Глубокое обсуждение текущего состояния безопасности Криптоактивов
В этом году хакеры украли более 2 миллиардов долларов из криптоактивов. В последнее время отрасль снова столкнулась с двумя крупными кражами: сервис мгновенного обмена на одной из торговых платформ потерял более 21 миллиона долларов, а кросс-чейн мост одной из публичных цепочек был атакован и понес убытки около 5,66 миллиарда долларов.
С развитием экосистемы криптоактивов борьба за безопасность будет только усиливаться. В этой статье будет:
Предложение методов классификации событий шифрования безопасности
Перечислите наиболее выгодные в настоящее время методы атак
Оценка преимуществ и недостатков текущих инструментов защиты
Обсуждение будущего развития шифрования безопасности
Один. Типы хакерских атак
Экосистема крипто-приложений состоит из протоколов взаимодействия, поддерживается смарт-контрактами и зависит от базового блокчейна и сетевой инфраструктуры. На каждом уровне этого технологического стека существуют уникальные уязвимости. Мы можем классифицировать хакерские атаки в зависимости от целевого уровня атаки и используемых методов.
Атака на инфраструктуру
Данные атаки используют уязвимости базовой системы, включая блокчейн, применяемый для консенсуса, услуги фронтенд-сетей и инструменты управления приватными ключами.
Атака языка смарт-контрактов
Атака этого уровня использует уязвимости и недостатки языка смарт-контрактов (, такого как Solidity ), например, реентерабельность и рискованные реализации делегированных вызовов, которые можно избежать, следуя лучшим практикам безопасности.
логика атакующего протокола
Подобные атаки нацелены на ошибки бизнес-логики в отдельных приложениях. Хакеры могут обнаружить и использовать ошибку, вызывая поведение, которое разработчики не ожидали.
Например, если в формуле расчета доходности пользователей нового децентрализованного обменника возникнет ошибка, это может быть использовано для получения пользователями доходности, превышающей нормальный уровень.
Логические атаки на уровне протокола также могут быть нацелены на системы управления приложениями.
Атакующая экосистема
Многие известные шифрование-хакерские атаки использовали взаимодействие между несколькими приложениями. Наиболее распространенным является то, что хакеры используют логическую ошибку в одном протоколе, одновременно используя средства, заимствованные из другого протокола, чтобы увеличить масштаб атаки.
Такие атаки обычно связаны с шифрованием займов. При выполнении шифрования займа злоумышленник может занять значительные суммы из ликвидных пулов некоторых протоколов.
Два, Анализ данных
Я собрал данные о 100 крупнейших хакерских атаках на криптоактивы с 2020 года, общая сумма украденных средств составила 5 миллиардов долларов.
Атаки на экосистему происходят чаще всего, составляя 41%.
Наибольшие потери средств вызваны логическими уязвимостями в протоколах.
Три крупнейшие атаки по сумме: атака на один кроссчейновый мост на сумму 16.24 миллиарда долларов (, атака на одну сеть на сумму 16.11 миллиарда долларов ) и атака на один кроссчейновый мост на сумму 15.7 миллиарда долларов (.
Если исключить три основные атаки, то финансовые потери от атак на инфраструктуру окажутся наибольшими.
![Идя по криптотемному лесу, вам нужно это руководство по защите Crypto])022/10/9/images/5aa642028ff5c409ae7f0720ae562d9e.png(
Три. Распространенные методы атак хакеров
) Инфраструктура
61% уязвимостей инфраструктуры связаны с утечкой приватных ключей неизвестным образом. Хакеры могут получить эти ключи с помощью методов социального инженерии, таких как фишинговые письма и ложные объявления о найме.
( Язык смарт-контрактов
Атака с повторным входом является самым распространённым типом атак на уровне смарт-контрактов.
В случае повторного входа, уязвимые функции в смарт-контрактах вызывают функции на злонамеренных контрактах. Либо, когда уязвимый контракт отправляет токены на злонамеренный контракт, может быть вызвана функция в злонамеренном контракте. Затем, прежде чем контракт обновит свой баланс, злонамеренная функция вызывает уязвимую функцию в рекурсивном цикле.
Например, в случае атаки на протокол функция извлечения залоговых токенов легко подвержена повторному входу и может вызываться многократно ) каждый раз, когда злонамеренный контракт получает токены ###, пока все залоги не будут исчерпаны.
логика протокола
Уязвимости на уровне протокола в основном уникальны для конкретных приложений, поскольку каждое приложение имеет свою уникальную логику (, если это не чистый форк ).
