从 100 个攻击事件分析加密攻击类型、工具、防范方法和未来预测

加密安全启示录

黑客今年从加密应用程序中窃取了2B多美元。DAOrayaki去中央化编辑委员会写这篇文章时，发生了两起黑客攻击事件：Rabby wallet，Solana生态中心金融平台Mango。随着加密生态系统的发展和吸引更多恶意行为者，问题只会进一步恶化。有些事情必须改变。是时候后退一步，反思过去的错误，改变我们在这个行业处理安全性的方式了。

在这句话里，我们将：

提出了对加密货币黑客进行分类的框架

概述迄今为止最赚钱的黑客使用的方法

回顾一下目前为防止黑客而使用的工具的优点和缺点

讨论加密货币安全的未来。

1、加密货币黑客攻击分类框架

加密应用生态系统由可互操作的协议组成，由智能协议支持，取决于主链和互联网的基本基础设施。

因为堆栈中的每一层都有自己的漏洞。可以根据使用的堆栈层次和使用方法对加密黑客进行分类。

基础设施

对基础设施层的攻击利用了支持加密应用程序的基本系统的弱点。也就是说，依靠商定的区块链、前端的互联网服务和私钥管理的工具。

智能合同语言

这层黑客利用了Solidity等智能合同语言的弱点。智能合同语言存在众所周知的漏洞，例如重新进入和实施错误委托调用的风险，并且可以遵循最佳实践来缓解这些漏洞。

*有趣的事实：在对Etherfance的安全审计中，Least Authority发现了执行6000万美元The DAO黑客攻击的漏洞。有趣的是，如果在发表之前已经修好了，事情会有多大变化。

协议逻辑

这些攻击在单个应用程序的业务逻辑中利用错误。黑客发现错误后，可以使用它触发应用程序开发人员无意的动作。

例如，如果确定用户从exchange中获得了多少数学方程的新集中式交易中存在错误，则使用此错误可以从exchange中获得比可能更多的钱。

协议逻辑级别攻击还可以利用现有治理系统来控制应用程序的参数。

生态系统

许多最有影响力的加密黑客利用了多个应用程序之间的交互。最常见的变形是黑客利用从其他协议借用的资金，利用一个协议的逻辑错误扩大攻击规模。

一般来说，用于生态系统攻击的资金是通过快速贷款借入的。在进行闪电贷款时，如果资金从同一笔交易中返还，则可以从Aave、dYdX等合同的流动性池中借入尽可能多的资金。不需要提供担保物。

2、数据分析。

从2020年开始收集了100个最大的加密黑客数据集，总共获得了5B美元的被盗资金。

生态系统攻击最常发生。占样本组的41%。协议逻辑漏洞造成的损失最大。

数据集中最大的三次攻击Ronin bridge攻击(6.24亿美元)、Poly Network黑客(6.11亿美元)和Binance bridge黑客(5.7亿美元)——对结果产生了重大影响。

除了前三个攻击外，基础设施黑客攻击是损失资金影响最大的类别。

3、黑客怎么办

基础设施攻击

在样本组中，61%的基础设施漏洞利用中，私钥以未知的方式遭到破坏。黑客可能通过网络钓鱼电子邮件、虚假招聘广告等社交攻击获得了对该私钥的访问权限。

智能合同语言攻击

再攻击是智能合同语言水平上最受欢迎的攻击类型。

在再入攻击中，易受攻击的智能合同的函数调用恶意联系人的函数。或者，脆弱的合同向恶意合同发送令牌时，可能会触发恶意合同的功能。然后，在合同更新余额之前，这个恶意函数将回调递归循环中易受攻击的函数。

例如，从Siren Protocol hack中提取抵押代币的功能将被反复调用，直到容易重新输入并用完所有抵押物(每次恶意合同收到代币)。

协议逻辑攻击

协议层中的大多数漏洞都是特定应用程序特有的。因为每个应用程序都有自己的逻辑(如果不是纯分叉)。

访问控制错误是样本组中最常出现的问题。例如，在“Poly Network hack”，“EthCrossChainManager”合同具有任何人都可以调用以执行链间事务的功能。

该协议有“EthCrossChainData”协议，因此，如果将“EthCrossChainData”设置为链间交易的目标，则可以跳过onlyOwner()审查。

剩下的事情是改变哪些公钥被定义为合同的“保管人”，并创造出夺取控制权、耗尽资金的正确信息。最终用户绝对不能访问“EthCrossChainData”协议的功能。

* *注意：大多数情况下，多个协议使用相同的技术被黑客入侵。因为团队分离了有漏洞的代码库

例如，CREAM、Hundred Finance和Voltage Finance等许多Compound分叉成为再入攻击的受害者。因为Compound中的代码在允许交互之前不检查交互的效果。对Compound来说，效果很好，因为他们检查了他们支持的所有新代币的漏洞，但是分叉队没有做出这样的努力。

生态系统攻击

生态系统攻击中98%使用了闪电

Flashloan攻击通常遵循使用贷款进行大规模交换、AMM的代币涨价以及AMM用作价格供应的公式。然后在同一笔交易中使用膨胀的代币作为抵押，获得了比实际价值高得多的贷款。

4、实施黑客攻击的时机。

数据集不够大，无法从时间分布中获得有意义的趋势。但是我们可以看到，不同类型的攻击在不同的时间更频繁地发生。

2021年5月是生态系统攻击的历史最高值。2021年7月协议逻辑攻击最多。2021年12月发生的基础设施攻击最多。很难判断这样的集群是巧合还是成功的成功事例，并激励相同的演员或其他人专注于特定的类别。

