jakiro
Autor: Jagjit Singh, CoinTelegraph;
1. potenzielle Schwachstellen in intelligenten Verträgen
Obwohl intelligente Verträge bahnbrechend sind, sind sie nicht immun gegen Fehler, die böswillige Parteien ausnutzen können.
Eine unzureichende Eingabeüberprüfung ist eine häufige Schwäche, die es einem Angreifer ermöglicht, die Ausführung eines Vertrags durch unerwartete Input zu beeinflussen.Darüber hinaus kann eine unsachgemäße Anwendung der Geschäftslogik unerwartete Verhaltensweisen oder logische Lücken im Vertrag erzeugen, was zu Schwachstellen führt.Darüber hinaus können unsichere externe Anrufe (z. B. Anrufe mit Schnittstellen mit externen Datenquellen oder anderen Verträgen) bei unsachgemäßer Handhabung Schwachstellen erzeugen.
Ein Wiedereintrittsangriff ist eine Schwäche, die auftritt, wenn ein Vertrag einen weiteren Vertrag von außen anruft, bevor er seine eigene staatliche Änderung abgeschlossen hat.Dadurch kann der angerufene Vertrag den Anrufvertrag erneut eingeben und möglicherweise einige seiner Operationen erneut ausführen.Dies kann zu unerwartetem Verhalten führen und es einem Angreifer ermöglichen, den Status des Vertrags zu ändern, wodurch Fonds entleeren oder andere negative Auswirkungen haben können.
Angesichts der Möglichkeit solcher Angriffe sollten Entwickler auch Vorsicht wenden, wenn externe Verträge oder Datenquellen verwendet werden, um sicherzustellen, dass externe Anrufe ordnungsgemäß verarbeitet werden, um unerwartete Verhalten und Schwachstellen zu vermeiden.Sie können dazu beitragen, intelligente Verträge vor ständig ändernden Bedrohungen zu schützen, indem sie Sicherheitsprogramme wie Smart Contract Tests genau im Auge behalten.
2. Was ist ein Wiedereintrittsangriff in einem intelligenten Vertrag?
In einem intelligenten Vertrag tritt ein Wiedereintrittsangriff auf, wenn ein Vertrag einen weiteren Vertrag oder eine Funktion von außen anruft, bevor er eine eigene staatliche Änderung abgeschlossen hat.
Dies ermöglicht es dem genannten Vertrag, den Anrufvertrag wieder einzugeben, und kann einen Teil seiner Operationen erneut ausführen, was zu unvorhergesehenem und häufigen böswilligen Verhalten führen kann.Zum Beispiel einen Aufrufvertrag b zum Senden von Geldern und dann seinen eigenen Status.
Der Vertragskodex B kann eine Rückruffunktion enthalten, mit der er den Vertrag A erneut eingeben kann und die Übertragungsfunktion erneut ausführen kann, bevor er vertrag A. seine staatliche Änderung abschließt.Auf diese Weise kann der Angreifer vor Abschluss der ersten Transaktion mehrmals Mittel aus dem Vertrag erhalten.
Das 2016 Dezentrale autonome Organisation (DAO) Hacking auf der Ethereum-Blockchain ist ein weiteres bekanntes Beispiel.Der Angreifer nutzte die Wiedereintrittsfehler im Smart Contract Code, um die Mittel aus dem DAO rekursiv zu entfernen, was schließlich zu den gestohlenen Millionen Dollar in Ethereum (ETH) führte.
Darüber hinaus erlitten aufgrund von Schwachstellen bei der Wiederbeeinflussingfähigkeit mehrere dezentrale Finanzierungsprotokolle (Defi) -Protokolle wie UNISWAP, Lendf.Me, BurgersWAP, Chirurgbnb, Cream Finance und Siren Protocol erhebliche finanzielle Verluste.Diese Verstöße verursachten Verluste von 3,5 bis 25 Millionen US -Dollar, was die anhaltende Bedrohung durch wiedereintretende Schwachstellen im Defi -Sektor hervorhob.
