tổng giải thưởng, điều này cuối cùng sẽ dẫn đến lạm phát và sự mất giá nhanh chóng của giá trị tiền tệ.
Sự cố số 2 xảy ra trong dự án khai thác thanh khoản Yam và đây cũng là một lỗ hổng bảo mật do sai sót trong triển khai logic.
Có một chức năng rebase trong hợp đồng thông minh Yam, mục đích là để đảm bảo sự ổn định về giá của mã thông báo, tuy nhiên, do sơ suất ở cấp mã, khi mỗi lần rebase được thực hiện, giá trị của tổng nguồn cung cấp mã thông báo sẽ được tính toán không chính xác.Số lượng TotalSupply chỉ có thể tiếp tục tăng, điều này cuối cùng dẫn đến lạm phát.
Sơ hở trong hai vụ việc trên thuộc về sơ hở ở cấp độ thực thi logic. Mặc dù các lỗ hổng trong việc triển khai logic rất trực quan, nhưng chúng không thể được kiểm tra bằng bất kỳ công cụ phát hiện tự động hiện có nào. Chỉ có thể sử dụng các kiểm tra bảo mật chuyên nghiệp và/hoặc bằng chứng toán học nghiêm ngặt để tránh các lỗ hổng đó.
Sự cố số 3 xảy ra tại dự án khai thác thanh khoản Dựa. Khi triển khai hợp đồng thông minh của mình, Based chỉ chính thức tuyên bố chủ sở hữu bằng cách gọi hàm từ bỏOwnership trong hợp đồng thông minh, nhưng không khởi tạo hợp đồng thông minh. Và một kẻ tấn công bên ngoài đã gọi chức năng khởi tạo để khởi tạo hợp đồng thông minh trước khi chính thức bắt đầu.
Điều này làm cho chủ sở hữu của hợp đồng thông minh không nhất quán với người điều hành khởi tạo, và cuối cùng bất kỳ cam kết nào cũng không thể hoàn thành.
Lỗ hổng bảo mật này là do tác động đồng thời của "rủi ro bảo mật khi tự gọi hợp đồng thông minh" và "rủi ro triển khai hợp đồng thông minh". Việc triển khai loại hợp đồng thông minh này phải đảm bảo tính nguyên tử của việc gửi và triển khai hợp đồng thông minh cũng như khởi tạo hợp đồng thông minh và các giao dịch hoạt động khác (hoạt động nguyên tử có thể là một bước hoặc nhiều bước hoạt động, nhưng trật tự không thể bị phá vỡ) hỗn loạn , cũng không thể cắt để chỉ thực hiện một phần của nó), tức là hai giao dịch phải liên quan đến nhau để đảm bảo rằng không có bên thứ ba nào lợi dụng chênh lệch thời gian để thực hiện các cuộc tấn công ác ý.
Sự cố số 4 và số 6 giống nhau: có nhiều lỗ hổng hợp đồng thông minh và không có kiểm toán bảo mật nào được thực hiện trước khi ra mắt, không có cơ chế giám sát cộng đồng tương ứng đối với vấn đề chủ sở hữu dự án vượt quá quyền.
Các dự án nhân vật chính của hai sự kiện này là SushiSwap (sự kiện số 4) và các mô phỏng Yuno và Kimchi (sự kiện số 6). Trong hợp đồng thông minh của dự án SushiSwap, chủ sở hữu hợp đồng thông minh có quyền sử dụng chức năng setMigrator để tùy ý sửa đổi giá trị của bộ di chuyển mà không cần giám sát, sau đó gọi bất kỳ mã bên ngoài nào của hợp đồng thông minh bằng cách gọi migrator.migrate. Bản thân hợp đồng thông minh không biết mã bên ngoài này, vì vậy chủ sở hữu hợp đồng thông minh có thể thực thi mã độc hại thông qua thao tác này.
Các lỗ hổng tương tự cũng tồn tại trong các dự án Yuno và Kimchi: chủ sở hữu hợp đồng thông minh có quyền thực hiện không giới hạn số lượng hoạt động đúc tiền xu thông qua chức năng đúc tiền.
Ban đầu, giải pháp cho loại lỗ hổng này là sử dụng hợp đồng thông minh khóa thời gian để thêm khóa trì hoãn cho bất kỳ hoạt động nào từ chủ sở hữu hợp đồng thông minh. SushiSwap, Yuno và Kimchi đều đã thêm độ trễ hoạt động 48 giờ cho chính họ thông qua phương pháp này. Mục đích ban đầu của nó là cung cấp cho các nhà đầu tư thời hạn 48 giờ đối với bất kỳ giao dịch bị nghi ngờ độc hại nào từ chủ sở hữu hợp đồng thông minh và có đủ thời gian để rút tiền cũng như các hoạt động khác. Mặc dù Chef Nomi trong dự án SushiSwap đã chuyển thành công một lượng lớn mã thông báo và sau đó trả lại chúng, nhưng cuối cùng, dự án SushiSwap đã sử dụng ví đa chữ ký để đảm bảo tính phi tập trung của dự án. Có thể nói rằng khóa trì hoãn không có cách nào để giải quyết cơ bản các lỗ hổng trong chính hợp đồng thông minh.
Sự cố số 5 là do nạn nhân sử dụng phiên bản cũ của ví Electrum và kẻ tấn công đã sử dụng lỗ hổng phần mềm trong phiên bản cũ để tiến hành tấn công lừa đảo.
Lỗ hổng phần mềm này hiển thị kết xuất HTML của các thông báo lỗi giao dịch do máy chủ nút Electrum trả về. Kẻ tấn công có thể xây dựng một nút độc hại. Khi nút nhận được yêu cầu giao dịch từ người dùng, một cửa sổ chứa thông tin lừa đảo sẽ bật lên trong ví của người dùng, cho phép người dùng tải xuống cái gọi là "cập nhật ví".
Lời khuyên an toàn
Lời khuyên an toàn
Tóm lại, các sự cố bảo mật thường xuyên xảy ra vào tháng 8 và nhóm bảo mật CertiK đã đưa ra các đề xuất sau:
Rủi ro bảo mật của các dự án chuỗi khối không chỉ cần được quan sát từ mức độ lỗ hổng mã mà còn phải tìm hiểu kỹ xem liệu việc triển khai hợp lý của dự án có phù hợp với thiết kế hợp lý của nó hay không.
Các dự án chuỗi khối cần lập kế hoạch thiết kế chi tiết và quy trình triển khai cho toàn bộ quá trình triển khai để đảm bảo tính nguyên tử của các hoạt động triển khai.
Trước vấn đề quyền quá mức của chủ sở hữu hợp đồng thông minh dự án blockchain, chúng ta không chỉ nên dựa vào các cơ chế cưỡng chế bên ngoài để hạn chế mà còn tích hợp từ nhiều khía cạnh như triển khai mã hợp đồng thông minh và quản trị cộng đồng, để đảm bảo rằng dự án sẽ không được sử dụng bởi bất kỳ bên nào.
Mức độ phổ biến của DeFi tiếp tục tăng lên. Blockchain, với tư cách là công nghệ cốt lõi đột phá của thời đại, cũng đã được sử dụng rộng rãi trong các lĩnh vực khác nhau. Không nên bỏ qua các rủi ro bảo mật ẩn dưới các lợi ích và lợi ích.
CertiK cam kết xây dựng một hệ sinh thái an toàn và sức khỏe blockchain, sử dụng công nghệ hàng đầu trong ngành để giải quyết các điểm yếu về bảo mật của blockchain và hợp đồng thông minh.
