2023年区块链十大黑客技术
- OpenZeppelin
- 发布于 2024-03-05 20:32
- 阅读 7
本文总结了2023年区块链领域十大黑客技术，由安全专家小组从社区提名的15项研究中筛选而出。这些技术包括UniswapX中的漏洞、Balancer Boosted Pools的汇率操纵、Tornado Cash 的治理攻击、KyberSwap 的黑客攻击等，揭示了智能合约、基础设施和Web2安全等方面存在的多种风险。
概述
我们很高兴地宣布 2023 年十大区块链黑客技术！今年的主题与去年有所不同。值得注意的是，2023 年的智能合约漏洞通常使用创造性的方法来利用舍入误差。可组合性是另一个方面，即智能合约在孤立时是安全的，但当它们被置于特定上下文中时，就会出现漏洞。最后，我们看到基础设施级别的错误从节点和预编译转移到编译器和其他关键基础设施，例如 mev-boost。 为了编制 2023 年十大漏洞列表，安全专家小组缩小了社区选择的 15 个条目的列表。为了确保公正性，专家不得投票支持与其有关的任何研究。
专家组成员包括：
Paradigm 安全主管
OpenZeppelin 首席安全研究员
以太坊安全研究员，Damn Vulnerable DeFi 和 The Red Guild 的创建者
Zellic 和 Perfect Blue 的联合创始人
独立安全研究员
安全研究员，Offside Labs 联合创始人
BlockThreat 的创建者
独立安全研究员
每位专家都带来了独特的技能和经验，有助于确保最终选择尽可能全面和准确。
我们还鼓励你查看社区提名列表，因为它们也值得一读。
有了这些，让我们开始倒计时到 2023 年排名第一的区块链黑客技术！
2023 年十大区块链黑客技术
10 - 消除 UniswapX 中的一个烦人的 Bug
UniswapX 协议使用余额检查方法来确保正确执行交换。它在孤立的情况下运行良好，但是当置于上下文中时，事实证明它是不够的。这是因为可以通过诚实地遵循协议以外的其他方式来满足相同的余额检查。有趣的是，这个 bug 已经在 FloodPlain 和 UniswapX 中被发现，这表明这可能是此类协议的一种新型漏洞。
9 - Balancer Boosted Pools 中的费率操纵——技术回顾
如果不是之前的两次漏洞披露导致了大部分有风险的流动性流出，那么实际的黑客攻击可能会造成更大的损害。这是 Balancer 运营两年（TVL 为 10 亿美元）后首次遭受真正的损失。这篇文章篇幅较长，围绕整个故事展开了精彩的叙述。它不仅涵盖了最近发生的事件和损失，还讲述了一个关于创新和奉献的故事，并在字里行间流露出体贴和反思。该漏洞本身涉及几个问题，例如舍入误差和缺乏最低余额执行等问题。然而，Balancer 代码演变的反映更能说明问题。值得一读。
8 - 任意地址欺骗攻击：ERC2771Context Multicall 公开披露
Thirdweb 库中的 msgSender 欺骗攻击对以太坊生态系统产生了最深远的影响之一，因为它被 OpenSea 到 Coinbase 的几乎所有主要项目所使用。负责任的披露过程使我们免于像 Vyper 编译器 bug 那样的大规模利用，但它仍然无法挽救像 Time 这样的项目。提醒一下，即使是经过最严格审计的库代码也可能包含意想不到的 bug。
- Peter Kacherginsky
7 - Tornado Cash 治理黑客攻击内幕
因为这次攻击使用变质合约来蒙蔽任何对恶意提案进行投票的人，所以很有趣。虽然与其他漏洞相比，被盗金额并不多，但此事件凸显了治理系统可能受到损害的方式之一。随着 web3 变得越来越主流，治理将变得越来越重要，因为它将控制越来越大的资金。这种攻击媒介足够新颖，可以进入前 10 名，但更重要的是，它被纳入以提高人们对项目治理如何受到损害的认识。
- Ashiq Amien
在 Dencun 升级之后，selfdestruct 之后的重新部署将不再是一个问题，但仍然需要注意如何操纵治理。
- Gerard Persoon
6 - 价值数十亿美元的漏洞：通过 Web2 攻击收集验证者私钥
研究表明，通过使用基本的网站黑客技术，可以破坏验证者基础设施，从而窃取价值数十亿美元的抵押代币。幸运的是，由于 dWallet Labs 负责任地披露了已识别的漏洞，因此资金是安全的。希望这项研究将引发一波旨在改善验证者基础设施的安全措施。
（不）安全性不在乎我们关于 web2 或 3 或 4 区别的胡说八道的一个很好的例子。我们需要更多的研究人员来寻找和减轻这些类型的威胁。
Tincho
这是第一次有人发现了质押的安全风险，尽管是以 web2 的方式。
PwningEth
5 - KyberSwap 黑客分析 和 KyberSwap - REKT
我见过的最复杂的漏洞之一。
Tincho
