Köprü Hileleri: Ronin, Solucan Deliği ve Nomad'dan Dersler

Milyarlarca Dolarlık Bal Saksıları: Neden Köprüler Hedef Alınıyor?

• İçinde merkezi olmayan finans, sermaye doğal olarak verimliliğe yönelir. Alternatif olarak 1.kat zincirler ve Katman 2 toplamaları çoğaldıkça blockchain köprüleri milyarlarca dolarlık likiditeyi izole ağlar üzerinden yönlendiren temel altyapı haline geldi. Bununla birlikte, sorunsuz bir kullanıcı deneyimini kolaylaştırmak için, klasik "kilitle ve nane" köprülerinin, kilitlenmiş yerel tokenlardan oluşan devasa, statik havuzları muhafaza etmesi gerekir. akıllı sözleşme emanetleri kaynak zincirlerinde.

• Sermayenin bu mimari yoğunlaşması en üst seviyeyi yarattı Web3 bal küpü. Gelişmiş bir siber suçlu grubu için, bireysel bir DeFi kullanıcısını veya hatta tek bir merkezi olmayan uygulamayı hedeflemek, nominal getiriler sağlar; aksine, taviz veren bir çapraz zincir köprüsü tüm ağın temel teminat havuzunun kapısını açar. Zincirler arası güvenliğin geçmişi, üç dönüm noktası niteliğindeki istismarla tanımlanır (Ronin, Solucan deliğive Göçebe) her biri farklı, yıkıcı güvenlik açıklarını açığa çıkarıyor sosyal mühendislik, akıllı sözleşme mantığıve başlatma yükseltmeleri.

• Tarih: Mart 2022

• Hasar: ~624 Milyon Dolar

• Vektör: Sosyal Mühendislik ve Doğrulayıcı Anahtar Sızıntısı

İstismarın Mekaniği

• Axie Infinity oyun ekosistemi için özel olarak oluşturulmuş bir Ethereum yan zinciri olan Ronin Ağı, görünüşte güvenli 9 düğümlü kriptografik çoklu imza matrisine dayanıyordu. Ethereum emanet köprüsünden varlık çekilmesine izin vermek için basit çoğunluğun geçerli kriptografik imzalarını gerektiren bir işlem vardı: 9 doğrulayıcıdan 5'i.

• Lazarus Grubu, insan altyapısını hedef alarak blockchain'in kriptografik savunmalarını atladı. Saldırganlar, LinkedIn'de karmaşık bir hedef odaklı kimlik avı kampanyası kullanarak işe alım görevlisi gibi davrandı ve Sky Mavis'teki kıdemli bir mühendisi, görüşme süreci sırasında kötü amaçlı bir "iş teklifi" PDF dosyası indirmesi için kandırdı. Casus yazılım şirketin ağına sızarak bilgisayar korsanlarının doğrudan Sky Mavis tarafından kontrol edilen 4 doğrulayıcının özel anahtarlarını sızdırmasına olanak sağladı.

• Konsensüs yeter sayısı için gereken son 5. anahtarı güvence altına almak için bilgisayar korsanları eski bir izleme izninden yararlandı: Sky Mavis'e daha önce bağımsız Axie DAO doğrulama düğümü adına işlemleri imzalama izni verilmişti. Bu düzenleme durdurulmuş olsa da, sunucunun beyaz listesinden erişim hakları hiçbir zaman iptal edilmedi. Saldırganlar arka kapıya erişerek 5. imzayı topladılar ve köprü sözleşmesini tamamen boşalttılar.

Temel Ders

Çoklu imza çerçevesi yalnızca fiziksel altyapı ayak izi kadar merkezi değildir. Tek bir kurumsal varlık, tek bir sunucu kurulumundaki doğrulama anahtarlarının çoğunluğunu elinde tutuyorsa veya etkiliyorsa, sistem tam olarak savunmasız, merkezi bir veritabanı gibi davranır. Çoklu imza protokolleri, geçmiş erişim hakları için katı coğrafi ayrım, çok sağlayıcılı donanım yapılandırmaları ve otomatik iptal parametreleri gerektirir.

