标题: a16z全面解析Web3 安全性：攻击类型和经验教训 [打印本页] 作者: lzqandly 时间: 2022-5-24 14:13 标题: a16z全面解析Web3 安全性：攻击类型和经验教训 web3 的大量安全性依赖于区块链做出承诺和对人为干预具有弹性 的特殊能力。但最终性的相关特征——交易通常是不可逆的——使得这些软件控制的网络成为攻击者的诱人目标。事实上，随着区块链——作为web3基础的分布式计算机网络——及其伴随的技术和应用程序的增值，它们越来越成为攻击者梦寐以求的目标。$ m/ f9 `8 S. x2 o, c B4 Z6 }, g
! |" j+ q7 }3 I7 K9 L5 m
尽管 web3 与互联网的早期迭代有所不同，但我们已经观察到与以前的软件安全趋势的共同点。在许多情况下，最大的问题与以往一样。通过研究这些领域，防御者——无论是开发者、安全团队还是日常加密用户——可以更好地保护自己、他们的项目和他们的钱包免受潜在的窃贼的侵害。下面我们根据我们的经验提出一些常见的攻击类型和预测。 6 f t+ A& S+ t/ h ! l7 K$ i% h/ r* B$ [5 t5 k跟着钱! J I1 b7 O! V$ A" c3 W5 S
攻击者通常旨在最大化投资回报。他们可以花费更多的时间和精力来攻击具有更多“总价值锁定”或 TVL 的协议，因为潜在的回报更大。" |! }/ F% o* X) C
3 w; _# ?7 i8 t( }* G- B- l! F资源最丰富的黑客团体更经常瞄准高价值系统。最新的攻击技术也将更频繁地针对这些有价值的目标。& o8 s6 n/ \) T. H
2 g) M* n8 ~, m1 u$ H6 e- v低成本攻击（如网络钓鱼）永远不会消失，我们预计它们在可预见的未来会变得更加普遍 # X' [6 q8 s& C/ U, X5 t ' g* x0 l+ I& ^% `: k! E修补漏洞! x0 T9 e) f6 y5 h
随着开发人员从久经考验的攻击中学习，他们可能会将 web3 软件的状态提高到“默认安全”的程度。通常，这涉及收紧应用程序编程接口或API， 以使人们更难错误地引入漏洞。8 d! x/ m3 S1 k& X# N8 ~
1 t7 V% y# @+ D$ y
虽然安全始终是一项正在进行中的工作——可以肯定的是，没有什么是防黑客的——防御者和开发人员可以通过消除攻击者的大部分唾手可得的果实来提高攻击成本。 d- C8 u8 i4 b/ w 8 z& }. C' u- X* P7 C随着安全实践的改进和工具的成熟，以下攻击的成功率可能会大幅下降：治理攻击、价格预言机操纵和重入漏洞。（下面有更多关于这些的内容。） - k0 U7 c* p l1 S% d U$ |& b9 e $ `" Q- a( L4 Y) X% D3 z无法确保“完美”安全性的平台将不得不使用漏洞缓解措施来降低损失的可能性。这可能会通过减少其成本收益分析的“收益”或上行空间来阻止攻击者。 - p! e4 V# [) D% r k* R) b/ K7 m/ C. v, Q7 \) D. b/ A
分类攻击4 s* B$ e N2 R4 T) t' t
对不同系统的攻击可以根据它们的共同特征进行分类。定义特征包括攻击的复杂程度、攻击的自动化程度以及可以采取哪些预防措施来防御它们。5 m5 V' E0 D z% B( B( y9 M
: c+ n+ Z6 O x: k
以下是我们在过去一年中最大的黑客攻击中看到的攻击类型的非详尽列表。我们还包括了我们对当今威胁形势的观察以及我们预计未来 web3 安全性的发展方向。' I: v# f; b! Y7 M( ]
7 U3 c3 n5 ^, Z1 }9 eAPT操作：顶级掠食者7 \( i* m) z# ^8 J! x: f
# }9 T0 D3 `1 J& a% _专家级对手，通常被称为高级持久威胁（APT），是安全的恶魔。他们的动机和能力差异很大，但他们往往很富裕，正如这个绰号所暗示的那样，他们坚持不懈；不幸的是，他们可能永远在身边。不同的APT运行许多不同类型的运营，但这些威胁行为者往往最不可能直接攻击公司的网络层来实现其目标。 n6 A) l! z3 V. c! X4 s$ R
' @# m e/ w( j9 F' a我们知道一些高级团体正在积极瞄准 web3 项目，我们怀疑还有其他人尚未确定。最受关注的 APT 背后的人往往生活在与美国和欧盟没有引渡条约的地方，这使得他们更难因其活动而受到起诉。最著名的 APT 之一是 Lazarus，这是一个朝鲜组织，联邦调查局最近将其归因于进行了迄今为止最大的加密黑客攻击。" O5 l x. M! G
9 a1 V* w! ]0 e# b举例：Ronin 验证器被破解& f' P; g, c( R; T- w' W. O& e
$ V" ~. y2 X6 C$ W9 t
简要概括：4 e0 @6 V) k% ?