一个完美的例子，说明看似微不足道的违规行为如何打破核心不变性。
Nikesh Nazareth
一个精心设计的漏洞，利用了 Kyber 协议中的舍入误差。
- Peter Kacherginsky
4 - 在 KyberSwap Elastic 中拯救了价值 1 亿美元的风险
“100proof 的出色研究突出了 KyberSwap 的一个问题，并保护了超过 1 亿美元的风险。该 bug 是集中流动性做市商中一个非常细微的问题，它允许攻击者添加的流动性是所提供流动性的两倍。虽然这项研究对于 CLMM 本身来说是新颖的，但我相信这项披露之所以值得在 2023 年十大黑客技术中占有一席之地，是因为其研究深度。这项研究应该为其他研究人员树立标准，我相信对 CLMM 等细微机制的进一步深入研究将发现更多细微但至关重要的漏洞。”
Ashiq Amien
这是一个客观上很酷的 bug。
samczsun
对一个细微 bug 的精彩解释。
Nikesh Nazareth
3 - Euler 妥协调查第 1 部分 和 第 2 部分
参与资金回收的每个人的确非常出色且令人难忘。此外，Coinbase 的 0x 团队撰写的文章质量一流。
- Tincho
Euler 漏洞是历史上最大的非桥接相关漏洞之一，被盗金额接近 2 亿美元。这个 bug 的新颖性源于两个部分，一个是添加了一个简单的实用程序函数，另一个是攻击的简单性。`donateToReserves` 函数被引入作为包装函数和潜在的 gas 节省的实用程序 - 一个看似无辜的添加，却助长了这个巨大的漏洞。虽然攻击的精确副本可能不会直接应用于其他协议，但看似简单函数的添加突出了智能合约安全性作为一个整体的脆弱性。由于攻击的简单性和巨大的破坏性，此漏洞理应在此列表中名列前茅。
- Ashiq Amien
2 - 事后分析：2023 年 4 月 3 日 Mev-Boost 中继事件和相关时序问题
Flashbots mev-boost 中继受到攻击，原因是如果区块头无效，则存在泄露区块构建者的区块内容的漏洞。攻击者（一个恶意的提议者）能够使用泄露的内容重建自己的区块，并从三明治机器人那里窃取 2000 万美元。这次攻击突出了 web3 安全堆栈中的许多层之一，而这些层通常被忽视。由于攻击者需要具备特定的知识集才能利用它，因此我认为这种黑客技术理应在此列表中占有一席之地。
- Ashiq Amien
黑客对 MEV 机器人发起了一次复杂的攻击，利用了以太坊隐藏层 MEV-Boost 中继器中的弱点。利用作为区块提议者的特权并不是一个新的风险，但他们是第一个执行此攻击的人。
- PwningEth
机密性是区块链中一个很大程度上未被探索的领域，这表明了难度。时序通常不是 EVM 的问题，但对于其他层来说却是一个问题。
- Gerard Persoon
以太坊生态系统核心（Flashbots）的另一个引人入胜的漏洞。一个精心设计的漏洞挑战了我们对中间中继节点信任的假设，其中私人交易的泄露允许使用专门制作的区块大规模利用 MEV 机器人。
- Peter Kacherginsky
1 - Vyper 非重入锁漏洞技术事后分析报告
由于 Vyper 编译器中的非重入 bug，Curve 池受到攻击，这标志着对 web3 安全格局的感知范围发生了重大转变。虽然在利用时，编译器 bug 并不是什么新鲜事，但该利用使人们深入了解了这样一个空间，即绝大多数研究人员都严格关注智能合约安全。立即，安全堆栈的另一层被揭示为黑帽的目标。
- Ashiq Amien
一个不受欢迎的编译器中一个被悄悄修补的 bug 多年来一直未被发现，并且通过众所周知的重入攻击破坏了最基本的 DeFi 协议之一 Curve。这是 2023 年一次令人难以置信的攻击。
- PwningEth
通常编译器被认为是理所当然的，但它们也可能存在 bug。
- Gerard Persoon
由于编译器缺陷，重入不断重新进入我们的生活。Vyper 团队的出色事后分析。
- Tincho
即使是经过最严格审计的项目也依赖于一个安全执行环境，该环境涉及节点、编译器和其他区块链基础设施。编译器本身的一个漏洞有效地禁用了关键的重入控制，这提醒我们，我们永远不可能 100% 安全，并且需要在我们的信任假设失败时构建缓解控制。
- Peter Kacherginsky
结论
我们还要向社区投票选出的前 15 名中的其他 5 个以及页面上的所有其他社区提名致以荣誉：
2023 年就这样结束了！再次，前 10 名列表并不包括所有已发布的伟大研究，因此请考虑所有其他社区提名。
如果你今年注意到一项安全研究，请考虑将其保存以在明年提名 2024 年的前 10 名。
最后，我们要感谢社区和专家组的努力，感谢他们的努力。
明年见！
- 原文链接： openzeppelin.com/news/to...
- 登链社区 AI 助手，为大家转译优秀英文文章，如有翻译不通的地方，还请包涵～