2. Solucan Deliği Hack'i: Giriş Hesabı Eklemeyi Atlatma

• Tarih: Şubat 2022

• Hasar: ~326 Milyon Dolar

• Vektör: Akıllı Sözleşme Mantığı ve Hesap Sahtekarlığı

İstismarın Mekaniği

• Solucan deliği protokolü, kaynak zinciri aktarımlarını doğrulamak için 19 Guardian düğümüne güvenerek varlıklar arasında köprü kurar. Ağın Solana tarafında köprü mantığı, yerleşik bir sistem programı kullanır. Guardian imzalarının eyalet geçmişiyle doğru şekilde eşleştiğini doğrulamak için sysvar kayıt defteri.

• Bilgisayar korsanı, Solana'nın hesap doğrulama parametrelerinde bir kusur tespit ederek bu doğrulama kapısının haritasını kaldırdı. Saldırgan, yetkilinin veri yapısını mükemmel bir şekilde taklit eden özel, kötü amaçlı bir akıllı sözleşme hesabı hazırladı. sysvar programı. Talimat çağrısı sırasında, bilgisayar korsanı bu sahte hesap adresini köprünün verify_signatures işlevi.

• Çünkü Solucan Deliği sözleşme kodu, gelen bilgilerin doğrulandığını doğrulayan açık bir arama komutunu içeremedi. sysvar adresi orijinal, sistemin yerel adresiydi ve sözleşme, sahte verileri doğru olarak kabul ediyordu. Sahte program, 19 Muhafızın gerçekte hiç gerçekleşmeyen devasa bir para yatırma işlemine başarıyla imza attığını bildirdi ve köprünün, hacker'ın hızla çıkardığı Solana'da yoktan 120.000 sarılmış Ethereum (wETH) basmasına neden oldu.

Temel Ders

Yüksek verimli, hesap tabanlı yürütme katmanlarında çalışan akıllı sözleşmeler, doğrulanmamış girdilere güvenmeyi göze alamaz. Bir fonksiyona aktarılan her harici sözleşme hesabı, oracle adresi ve sistem değişkeni, değişmez bir kod beyaz listesine göre titizlikle doğrulanmalıdır. Giriş doğrulama hataları, Web3 tarihindeki sermayeye en çok zarar veren hatalardan bazılarını temsil eder.

3. Göçebe Köprüsü: "Merkezi Olmayan Yağma" Başlatma Kusuru

• Tarih: Ağustos 2022

• Hasar: ~190 Milyon Dolar

• Vektör: Akıllı Sözleşme Yapılandırma Yükseltmeleri

İstismarın Mekaniği

• Nomad, zaman aralıklı bir pencere sırasında gözlemciler tarafından itiraz edilmediği sürece işlemlerin geçerlilik varsayımı altında işlendiği iyimser bir zincirler arası köprü olarak çalışıyordu. Platform, kanıtlanmış tüm mesajların geçmiş köklerini takip etmek ve depolamak için bir kopya akıllı sözleşme kullandı.

• Güvenlik açığı, rutin bir protokol kodu yükseltmesi sırasında ortaya çıktı. Geliştirme ekibi güncellenmiş çoğaltma sözleşmesini başlattığında, yanlışlıkla güvenilen varsayılan kök değer yapılandırma parametresini şu şekilde ayarladı: 0x00 (boş sıfır adres karması).

• Bu basit hata, köprünün güvenlik kapısını açık bir kasaya çevirdi. Çünkü sözleşme senaryosu okundu 0x00 otomatik olarak güvenilen ve doğrulanan bir durum olarak, henüz kanıtlanmamış herhangi bir işlem mesajı (tamamen sahte para çekme talepleri dahil) anında geçerli olarak işlendi.

