BlockSec: Атаки на смарт-контракты в двух блокчейнах привели к потерям более 17 миллионов долларов США. Злоумышленники использовали уязвимости в механизмах авторизации для перевода активов.

С точки зрения безопасности, ключевой проблемой в этом инциденте является злонамеренное использование механизмов авторизации смарт-контрактов. Злоумышленники не взломали непосредственно код логики контракта, а использовали ранее предоставленные пользователями разрешения для контракта, используя функцию transferFrom для перевода активов. Такой метод атаки не нов, но он вновь подчеркивает долгосрочные проблемы безопасности, существующие в экосистеме DeFi.

Модель авторизации по своей сути является компромиссом между удобством и безопасностью. Пользователи предоставляют контрактам разрешения на операции со своими активами для получения бесшовного взаимодействия, но это также расширяет поверхность атаки. Когда сам контракт имеет дефекты или подвергается злонамеренному воздействию, разрешения пользователей становятся каналом для утечки активов.

Следует отметить, что исходный код затронутых контрактов не был опубликован, что затрудняет аудит со стороны третьих лиц. Открытый исходный код, хотя и не гарантирует абсолютную безопасность, по крайней мере, обеспечивает возможность контроля со стороны сообщества. Контракты с закрытым исходным кодом, как "черный ящик", и если разработчик оставил "черный ход" или существует конструктивный дефект, активы пользователей подвергаются огромному риску.

Как видно из связанных статей, подобные инциденты безопасности не редкость в отрасли. Будь то ранние уязвимости в Uniswap или недавние атаки на Curve и Balancer, это показывает, что безопасность смарт-контрактов - это постоянная борьба. Компания BlockSec, как компания, занимающаяся безопасностью, еще в 2023 году отмечала, что "безопасность аудита кода далека от совершенства", что подчеркивает необходимость многоуровневых и динамических стратегий защиты.

Развертывание в нескольких блокчейнах также увеличивает сложность безопасности. Один и тот же контракт может вести себя по-разному в разных блокчейнах из-за различий в виртуальных машинах, предопределенных контрактах и других факторах. Злоумышленники часто тестируют и ищут уязвимости в нескольких блокчейнах, и, обнаружив уязвимость, они могут вызвать цепную реакцию потерь в разных блокчейнах.

Для обычных пользователей лучшим способом защиты является осторожное предоставление разрешений, регулярный просмотр и отзыв ненужных разрешений. Для разработчиков необходимо использовать принцип наименьших привилегий, реализовывать более гранулированный контроль доступа и рассматривать использование прокси-контрактов для поддержки обновления контрактов, чтобы можно было оперативно реагировать на обнаруженные уязвимости.