智能合約安全分析，假充值攻擊如何突破交易所的防御？

引言
假充值攻擊，是指攻擊者通過利用交易所在處理充值過程中的漏洞或系統(tǒng)錯誤，發(fā)送偽造的交易信息到交易所錢包地址，這些偽造的交易信息被交易所誤認為是真實的充值請求，并將對應的數(shù)字資產(chǎn)或貨幣添加到攻擊者的賬戶中。攻擊者利用這種方式，可以獲得未經(jīng)支付的數(shù)字資產(chǎn)，導致交易所的資產(chǎn)損失。
本文旨在深入探討假充值攻擊如何突破交易所的防御機制。我們將分析假充值攻擊的原理，揭示攻擊者利用的漏洞和策略。同時，我們將通過實例分析假充值攻擊，以便更好地理解攻擊方式和影響。此外，我們還將討論交易所應對假充值攻擊的應急措施和預防措施，以提供相關保護資產(chǎn)和應對類似攻擊的建議。

充值原理解析

在了解假充值之前，我們需要先了解交易所的充值原理。
一個典型的流程如下：
1. 錢包地址生成
交易所為每個用戶分配一個唯一的錢包地址，用于接收用戶的充值。這些地址通常由交易所的系統(tǒng)自動生成。用戶在進行充值時，需要將數(shù)字資產(chǎn)發(fā)送到交易所賬戶中的特定錢包地址。
2. 區(qū)塊鏈賬本掃描
交易所的節(jié)點會與區(qū)塊鏈網(wǎng)絡中的其它節(jié)點同步，以獲取最新的區(qū)塊鏈狀態(tài)和交易信息。當交易所節(jié)點收到新的區(qū)塊時，它會從區(qū)塊包含的交易內(nèi)容，或者區(qū)塊觸發(fā)的交易執(zhí)行事件中，提取出用戶的充值交易 ID 及對應的金額，加入待充值列表。
3. 確認入賬
交易所通常要求交易在區(qū)塊鏈網(wǎng)絡中獲得一定數(shù)量的確認后才被視為有效。確認是指交易所在區(qū)塊被一定數(shù)量的區(qū)塊所引用，并被其他礦工驗證和確認。交易所設定的確認數(shù)目可以根據(jù)不同的數(shù)字資產(chǎn)和網(wǎng)絡而有所不同。
如圖所示：

（假充值攻擊發(fā)生在步驟 5 和 6）

假充值攻擊模式

交易所是黑客攻擊的重災區(qū)，因此交易所通常會把服務器置于重重防御系統(tǒng)的背后，對于管理資金的核心服務，甚至要離線托管。然而由于區(qū)塊鏈系統(tǒng)對數(shù)據(jù)完整上的要求，惡意交易并不會被外圍安全系統(tǒng)攔截。
需要說明的是，假充值攻擊并非區(qū)塊鏈的漏洞，而是攻擊者利用區(qū)塊鏈的一些特性，構(gòu)造出特殊的交易。這些惡意交易會讓交易所誤認為是真實的充值請求，或者多次處理同一筆充值請求。Safful安全團隊經(jīng)過長期的實戰(zhàn)，總結(jié)出了幾種常見的假充值攻擊手法：

自 2018 年以來，Safful安全團隊多次首發(fā)披露過多個假充值攻擊，包括：

• USDT 虛假轉(zhuǎn)賬安全?險分析
• EOS 假充值（hard_fail 狀態(tài)攻擊）紅色預警細節(jié)披露與修復方案
• 以太坊代幣“假充值”漏洞細節(jié)披露及修復方案
• 比特幣 RBF 假充值風險分析

