本文作者:admin

Web2漏洞:Web3项目中被忽视的风险

admin 2023-09-14 57
Web2漏洞:Web3项目中被忽视的风险摘要: 要点去中心化金融(DeFi)项目因Web2漏洞而纷纷成为黑客攻击的目标。在最近的两个案例中,黑客选择从标签管理和域名系统漏洞入手,以破坏DeFi项目的安全性。为保护整个生态系统的安...

要点

  • 去中心化金融(DeFi)项目因Web2漏洞而纷纷成为黑客攻击的目标。

  • 在最近的两个案例中,黑客选择从标签管理和域名系统漏洞入手,以破坏DeFi项目的安全性。

  • 为保护整个生态系统的安全,Web3项目团队需重点关注Web2的安全性要求。

过去几个月里,我们已经看到,众多Web3项目遭黑客攻击,这些黑客利用Web2漏洞窃取了数十万美元的用户资金。其他项目需从中吸取经验教训,引以为戒。我们需要对这些Web2漏洞进行反思,从而携手保护Web3生态系统的安全。

区块链技术已彻底改变了金融领域。用户已能够使用自托管、智能合约和Web3产品,直接管理自己的资金和投资。然而,随着外部环境的不断变化,我们需要在去中心化和安全性之间取得平衡。当涉及到普通用户的资金时,安全性显得尤为重要。由于Web3具有去中心化性质,其通常侧重于确保区块链协议和智能合约稳健、安全且没有漏洞,因为这些协议与合约是不同产品和平台的核心。 

然而,为在核心区块链协议之上运行附加功能,许多Web3项目仍然依赖Web2框架和技术。因此,黑客开始利用Web2漏洞作为窃取项目和用户资金的攻击向量。例如,黑客往往从前端代码或系统漏洞入手,而非攻击智能合约本身。

这些Web2漏洞具体是什么?它们如何运作?我们又该采取怎样的应对措施?为解答这些问题,下文将对近几个月中曾遭受过Web2漏洞攻击的两个主要DeFi项目KyberSwap和Curve Finance进行介绍,并从这两个案例中总结出经验教训,确保整体社区的安全性。

Kyberswap因Google标签管理器漏洞损失$265,000

2022年9月1日,去中心化交易平台KyberSwap遭遇前端漏洞攻击,损失了$265,000。这次攻击究竟是如何发生的呢?简而言之,黑客在KyberSwap的Google标签管理器(GTM)中插入了恶意代码,因而得以将用户资金转移至其自身的地址。 

Web2漏洞之一:Google标签管理器(GTM) 

GTM之所以能成为Web2漏洞,是因为它与KyberSwap的智能合约或区块链协议功能无关。相反,GTM是一个标签管理系统,可用于添加和更新数字营销标签,从而进行转化追踪和站点分析等。黑客可通过网络钓鱼进入KyberSwap的GTM账户,随后在其中插入恶意代码。由于KyberSwap前端受损,犯罪分子便可窃取用户资金,最终引发了高达$265,000的损失。 

此种脚本专门针对巨鲸钱包。最终,KyberSwap背后的流动性枢纽Kyber Network设法禁用了GTM并删除了恶意脚本,从而阻止了进一步犯罪活动的发生。附注:KyberSwap宣布将对此次攻击引发的所有损失进行赔偿。然而,如果KyberSwap之前对Web2的安全性给予更多关注,则此类前端攻击完全可以避免。

Curve Finance因DNS漏洞损失$570,000

KyberSwap并非唯一一个近期遭受前端漏洞攻击的DeFi项目。2022年8月9日,一群黑客利用Curve Finance去中心化交易平台的一处漏洞,从用户钱包中窃取了价值$570,000的以太币。此次前端攻击由DNS缓存中毒造成,黑客利用该漏洞将试图访问Curve Finance域的用户重新引导至一个假冒的山寨网站。

Web2漏洞之二:DNS缓存中毒 

DNS是域名系统的简称,是让大众能够轻松浏览互联网的一个重要工具。每当有人键入域名时,其设备就会向DNS服务器发送查询请求,以获取相关的IP地址。 

通常情况下,该查询请求会辗转多个DNS服务器,直至找到相应的IP地址。我们可以将互联网视为一个巨大而错综复杂的高速公路系统,每条道路均通往不同的网站。在这些道路上,DNS服务器发挥着交通警察的作用,引导车辆向正确的方向行驶。

在Curve Finance案例中,黑客克隆了一个一模一样的Curve DNS服务器,将用户重新引导至一个外观与Curve项目完全相同的山寨网站。犯罪分子因而得以在Curve“主页”中植入恶意合约。当用户在其钱包上批准使用合约时,其资金便被洗劫一空,总损失达$570,000。

DeFi项目该如何保护其用户?经验教训总结

我们可以从这些案例中得出一条最重要的经验,即如果一个Web3项目未将Web2安全放在同等重要的位置,无论您的智能合约有多安全,仍可能存在漏洞风险。因此,项目团队需要考虑Web2和Web3领域之间可能存在的差距,并对整体项目安全承担更大的责任。 

GTM漏洞经验总结 

在KyberSwap和GTM漏洞的案例中,团队需时刻谨记,务必使用双重身份验证(2FA)来保护GTM账户等辅助工具。此外,对于可在项目网站上部署代码的账户,访问权限应仅分配给少数必要人员。由于下放代码部署权限风险极大,因此需要设置一个合适的访问控制系统。例如,币安平台将访问权限分为三种不同的角色,分别为标签开发者、安全检查员和发布者。单一角色权限均无法添加新的网站代码,只有三种权限同时使用时方可实现。

DNS漏洞经验总结 

避免使用已被污染的DNS服务器比事后处理容易得多。普通用户可以做好以下几点,保障自己的资金安全:

  • 不要点击可疑的链接。

  • 定期清除DNS缓存。

  • 定期扫描设备上的有害程序。

在DNS存在漏洞的情况下,普通用户能够采取的自我保护措施非常有限。被破坏的DNS服务器通常会将用户重新引导至一个克隆的主页,用户根本难辨真伪。  

因此,加密货币公司应当承担起这份责任。项目团队应选择安全且信誉良好的域名管理供应商。在Curve Finance黑客事件中,币安CEO赵长鹏在Twitter上指出,Curve Finance使用了“不安全的DNS,所有Web3项目均需引以为戒,因为不安全的DNS非常容易受到社交工程的攻击。”

项目团队不应为削减成本而试图选择低端的DNS供应商。可靠的供应商支持自定义协议,可避免黑客更改域名设置。 

尽管Web3提供了大量机会,但我们不应忽视前一个互联网时代以来便一直存在的安全威胁。让我们时刻保持警惕,携手全面保护我们的生态系统。

推荐阅读:

使用您的优选支付方式买卖TetherUS (USDT)

全面了解区块链和加密货币知识

通过学习区块链赚取加密货币