Безопасность web3: уязвимости на стыке блокчейна и веб-технологий

Transcript

1. ptsecurity.com Безопасность web3 уязвимости на стыке блокчейна и веб-технологий Арсений Реутов theRaz0r
2. Agenda • What’s web3? • Атаки на фронтенд • Как защитить и децентрализовать фронтенд • Слабые стороны взаимодействия с web3 из кошельков • Как улучшить UX веб-кошельков с точки зрения безопасности
3. What’s web3?
4. What’s web3?
5. What’s web3? Web2 Клиент API База данных
6. What’s web3? Web2 Клиент API База данных Web3 😅
7. What’s web3? Web 1.0
8. What’s web3? Web 2.0
9. What’s web3? Web3
10. Web3 challenges • Пользователь, владея приватным ключом, ответственен за все свои действия • Безопасность фронтенда не менее важна, чем безопасность смарт- контрактов, так как любая XSS может иметь серьезные последствия • UX кошельков (особенно Metamask) оставляет желать лучшего, очень легко сделать ошибку
11. Атаки на фронтенды
12. EtherDelta XSS (2017) • EtherDelta - DEX биржа в основой сети эфира на ордербуках 😅 • Позволяла импортировать любой токен и переименовывать его • С помощью XSS в имени токена хакер украл приватные ключи прямо из DOM
13. ENS XSS • Ethereum Name Service - сервис, позволяющий зарегистрировать имя в виде NFT и ассоциировать его с адресом в сети Ethereum (e.g. vitalik.eth -> 0xd8da6bf26964af9d7eed9e03e53415d37aa96045) • Имеет множество интеграций с dapp’ами, имя подставляется в DOM вместо адреса
14. ENS XSS • По документации клиенты сами должны валидировать имя согласно uts46 после резолва • В частности использовать https://github.com/danfinlay/eth-ens-namehash • Однако смарт-контракт имя никак не валидирует (Solidity не лучший язык для операций со строками, стоило бы кучу газа) • Можем регистрировать любые имена, в том числе с XSS-векторами (https://github.com/Raz0r/ens-xss)
15. ENS XSS: EtherScan
16. ENS XSS: Zerion
17. ENS XSS: eth.xyz
18. XSS via NFTs
19. XSS via NFTs
20. XSS via NFTs
21. XSS via NFTs • SSRF • XXE via SVGs • CVEs (ImageMagick, GhostScript) • XSS https://github.com/Raz0r/evil-nft Также: Rektosaurus от Бернарда Мюллера (включает вектора из evil-nft, но не self-hosted)
22. OpenSea XSS • OpenSea позволяет загружать SVG, исследователи из CheckPoint обнаружили, что SVG никак не валидируется, т.е. возможна XSS • хакер делает эйрдроп NFT-”подарка” жертве на OpenSea • при просмотре NFT исполняется JS-код, который делает трансфер всех средств с кошелька (требуется подтверждение транзакции) https://research.checkpoint.com/2021/check-point-research-prevents-theft-of-crypto-wallets-on-opense a-the-worlds-largest-nft-marketplace/
23. XSS Impact • имитация окна MetaMask для кражи сид-фразы или приватного ключа • подмена любых данных в DOM, в том числе адресов; жертва даже не будет подозревать, что отправляет транзакцию не на тот адрес • запрос на approve() ERC20 токенов (кейс BadgerDAO, украли 120 миллионов долларов после инжекта кода во фронтенд)
24. Защита фронтендов
25. Best practices • Основной риск - DOM XSS • Не используйте dangerouslySetInnerHtml() в React • Для всех сторонних JS должен быть использован SRI • Настройте CSP (без unsafe-inline и unsafe-eval) • Используйте Trusted Types для защиты небезопасных синков, например innerHtml
26. Что делать в случае DNS Hijacking?
27. IPFS + ENS • IPFS - p2p-сеть для децентрализованного хранения файлов, документы резолвятся по хэшу их содержимого • ENS - децентрализованная система доменных имен в Ethereum • .eth не является DNS-доменом первого уровня • существуют сервисы, которые позволяют по ENS-имени отдавать документы из IPFS (eth.link от Cloudflare и eth.limo) DNS A-record name.eth.link ENS “content” record IPFS contenthash
28. Skynet Homescreen • Skynet - децентрализованный хостинг на базе блокчейна Sia • Sia - децентрализованное файловое хранилище, где пользователи платят за размещение файлов (аналогично Filecoin) • Homescreen - приложение для хранения копий фронтендов, пользователь сам решает какую копию использовать
29. Right-click & Save • Homescreen все равно полагается на DNS, так как и сам Homescreen и копии доступны только из браузера • Для хранения копий необязательно использовать децентрализованное хранилище • Идею “user owns apps” можно реализовать в виде десктопного приложения
30. Как улучшить UX кошельков
31. Metamask • Самый популярный кошелек - все еще Metamask • Все еще расширение браузера • Уязвимость в расширении браузера - потенциальный UXSS и не только. • Возможность supply chain атаки на одну из зависимостей (их 2195!)
32. Утечка IP в Metamask • Создаем ERC1155-контракт c URI(), указывающим на наш сервер со снифером • Минтим NFT на OpenSea и делаем трансфер жертве • Metamask автоматически подтягивает NFT-коллекцию с OpenSea • В результате произойдет обращение жертвы к серверу атакующего Source
33. Blind signing
34. Blind signing • В декабре 2020 года CEO Nexus Mutual потерял 8 миллионов долларов в результате таргетированной атаки • На его компьютер была установлена модифицированная версия Metamask • Не помог даже хардварный кошелек, так как сложно проверить транзакцию Source
35. Проблемы UX • В Metamask можно вручную назначать имена адресам • Однако при выполнении транзакции нет никакой аналитики по адресу- получателю • Перед отправкой транзакции нельзя узнать, как она исполнится • Нет предупреждений о том, что approve() выполняется для EOA • Нет предупреждения, что пользователь делает бесконечный approve() для прокси-контракта, который может измениться https://twitter.com/bantg/status/1466724441866526726
36. Metamask Snaps • Metamask начал поддерживать систему плагинов в рамках Metamask Flask • Разработчики могут протестировать новые фичи, в том числе систему snaps • Плагины позволяют добавлять новую функциональность, например по аудиту адресов
37. Идеи улучшения UX • Проверять возраст контракта • Показывать активность транзакций к контракту • Добавить интеграцию с API симуляции транзакций, например Tenderly или Blocknative • Использовать Token Lists для распознавания известных адресов • Отображать скоринг DefiSafety
38. ptsecurity.com Q&A Арсений Реутов theRaz0r