3. Wie man Angriffe wieder eintritt
Wiedereintrittsangriffe verwendet die sequentielle Ausführung intelligenter Vertragsfunktionen und externe Aufrufe, um eine Schleife zu bilden, bei der ein Angreifer vor dem Abschluss mehrmals bestimmte Funktionen ausführen kann, was zu böswilligem Verhalten und nicht autorisierter Rücknahme von Mitteln führen kann.
Der Vertrag des Angreifers „betrogen“ den Vertragsaufruf des Opfers zum Vertrag des Angreifers, bevor das Opfer die Statusänderung abschließt.Diese Aktion kann zu wiederholten Abhebungen oder anderen Fahrlässigkeit führen.
Das obige Bild zeigt einen Wiedereintrittsangriff auf intelligente Verträge.Der Vertrag des Angreifers ruft die Funktion des Opfers „ab () ()“, die Ethereum vor dem Aktualisieren des Saldos sendet.Die Fallback -Funktion des Angreifers wird dann abgefeuert und ruft erneut zurück, um die Mittel aus dem Opfervertrag zu entfernen.Dieser Angriff nutzt die Situation aus, in der das Opfer das Gleichgewicht nicht aktualisiert hat, bevor er die Mittel sendete.
Lassen Sie uns ein vereinfachtes Beispiel verwenden, um die Funktionsweise von Wiedereintrittsangriffen aufzuschlüsseln:
Smart -Vertrag mit „Abhebungs“ -Funktion
Angenommen, es gibt einen digitalen Brieftaschenvertrag, mit dem Benutzer Mittel abheben können.Neben der Verfolgung von Benutzerbilanzen hat der Vertrag auch eine Auszahlungsfunktion, um die Rücknahme von Geldern zu erleichtern.Mit der Auszahlungsfunktion können Benutzer normalerweise ihre Token oder Ethereum von intelligenten Verträgen in ihre persönliche Brieftasche zurückziehen.
Benutzerinteraktion und Funktionsausführung
Der Benutzer beantragt die Rücknahme aus der Brieftasche alleine.Sie verwenden die Auszahlungsfunktion, um den erforderlichen Auszahlungsbetrag einzugeben.
Die Auszahlungsfunktion überprüft, wann der Benutzer genügend Mittel zum Abheben hat.Wenn die Anforderungen erfüllt sind, überträgt sie die erforderlichen Mittel an die vom Benutzer ausgewählte Adresse.
Externer Anruf
Hier erscheinen Schwächen.Der Vertrag trifft einen externen Anruf zu einem anderen Vertrag oder Konto, bevor sich die Auszahlung im Saldo des Benutzers widerspiegelt.
Rekursiver Anruf
Wenn der Kodex des externen Vertrags eine Funktion enthält, die den ursprünglichen Vertrag erneut aufrufen kann (z. B. eine andere Auszahlungsfunktion), wird eine rekursive Schleife erstellt.Auf diese Weise kann die Abzugsmethode erneut aufgerufen werden, bevor sie fertig ist.
Wiedereintritt und Nutzung
Der Angreifer verwendet dann einen böswilligen Vertrag, um diese Schleife auszunutzen.Der Angreifervertrag ruft schnell die Rückzugsfunktion der Brieftasche erneut auf, bevor der Restbetrag während des Brieftaschenvertrags aktualisiert wird.
Fallback -Funktion
In einigen Fällen kann der Fallback -Funktion eines intelligenten Vertrags (eine einzigartige Funktion, die eingeleitet wird, wenn ein Vertrag einen Anruf ohne Daten oder Ethereum erhält) vom Angreifer verwendet werden.Wiedereintrittsangriffe können durchgeführt werden, indem die Fallback -Funktion wiederholt aufgerufen wird, während die Mittel noch verarbeitet werden.