智能合同语言水平的漏洞利用最少。这套数据集始于2020年，当时这个类别中的大多数漏洞利用已经广为人知，可能会早发现。

随着时间的推移，被盗资金的分布有四个主要峰值。2021年8月有一个高峰，由Poly Network黑客驱动。2021年12月，在无数基础设施黑客攻击(如8 GIGHT FINANCE，而且，在Ronin黑客的攻击下，2022年3月创下了历史新高。最后一个高峰是由BNB大桥的袭击造成的。

黑客在哪里运行

根据托管资金被盗的合同或钱包链划分数据集。以太的黑客数量最多，占样本组的45%。货币安全智能链(BSC)以20%位居第二。

造成这种情况的因素有很多。

以太坊和BSC的总锁定价值(存入应用程序的资金)最高，因此对这些链条上的黑客来说，奖金规模更大。

大多数加密开发人员都知道以太网和BSC选择的智能合同语言Solidity，并且有支持该语言的更复杂的工具。

以太被盗资金最多(20亿美元)，BSC位居第二(8.78亿美元)。以太坊、BSC和Polygon的资金被盗黑客在一次事件中排名第三(6.89亿美元)。这主要是因为波利网络攻击。

与链桥或多链应用程序相关的黑客(如多链交换或多链贷款)对数据集的影响很大。虽然只有10%的案件，但这些黑客占据了25.2亿美元的被盗资金。

6、我们如何防止黑客入侵

对于威胁堆栈中的每一层，都可以使用早期识别潜在攻击向量和防止攻击的工具。

基础设施

大多数大规模的基础设施黑客攻击包括获取私钥等敏感信息的黑客。遵守OPSEC (Opsecurity Security)做法并进行反复威胁建模，可以减少出现这种情况的可能性。具有良好OPSEC流程的开发人员团队将：

识别敏感数据(私钥、员工信息、API密钥等)

确定可能的威胁(社交攻击、技术漏洞、内部威胁等)

识别现有安全防御的弱点和弱点

确定每个漏洞的威胁级别

制定和实施减轻威胁的计划。

智能合同语言和协议逻辑

模糊测试

Echidna等模糊的测试工具可以测试智能合同对随机生成的大量交易的反应。这是一种检测特定输入导致意外结果的边缘条件的好方法。

静态分析

静态分析工具(如Slither和Mythril)可自动检测智能合同的漏洞。这些工具有助于快速挑出常见漏洞，但只能捕获一系列预定义的问题。如果智能合同有工具规范中没有的问题，那就看不到了。

格式验证

格式验证工具(如Certora)将智能合同与开发人员编写的规范进行比较。这个规范详细说明了代码需要做的事情和需要的属性。例如，开发贷款应用程序的开发人员可以指定每个贷款必须有足够的抵押物支持。

如果智能合同的所有可能行为都不符合规定，正式证明者将识别违规。

形式化验证的弱点是测试和规范一样好。如果提供的规格不考虑特定行为或太松，则验证过程无法捕获所有错误。

审计和同行审查

在审计或同行审查中，由可信的开发人员团队测试和审查项目代码。审计员将编写一份报告，详细说明发现的漏洞以及如何解决这些问题的建议。

让第三方专家审阅合同是识别原来团队遗漏的漏洞的好方法。但是审计员也是人类动物，所以不可能发现一切。另外，对此也需要信任。监查院发现问题后，不要自己利用，会告诉你的

生态系统攻击

可悲的是，生态系统攻击是最常见和最具破坏性的变形，但工具箱中没有多少工具适合防止这种类型的攻击。

自动安全工具的重点是一次在一个联系人中发现错误。审计通常不能解决生态系统中如何利用多个协议之间的交互。

监控工具(如Forta和Tenderly Alerts)可以在发生可组合攻击时发送警报，以便团队采取行动。但是，在闪电贷攻击期间，资金通常在单一交易中被盗，因此任何警报都来得太迟，无法防止巨大损失。

威胁检测模型可用于在内存池中查找恶意交易。在这里，交易在节点处理之前，但黑客可以使用flashbots等服务将交易直接发送给矿工，从而绕过这些检查。

7、加密安全未来预测

1)我们相信，最好的团队将把安全从基于事件的实践(测试-同行审查-审计)转变为持续的实践过程

对主代码库中的每个添加运行静态分析和模糊测试。

对每次重大升级运行格式验证。

使用暂停整个应用程序或特定受影响模块的响应操作设置监视和警报系统。

让一些团队成员专门负责制定和维护安全自动化和攻击响应计划。

安全性不是要填充和保留的复选框集。安全工作不应在审计后结束。在很多情况下(例如Nomad bridge hack)，漏洞利用基于审核后升级中引入的错误。

2)为应对黑客攻击，加密安全社区的过程将更加系统和简化。每当黑客攻击发生时，贡献者都会涌向想要帮助的加密安全组聊天，但组织不足意味着重要的细节可能会在混乱中丢失。我看到，今后其中一些集团将转变为更具结构性的组织。

使用链监控和社交媒体监控工具快速检测主动攻击。

使用安全信息和事件管理工具协调操作。

独立工作流具有多种渠道，可传达白黑客业务、数据分析、根本原因理论和其他任务。

单击下载

European Exchange金融投资European Exchange(也称为Eurokx)是世界领先的数字资产交易所，为全球用户提供比特币、莱特货币、以太网货币等数字资产的现货和衍生品交易服务，并使用区块链技术为全球交易者提供高级金融服务。这是一个非常古老的数字货币交易平台，平台为我们提供安全、专业的数字货币交易经验，为新手提供完整的流程指导，使其易于启动，通过客服24小时在线回复提供最佳服务。