Ошибки контроля доступа являются наиболее распространенной проблемой, повторяющейся в выборке. Например, в одном из случаев сетевого хакерства в кросс-цепочном управлении контрактом была функция, которую мог вызывать любой для выполнения кросс-цепочных транзакций.
Стоит отметить, что иногда несколько протоколов, использующих одну и ту же технологию, подвергаются атакам хакеров, поскольку команда разделила уязвимый код.
Например, несколько форков одного кредитного протокола стали жертвами атак повторного входа, потому что код оригинального протокола не проверял эффект взаимодействия перед его разрешением. Это было приемлемо для оригинального протокола, поскольку они проверяли уязвимости каждого нового поддерживаемого токена, но команды форков этого не сделали.
Экосистема
98% атак на экосистему использовали займы с мгновенной ликвидностью.
Атаки на займы с использованием молний обычно следуют следующей модели: использование займов для крупномасштабных транзакций, что приводит к повышению цены токенов на автоматических маркетмейкерах, используемых в качестве ценовых оракулов для протоколов займов. Затем в той же транзакции используются раздутые токены в качестве залога для получения займа, значительно превышающего их реальную стоимость.
Четыре, цель атаки хакеров
Анализируйте данные в зависимости от блокчейна, на котором находится атакованный контракт или кошелек. Наибольшее количество хакерских атак было зафиксировано на Ethereum, который занимает 45% от выборки. Одна публичная цепочка занимает второе место с долей 20%.
Причин для этого много:
Эфириум и некоторые публичные блокчейны имеют наивысшую общую стоимость заблокированных активов, что делает их более привлекательными для хакеров.
Большинство разработчиков криптоактивов знакомы с Solidity, языком смарт-контрактов на Ethereum и некоторых других блокчейнах, и это поддерживается более зрелыми инструментами разработки.
Украденные средства Эфириума составляют до ###20 миллиардов долларов (. Одна из публичных блокчейн-сетей занимает второе место с )8.78 миллиардов долларов (.
Атаки на кросс-цепочные мосты или многоцепочные приложения оказали огромное влияние на наборы данных. Несмотря на то что такие хакерские инциденты составляют всего 10% от общего числа, они украли 2.52 миллиарда долларов.
![Идя по тёмному лесу криптоактивов, вам нужно это руководство по защите Crypto])022/10/9/images/ead9c91649e37e85413ab00998a91e2b.png(
Пять. Способы предотвращения хакерских атак
Для каждого уровня технологического стека мы можем использовать некоторые инструменты для раннего выявления потенциальных векторов атак и предотвращения атак.
) Инфраструктура
Большинство крупных атак на инфраструктуру связаны с получением конфиденциальной информации, такой как частные ключи. Соблюдение хороших практик операционной безопасности (OPSEC) и регулярное моделирование угроз могут снизить вероятность таких инцидентов. Команды разработчиков с хорошими процессами OPSEC могут:
Определение чувствительных данных ### приватного ключа, информации о сотрудниках, API-ключей и т.д. (
Определение потенциальных угроз ) атак социальной инженерии, технических эксплойтов, внутренних угроз и т.д. (
Найти существующие уязвимости и слабые места в системе безопасности
Определите уровень угрозы для каждого уязвимости
Разработка и внедрение плана по снижению угрозы
) Язык смарт-контрактов и логика протокола
Инструмент для模糊测试
Инструменты для фуззи-тестирования могут проверять, как смарт-контракты реагируют на большое количество случайно сгенерированных транзакций. Это отличный способ выявить крайние случаи, когда определенные входные данные приводят к неожиданным результатам.
Статический анализ
Статические аналитические инструменты могут автоматически обнаруживать уязвимости в смарт-контрактах. Эти инструменты отлично подходят для быстрого выявления распространенных уязвимостей, но они могут выявлять только заранее определенные проблемы.
Формальная верификация
Инструменты формальной верификации будут сравнивать смарт-контракты с написанными разработчиками спецификациями. Эти спецификации подробно описывают, что должно делать код и какие свойства требуются.
Недостатком формальной верификации является то, что тестирование может соответствовать только стандартам спецификации. Если предоставленная спецификация не описывает определенные действия или слишком свободна, то процесс верификации не сможет выявить все ошибки.
Аудит и рецензирование коллег
В ходе аудита или рецензирования группа доверенных разработчиков будет тестировать и оценивать код проекта. Аудитор подготовит отчет, в котором подробно изложит выявленные уязвимости и рекомендации по их устранению.