Manipulation und wiederkehrende Abhebungen
Der Vertrag des Angreifers kann die Auszahlungsfunktion in derselben Transaktion wiederverwenden, da der Brieftaschenvertrag die Aktualisierung des Guthabens verzögert, bis ein externer Anruf eingegangen ist.Dies erleichtert es daher, dass die Mittel ohne Genehmigung zurückgezogen werden, sodass die Angreifer über ihre gesetzlichen Rechte hinaus stehlen können.Anschließend verursachte es den Nutzern des Brieftaschenvertrags enorme wirtschaftliche Verluste.
4. Die Folgen des Wiedereintritts von Angriffen
Wiedereintrittsangriffe können ernsthafte Auswirkungen auf Smart Contract -Nutzer haben, da sie das Potenzial haben, erhebliche finanzielle Verluste zu verursachen.
Eine der direktesten Folgen eines Wiedereintrittsangriffs ist die nicht autorisierte Auszahlung oder Manipulation von Bargeld, die in einem anfälligen intelligenten Vertrag eingespart werden.Der Angreifer nutzte die Anfälligkeit, wiederholt Fonds aus dem Vertrag abzuheben, den Vertragsbilanz zu erschöpfen und möglicherweise erhebliche finanzielle Verluste für Benutzer zu verursachen, die Vermögenswerte in den betroffenen Vertrag investieren oder speichern.
Darüber hinaus können Wiedereintrittsangriffe das Vertrauen der Benutzer in die Sicherheit und Integrität von intelligenten Verträgen und Blockchain -Technologien schwächen.Wiedereintrittsschwachstellen können katastrophale Auswirkungen haben, wie hochkarätige Ereignisse wie den DAO-Hacking-Vorfall auf die Ethereum-Blockchain im Jahr 2016 belegen, die enorme wirtschaftliche Verluste verursachten und den Ruf der Gemeinschaft beschädigten.
Zusätzlich zu kurzfristigen finanziellen Konsequenzen können Wiedereintrittsangriffe langfristige Auswirkungen wie regulatorische und rechtliche Bedenken haben, das Vertrauen des Anlegers und Schäden am Ruf von Blockchain-Plattformen und -projekten beeinträchtigen.Die Wahrnehmung von Verwundbarkeit kann dazu führen, dass die Benutzer bei der Interaktion mit intelligenten Verträgen oder bei der Investition in dezentrale Anwendungen (DAPPs) vorsichtig sind, wodurch die Einführung und Erweiterung der Blockchain -Technologie behindert wird.
5. wie man Wiedereintrittsangriffe mildern kann
Die Implementierung bewährter Verfahren zur Erstellung und Prüfung intelligenter Vertragsvertrag ist erforderlich, um die Gefahr eines Wiedereintritts zu mildern.
Dies beinhaltet die Verwendung einer bekannten Codebasis mit einem sicheren Datensatz, was eine Möglichkeit ist, dies zu erreichen.Diese Bibliotheken wurden ausgiebig getestet und von Experten begutachtet, was die Wahrscheinlichkeit, Schwachstellen einzuführen, verringert.
Entwickler sollten auch Sicherheitsüberprüfungen wie „Check-Effect-Interaktionsdesigns“ verwenden, um die Wahrscheinlichkeit von Wiedereintrittsangriffen zu minimieren, indem sicherstellen, dass Zustandsänderungen atomisch erfolgen.Wenn Sie verfügbar sind, können Sie einen wiederentwickelten und sicheren Rahmen für intelligente Vertragsentwicklungen verwenden, um eine zusätzliche Verteidigung gegen solche Schwachstellen hinzuzufügen.
Für Entwickler ist es unwahrscheinlich, dass Entwickler den Sicherheitsschutz manuell hinzufügen, da diese Frameworks häufig integrierte Methoden und Schutzmaßnahmen enthalten, die speziell zur Vermeidung von Wiedereintrittsangriffen entwickelt wurden.Da sich die Blockchain -Sicherheit jedoch noch weiterentwickelt, müssen Entwickler weiterhin nach neuen Bedrohungen und Schwächen suchen.