除了這些已經(jīng)公開的假充值攻擊，還有多個我們未曾公開的經(jīng)典攻擊手法，以及一些普適性的攻擊手法。例如：

• Bitcoin 多簽假充值
• Ripple 部分支付假充值
• Filecoin 雙花假充值
• TON 反彈假充值

如果要了解更多詳情，歡迎和我們聯(lián)系以深入探討。

實例分析：TON 反彈假充值

幾乎所有的區(qū)塊鏈都存在假充值問題，只是有的攻擊很容易避免，有的卻要對區(qū)塊鏈的特性有十分深入的研究才能免受其害。
以 TON 的假充值為例，我們將向大家展示狡猾的攻擊者如何利用 TON 的特性攻擊交易所。
TON（The Open Network）是知名通訊軟件 Telegram 發(fā)起的一個區(qū)塊鏈項目，支持在用戶的賬號上部署智能合約。
交易所在對接 TON 充值時，按之前描述的方法，它首先會為用戶生成一個充值地址，然后用戶將資產(chǎn)轉(zhuǎn)移到充值地址，最后確認入賬。
交易所如何確認一筆交易是它的用戶的呢？我們通過 RPC 接口來查看一筆正常的轉(zhuǎn)賬：

通常交易所會判斷 in_msg 里的 destination 是否為用戶的充值地址，如果是，那么把金額 value 按照精度換算后為用戶入賬。但這樣安全嗎？
TON 交易有一個特性，幾乎所有在智能合約之間發(fā)送的內(nèi)部消息都應該是可反彈的，即應該設置它們的 bounce 標志位。這樣，如果目標智能合約不存在，或者在處理這條消息時拋出未處理的異常，該消息將被“反彈”回來，并攜帶原始值的余額（減去所有的消息轉(zhuǎn)賬和燃氣費用）。
也就是說，如果一個惡意攻擊者通過設置 bounce 標志位，給一個未部署過合約的賬號轉(zhuǎn)賬，那么充值金額在扣掉手續(xù)費以后會被反彈回原賬號。交易所檢測到了用戶的充值記錄，但沒想到充值的幣居然還會原路返回“反彈”到攻擊者的賬號上。
我們來看這一筆交易，對比正常交易可以發(fā)現(xiàn)，多了一個 out_msg，這個 out_msg 就是資金被反彈回原賬號的操作。

交易所如果只檢驗了 in_msg，那么就會錯誤地為攻擊者入賬，造成平臺資產(chǎn)損失。

預防假充值攻擊的最佳實踐

防范假充值攻擊的一些基本策略有：
**1. 多重確認機制：**設定充值的多重確認要求，確保交易在區(qū)塊鏈上得到足夠的確認后才被視為有效。確認數(shù)目應根據(jù)不同數(shù)字資產(chǎn)的安全性和區(qū)塊鏈的確認速度來設定；
**2. 嚴謹?shù)慕灰灼ヅ洌?*從區(qū)塊中篩選用戶交易時，只有完全匹配正常轉(zhuǎn)賬模式的交易才能自動設置為到賬，最后還要檢查余額變化；
**3. 風險控制系統(tǒng)：**建立完善的風險控制系統(tǒng)，監(jiān)測和檢測異常交易活動。該系統(tǒng)可以通過分析充值模式、交易頻率、交易規(guī)模等因素來識別潛在的風險和異常行為；
**4. 人工審核：**對于較大金額或高風險交易，采用人工審核機制進行額外的審核。人工審核可以增加交易的可信度，發(fā)現(xiàn)異常交易，并防止惡意充值；
**5. API 安全：**對外部 API 接口進行安全認證和授權(quán)，避免未經(jīng)授權(quán)的訪問和潛在的漏洞。定期審查 API 接口的安全性，并進行及時的安全更新和修復；
**6. 限制提款：**充值發(fā)生后，暫時限制用戶對充值資產(chǎn)的提款操作。這樣可以給交易所足夠的時間來確認充值的有效性和防范潛在的假充值攻擊；
**7. 安全更新：**及時更新交易所軟件和系統(tǒng)，修復可能存在的安全漏洞。持續(xù)監(jiān)控交易所的安全狀態(tài)，并與網(wǎng)絡安全專家合作，定期進行安全審計和滲透測試。
對于特定區(qū)塊鏈的假充值防范，則需要通讀官方說明文檔，了解交易中存在的特征。

Badwhale 假充值檢測系統(tǒng)