Привлечение профессиональной сторонней организации для проведения аудита контрактов — это хороший способ выявить уязвимости, которые могли быть упущены первоначальной командой. Однако аудиторы тоже люди, и они никогда не смогут поймать все уязвимости. Кроме того, необходимо доверять аудиторам и верить, что они честно сообщат о выявленных проблемах, а не воспользуются уязвимостями в своих интересах.
Атака на экосистему
Хотя атаки на экосистему являются наиболее распространенным и разрушительным типом, в существующих инструментах мало специализированных, предназначенных для предотвращения таких атак. Автоматизированные средства безопасности обычно сосредотачиваются только на ошибках в одном контракте. Аудиты часто не могут решить, как использовать взаимодействие между несколькими протоколами в экосистеме.
Некоторые инструменты мониторинга могут предоставить раннее предупреждение в случае комбинированной атаки, чтобы команда могла принять меры. Однако в случае атаки через флеш-кредит, средства часто украдаются за одну транзакцию, поэтому любое предупреждение может прийти слишком поздно, чтобы предотвратить огромные потери.
Модель обнаружения угроз может быть использована для выявления злонамеренных транзакций в пуле памяти, перехватывая их до обработки узлами, но хакеры могут обойти эти проверки, отправляя транзакции напрямую майнерам через определенные сервисы.
Шесть. Будущее шифрования безопасности
У меня есть два прогноза относительно будущего шифрования безопасности:
рецензирование
Выполнить статический анализ и обработку неясностей для каждого нового кода в основной кодовой базе
Проводить официальную проверку каждого значительного обновления
Создать мониторинг и систему оповещения с реакцией на действия ### приостановить всё приложение или затронутый конкретный модуль (
Позвольте некоторым членам команды специально заниматься разработкой и поддержкой плана автоматизации безопасности и реагирования на атаки
Безопасная работа не должна заканчиваться после аудита. Во многих случаях уязвимости возникают из-за ошибок, введенных в процессе обновлений после аудита.
Процесс, с помощью которого сообщество шифрования безопасно реагирует на хакерские атаки, станет более организованным и упрощенным. В будущем соответствующие группы могут преобразоваться в более структурированные организационные формы:
Используйте инструменты мониторинга на блокчейне и в социальных сетях для быстрого обнаружения активных атак
Используйте инструменты управления безопасной информацией и событиями для координации работы
Принять самостоятельные рабочие процессы, использовать различные каналы для общения по работе, анализу данных, первопричинам и другим задачам Black and White.
![Идя по темному лесу шифрования, вам нужно это руководство по защите Crypto])022/10/9/images/672bee3001359b685f77766375346ddc.png(
![Идя по шифрованному темному лесу, вам нужно это руководство по защите Crypto])022/10/9/images/3d66d91a90d6ecd435f311102acf78a8.png(
![Идя по тёмному лесу шифрования, вам нужно это руководство по защите Crypto])022/10/9/images/64868aefc809eadb131fff483e498ee6.png(
![Идя по тёмному лесу шифрования, вам нужен этот гайд по защите Crypto])022/10/9/images/e5ec7c0002777c8a85b9409a87988584.png(
![Идти по шифрованию темного леса, вам нужно это руководство по защите Crypto])
На этой странице может содержаться сторонний контент, который предоставляется исключительно в информационных целях (не в качестве заявлений/гарантий) и не должен рассматриваться как поддержка взглядов компании Gate или как финансовый или профессиональный совет. Подробности смотрите в разделе «Отказ от ответственности» .
Анализ текущего состояния безопасности шифрования: война атак и защиты за 2 миллиарда долларов, украденных.
Глубокое обсуждение текущего состояния безопасности Криптоактивов
В этом году хакеры украли более 2 миллиардов долларов из криптоактивов. В последнее время отрасль снова столкнулась с двумя крупными кражами: сервис мгновенного обмена на одной из торговых платформ потерял более 21 миллиона долларов, а кросс-чейн мост одной из публичных цепочек был атакован и понес убытки около 5,66 миллиарда долларов.
С развитием экосистемы криптоактивов борьба за безопасность будет только усиливаться. В этой статье будет:
Один. Типы хакерских атак
Экосистема крипто-приложений состоит из протоколов взаимодействия, поддерживается смарт-контрактами и зависит от базового блокчейна и сетевой инфраструктуры. На каждом уровне этого технологического стека существуют уникальные уязвимости. Мы можем классифицировать хакерские атаки в зависимости от целевого уровня атаки и используемых методов.
Атака на инфраструктуру
Данные атаки используют уязвимости базовой системы, включая блокчейн, применяемый для консенсуса, услуги фронтенд-сетей и инструменты управления приватными ключами.