% r' C( R3 F: `0 j
谁：民族国家、资金雄厚的犯罪组织和其他先进的有组织的团体。例子包括Ronin黑客（Lazarus，与朝鲜有广泛联系）。 ) _" c' Y3 a z* o2 h2 X$ o2 f% w$ F; C5 U
复杂性：高（仅适用于资源丰富的群体，通常在不会起诉的国家/地区）。 8 t# g; _, Y2 N- G 7 z( }/ m0 \1 W可自动化性：低（仍然主要是使用一些自定义工具进行手动操作）5 E) X1 n$ [( {4 v+ W9 m
% I( f8 b2 B9 \6 m2 @复杂性：从低到高，取决于协议。（许多项目都有活跃的论坛、Twitter 和 Discord 上的社区，以及可以轻松暴露更多业余尝试的委派仪表板。） ; [ w/ U& u; N) D$ _) N 7 h* ], ~& A5 \. I可自动化性：从低到高，取决于协议。 3 j2 l9 R% a: p$ m % U7 c. j& D. n+ {, C: o$ X, h3 d对未来的期望：这些攻击高度依赖于治理工具和标准，特别是因为它们与监控和提案制定过程有关。4 ^. i2 X$ ^" U* d
B+ G- _- h J- V) D- G
定价预言机攻击：市场操纵者. }/ e4 o! k& l/ [2 ]# {% n
0 ^, n4 U9 V& e& E" A7 p准确地为资产定价是困难的。在传统交易领域，通过市场操纵人为抬高或降低资产价格是非法的，这些人可能会因此受到罚款或逮捕。 DeFi 给随机的人提供了“闪电贷”数亿或数十亿美元的可能行，从而导致价格突然波动，在这一领域，问题就凸显出来了。 * U1 d. p. O& B) [% ]2 `) i, S+ i, p8 q+ w. D
许多 web3 项目依赖于“预言机”——提供实时数据的系统，并且是链上无法找到的信息来源。例如，预言机通常用于确定两种资产之间的交换定价。但是攻击者已经找到了欺骗这些假定真相的来源的方法。- G) X! c! L3 N* n5 d& {( Z
- Y, D/ a# A" U G+ P2 @随着预言机标准化的进展，链下和链上世界之间将会有更安全的桥梁，我们可以期待市场对操纵尝试变得更有弹性。运气好的话，有朝一日这类攻击可能会几乎完全消失。 * R# y! `2 c) b6 K' S" r9 b6 a1 u
举例：DeFi 协议Cream Finance闪电贷攻击 , b8 u5 W" {3 p9 g' ~ 7 ~# U) n9 ~1 ?! ^简要概括： . K+ a2 u& H" H& E7 n( ~9 C3 A5 ?. U* ?7 Q# ^! Z0 F
谁：有组织的团体 (APT)、个人和内部人士。9 P+ `) T4 ~8 ]" M+ Z2 |
, z6 d" D: q0 C4 i+ ]
复杂程度：中等（需要技术知识）。! C) m) T' i [4 }3 O9 C