• İlk bilgisayar korsanı kusuru keşfettiğinde, istismar kamuoyuna sızdırıldı. Saldırı karmaşık programlama araçları gerektirmediği için yüzlerce taklit bot ve perakende web kullanıcısı, temel blok araştırmacılarını kullanarak orijinal bilgisayar korsanının işlem verilerini kopyaladı, alıcının cüzdan adresini kendi adresleriyle değiştirdi ve birkaç saat içinde köprü havuzunun kaotik, merkezi olmayan yağmalamasına katıldı.

Temel Ders

Akıllı sözleşme yükseltmeleri, daha önce güvenli olan varsayımları anında geçersiz kılabilecek oldukça değişken olaylardır. Varsayılan bir yapılandırma parametresini sıfır adres durumuna ayarlamak, yanlışlıkla doğrulama mantığını tamamen ortadan kaldırabilir. Tüm ana ağ sözleşmesi başlatma işlemleri, güncellemelerin hayati önem taşıyan erişim kontrolü korkuluklarını yanlışlıkla devre dışı bırakmadığını doğrulamak için otomatik regresyon testi çerçeveleri ve sıkı çok aşamalı aşamalandırma incelemeleri gerektirir.

Tarihsel Zincirler Arası Suistimaller Matrisi

Protokol	Hedef Vektörden Yararlanma	Temel Operasyonel Arıza
Ronin	Sosyal Kimlik Avı	Merkezi Anahtar Yönetimi
Solucan deliği	Hesap Enjeksiyonu	Eksik Giriş Doğrulaması
Göçebe	Yükseltme Başlatma	Sıfır Kök Varsayılan Ayarı

DEXTools Aracılığıyla Evrensel Pazar Telemetri Kaynak Kullanımı

• Zincirler arası mimariler savunma katmanlarını yeniden inşa ederken ve amaca dayalı çerçevelere veya sıfır bilgi ölçeklendirme sistemlerine doğru geçiş yaparken, gerçek zamanlı varlık akışlarını, token büyük harf kullanımını ve sarılı tokenların havuz derinliklerini takip etmek vazgeçilmez bir risk yönetimi uygulaması olmaya devam ediyor. Gelişmiş merkezi olmayan grafik mimarileri aracılığıyla analitik kaynak sağlama DEXTools piyasa katılımcılarına tüm kamu uygulama ağlarında canlı token davranışlarını izlemek, havuz derinliklerini değerlendirmek ve sözleşme parametrelerini incelemek için temel bir evrensel platform sağlar. 

• gibi temel özelliklerden yararlanarak Çift Gezgini, Canlı Yeni Çiftler kontrol paneli ve entegre Ticaret Hikayesi veya En İyi Yatırımcılar teşhis araçları sayesinde teknik yatırımcılar, yerelleştirilmiş hacim trendlerini sorunsuz bir şekilde denetleyebilir, büyük balina cüzdanı sermaye yeniden tahsislerini takip edebilir. Büyük Takas Gezginive herhangi bir zincir içi etkileşimi başlatmadan önce otomatik sözleşme güvenlik puanlarını kontrol ederek güçlendirilmiş donanım kurulumunuzun doğrulanmış pazar mekanlarıyla güvenli bir şekilde etkileşime girmesini sağlayın. 

DEXTools'a erişebilirsiniz burada ve bugün ticarete başlayın!

Akıllı Sözleşme Denetim Kılavuzu: Denetim Raporu Nasıl Okunmalı? Saldırı Sayısı Tırmanırken DeFi Hack'leri 2026'nın İlk Çeyreğinde 169 Milyon Dolara Ulaştı Ronin Ağı Nedir? Axie L1 ve Ötesi Köprü Girişleri ve Yerel DEX Hacmi: Sermaye Zincirde Kalır mı?