Атака языка смарт-контрактов
Атака этого уровня использует уязвимости и недостатки языка смарт-контрактов (, такого как Solidity ), например, реентерабельность и рискованные реализации делегированных вызовов, которые можно избежать, следуя лучшим практикам безопасности.
логика атакующего протокола
Подобные атаки нацелены на ошибки бизнес-логики в отдельных приложениях. Хакеры могут обнаружить и использовать ошибку, вызывая поведение, которое разработчики не ожидали.
Например, если в формуле расчета доходности пользователей нового децентрализованного обменника возникнет ошибка, это может быть использовано для получения пользователями доходности, превышающей нормальный уровень.
Логические атаки на уровне протокола также могут быть нацелены на системы управления приложениями.
Атакующая экосистема
Многие известные шифрование-хакерские атаки использовали взаимодействие между несколькими приложениями. Наиболее распространенным является то, что хакеры используют логическую ошибку в одном протоколе, одновременно используя средства, заимствованные из другого протокола, чтобы увеличить масштаб атаки.
Такие атаки обычно связаны с шифрованием займов. При выполнении шифрования займа злоумышленник может занять значительные суммы из ликвидных пулов некоторых протоколов.
Два, Анализ данных
Я собрал данные о 100 крупнейших хакерских атаках на криптоактивы с 2020 года, общая сумма украденных средств составила 5 миллиардов долларов.
Атаки на экосистему происходят чаще всего, составляя 41%.
Наибольшие потери средств вызваны логическими уязвимостями в протоколах.
Три крупнейшие атаки по сумме: атака на один кроссчейновый мост на сумму 16.24 миллиарда долларов (, атака на одну сеть на сумму 16.11 миллиарда долларов ) и атака на один кроссчейновый мост на сумму 15.7 миллиарда долларов (.
Если исключить три основные атаки, то финансовые потери от атак на инфраструктуру окажутся наибольшими.
![Идя по криптотемному лесу, вам нужно это руководство по защите Crypto])022/10/9/images/5aa642028ff5c409ae7f0720ae562d9e.png(
Три. Распространенные методы атак хакеров
) Инфраструктура
61% уязвимостей инфраструктуры связаны с утечкой приватных ключей неизвестным образом. Хакеры могут получить эти ключи с помощью методов социального инженерии, таких как фишинговые письма и ложные объявления о найме.
( Язык смарт-контрактов
Атака с повторным входом является самым распространённым типом атак на уровне смарт-контрактов.
В случае повторного входа, уязвимые функции в смарт-контрактах вызывают функции на злонамеренных контрактах. Либо, когда уязвимый контракт отправляет токены на злонамеренный контракт, может быть вызвана функция в злонамеренном контракте. Затем, прежде чем контракт обновит свой баланс, злонамеренная функция вызывает уязвимую функцию в рекурсивном цикле.
Например, в случае атаки на протокол функция извлечения залоговых токенов легко подвержена повторному входу и может вызываться многократно ) каждый раз, когда злонамеренный контракт получает токены ###, пока все залоги не будут исчерпаны.
логика протокола
Уязвимости на уровне протокола в основном уникальны для конкретных приложений, поскольку каждое приложение имеет свою уникальную логику (, если это не чистый форк ).
Ошибки контроля доступа являются наиболее распространенной проблемой, повторяющейся в выборке. Например, в одном из случаев сетевого хакерства в кросс-цепочном управлении контрактом была функция, которую мог вызывать любой для выполнения кросс-цепочных транзакций.
Стоит отметить, что иногда несколько протоколов, использующих одну и ту же технологию, подвергаются атакам хакеров, поскольку команда разделила уязвимый код.
Например, несколько форков одного кредитного протокола стали жертвами атак повторного входа, потому что код оригинального протокола не проверял эффект взаимодействия перед его разрешением. Это было приемлемо для оригинального протокола, поскольку они проверяли уязвимости каждого нового поддерживаемого токена, но команды форков этого не сделали.
Экосистема
98% атак на экосистему использовали займы с мгновенной ликвидностью.
Атаки на займы с использованием молний обычно следуют следующей модели: использование займов для крупномасштабных транзакций, что приводит к повышению цены токенов на автоматических маркетмейкерах, используемых в качестве ценовых оракулов для протоколов займов. Затем в той же транзакции используются раздутые токены в качестве залога для получения займа, значительно превышающего их реальную стоимость.
Четыре, цель атаки хакеров
Анализируйте данные в зависимости от блокчейна, на котором находится атакованный контракт или кошелек. Наибольшее количество хакерских атак было зафиксировано на Ethereum, который занимает 45% от выборки. Одна публичная цепочка занимает второе место с долей 20%.