Safful安全團隊在長期的攻防實踐中開發(fā)出 Badwhale 假充值測試系統(tǒng)，專門為數(shù)字資產(chǎn)管理平臺開發(fā)。該系統(tǒng)旨在幫助它們檢測和評估其防范假充值攻擊的能力，優(yōu)化其防御機制，以保障用戶資產(chǎn)的安全和數(shù)字資產(chǎn)管理平臺的可靠性。
Badwhale 是Safful安全團隊獨家且沉淀多年的商業(yè)系統(tǒng)，為數(shù)十個平臺持續(xù)服務多年，已避免了預估幾十億美金資產(chǎn)的假充值風險。
特色功能：
**1. 模擬假充值攻擊：**Badwhale 能夠模擬各種類型的假充值攻擊，并自動發(fā)送虛假的充值請求到被測試的數(shù)字資產(chǎn)管理平臺。這有助于評估數(shù)字資產(chǎn)管理平臺的弱點，發(fā)現(xiàn)潛在的漏洞和安全隱患；
**2. 多樣化的測試場景：**系統(tǒng)提供多樣化的測試場景和攻擊模式，可以根據(jù)實際情況對數(shù)字資產(chǎn)管理平臺的假充值防御進行全面測試；
**3. 高度可擴展性：**Badwhale 設計為高度可擴展的測試系統(tǒng)，支持為不同數(shù)字資產(chǎn)管理平臺和區(qū)塊鏈平臺提供測試，可以靈活適應不同系統(tǒng)架構(gòu)和技術環(huán)境的需求。
Badwhale 目前已經(jīng)支持數(shù)百條公鏈、數(shù)萬代幣的假充值測試，包括：

• Bitcoin Families (BTC/LTC/DOGE/QTUM…)
• BitcoinCash
• Ethereum Families (ETH/BSC/HECO/RON/CFX-evm/FIL-evm/AVAX-evm/FTM-evm/RSK/GNO/MOVR-evm/GLMR-evm/KLAY/FSN/CELO/CANTO/EGLD/AURORA-evm/TLC/WEMIX/CORE/VS/WAN/KCCL/OKX…)
• ERC20 Tokens (USDT…)
• Ethereum L2 (ARB/OP/METIS…)
• Polygon
• Polygon Tokens
• Cosmos Families (ATOM/LUNA/KAVA/IRIS/OSMO…)
• EOS Families and EOS Tokens (EOS/WAX/XPR/FIO/TLOS…)
• Ripple
• Flow
• Aptos
• Solana
• Solana SPL-Tokens
• Conflux
• Polkadot Families (DOT/ASTR/PARA/MOVR/GLMR…)
• Tron
• Filecoin
• Ton
• Mina
• Sui
• Ordinals (ORDI…)
• …

借助 Badwhale 的強大功能，數(shù)字資產(chǎn)管理平臺可以進行全面的假充值防御測試，了解其在面對假充值攻擊時的表現(xiàn)，并優(yōu)化其防御機制，提升用戶資產(chǎn)的安全保障。Badwhale 的引入將幫助數(shù)字資產(chǎn)管理平臺加強安全防護，提高對抗假充值攻擊的能力，確保數(shù)字資產(chǎn)交易的可靠性和用戶信任度。

結(jié)語

通過深入研究假充值攻擊的突破方式，我們可以更好地認識到數(shù)字資產(chǎn)管理平臺在保護用戶資產(chǎn)和維護安全的重要性。只有通過增強安全防御措施、持續(xù)監(jiān)測漏洞并采取適當?shù)膽獙Υ胧?，?shù)字資產(chǎn)管理平臺才能有效地應對假充值攻擊和其他安全威脅，確保數(shù)字資產(chǎn)交易的可信度和可靠性。文章來源地址http://www.zghlxwxcb.cn/news/detail-703510.html

到了這里，關于智能合約安全分析，假充值攻擊如何突破交易所的防御？的文章就介紹完了。如果您還想了解更多內(nèi)容，請在右上角搜索TOY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關文章，希望大家以后多多支持TOY模板網(wǎng)！