Причин для этого много:
Украденные средства Эфириума составляют до ###20 миллиардов долларов (. Одна из публичных блокчейн-сетей занимает второе место с )8.78 миллиардов долларов (.
Атаки на кросс-цепочные мосты или многоцепочные приложения оказали огромное влияние на наборы данных. Несмотря на то что такие хакерские инциденты составляют всего 10% от общего числа, они украли 2.52 миллиарда долларов.
![Идя по тёмному лесу криптоактивов, вам нужно это руководство по защите Crypto])022/10/9/images/ead9c91649e37e85413ab00998a91e2b.png(
Пять. Способы предотвращения хакерских атак
Для каждого уровня технологического стека мы можем использовать некоторые инструменты для раннего выявления потенциальных векторов атак и предотвращения атак.
) Инфраструктура
Большинство крупных атак на инфраструктуру связаны с получением конфиденциальной информации, такой как частные ключи. Соблюдение хороших практик операционной безопасности (OPSEC) и регулярное моделирование угроз могут снизить вероятность таких инцидентов. Команды разработчиков с хорошими процессами OPSEC могут:
) Язык смарт-контрактов и логика протокола
Инструменты для фуззи-тестирования могут проверять, как смарт-контракты реагируют на большое количество случайно сгенерированных транзакций. Это отличный способ выявить крайние случаи, когда определенные входные данные приводят к неожиданным результатам.
Статические аналитические инструменты могут автоматически обнаруживать уязвимости в смарт-контрактах. Эти инструменты отлично подходят для быстрого выявления распространенных уязвимостей, но они могут выявлять только заранее определенные проблемы.
Инструменты формальной верификации будут сравнивать смарт-контракты с написанными разработчиками спецификациями. Эти спецификации подробно описывают, что должно делать код и какие свойства требуются.
Недостатком формальной верификации является то, что тестирование может соответствовать только стандартам спецификации. Если предоставленная спецификация не описывает определенные действия или слишком свободна, то процесс верификации не сможет выявить все ошибки.
В ходе аудита или рецензирования группа доверенных разработчиков будет тестировать и оценивать код проекта. Аудитор подготовит отчет, в котором подробно изложит выявленные уязвимости и рекомендации по их устранению.
Привлечение профессиональной сторонней организации для проведения аудита контрактов — это хороший способ выявить уязвимости, которые могли быть упущены первоначальной командой. Однако аудиторы тоже люди, и они никогда не смогут поймать все уязвимости. Кроме того, необходимо доверять аудиторам и верить, что они честно сообщат о выявленных проблемах, а не воспользуются уязвимостями в своих интересах.
Хотя атаки на экосистему являются наиболее распространенным и разрушительным типом, в существующих инструментах мало специализированных, предназначенных для предотвращения таких атак. Автоматизированные средства безопасности обычно сосредотачиваются только на ошибках в одном контракте. Аудиты часто не могут решить, как использовать взаимодействие между несколькими протоколами в экосистеме.
Некоторые инструменты мониторинга могут предоставить раннее предупреждение в случае комбинированной атаки, чтобы команда могла принять меры. Однако в случае атаки через флеш-кредит, средства часто украдаются за одну транзакцию, поэтому любое предупреждение может прийти слишком поздно, чтобы предотвратить огромные потери.
Модель обнаружения угроз может быть использована для выявления злонамеренных транзакций в пуле памяти, перехватывая их до обработки узлами, но хакеры могут обойти эти проверки, отправляя транзакции напрямую майнерам через определенные сервисы.
Шесть. Будущее шифрования безопасности
У меня есть два прогноза относительно будущего шифрования безопасности:
рецензирование
Безопасная работа не должна заканчиваться после аудита. Во многих случаях уязвимости возникают из-за ошибок, введенных в процессе обновлений после аудита.
![Идя по темному лесу шифрования, вам нужно это руководство по защите Crypto])022/10/9/images/672bee3001359b685f77766375346ddc.png(
![Идя по шифрованному темному лесу, вам нужно это руководство по защите Crypto])022/10/9/images/3d66d91a90d6ecd435f311102acf78a8.png(
![Идя по тёмному лесу шифрования, вам нужно это руководство по защите Crypto])022/10/9/images/64868aefc809eadb131fff483e498ee6.png(
![Идя по тёмному лесу шифрования, вам нужен этот гайд по защите Crypto])022/10/9/images/e5ec7c0002777c8a85b9409a87988584.png(
![Идти по шифрованию темного леса, вам нужно это руководство по защите Crypto])