Größte DeFi-Exploits in Web3: So verhindern Sie ähnliche Sicherheitslücken
Decentralized Finance (DeFi)-Protokolle bieten dezentrale Finanzdienstleistungen für Nutzer an, die es ihnen ermöglichen, Transaktionen durchzuführen und Vereinbarungen mit anderen Teilnehmern einzugehen. Während DeFi-Protokolle darauf abzielen, eine sichere und zuverlässige Plattform für ihre Nutzer bereitzustellen, haben mehrere Exploits in den letzten Jahren zu erheblichen Verlusten von Geldern geführt. In diesem Artikel werden einige der umfangreichsten DeFi-Exploits diskutiert, die kürzlich aufgetreten sind.
Hier sind die Top 8 Krypto-DeFi-Exploits in Web3 nach Abzug der zurückgegebenen Gelder:
Ronin Chain – $600 Mio.
Der März 2023 war ein ereignisreicher Monat für den Kryptoraum, wobei der Hack der Axie Infinity Ronin Bridge mit 612 Millionen Dollar an der Spitze der Liste stand.
Die Ronin Bridge ist eine Ethereum-Sidechain, die im beliebten Play-to-Earn-Spiel Axie Infinity verwendet wird.
Die Cyberkriminalitätsgruppe Lazarus, die mit Nordkorea in Verbindung gebracht wird, gelangte an die privaten Schlüssel von neun Transaktionsvalidatoren und konnte so zwei große Transaktionen genehmigen und die Gelder von ihrer Wallet-Adresse abziehen. Dank der Zusammenarbeit zwischen Behörden, Sicherheitsfirmen und Kryptobörsen konnten einige dieser Gelder nach dem Diebstahl durch die Hacker, die sie zu Tornado Cash – einem Open-Source-Krypto-Tumbler – und anderen Börsen brachten, zurückverfolgt werden.
Wormhole Bridge – $323 Mio.
Im Februar 2022 kam es zu einem unglücklichen Vorfall, als Krypto-Hacker eine Sicherheitslücke im Code von Wormhole ausnutzten, um Krypto im Wert von 326 Millionen Dollar zu stehlen.
Eine Wormhole ist eine Token-Bridge zwischen Solana und Ethereum, die den Angriff leider nicht verhindern konnte. Dies wurde durch eine veraltete/unsichere Funktion ermöglicht, die die Signaturenüberprüfung umging und die Kette von Signaturen-Delegationen erlaubte.
Experten für Cybersicherheit schlagen vor, dass Entwickler den Angriff hätten verhindern können, wenn sie „sichere Codierungspraktiken“ angewendet hätten, bei denen sie alle Parameter überprüfen müssen. Diese Überprüfung hätte die Authentifizierung gültiger Adressen sicherstellen und damit illegitime Quellen vom Zugriff auf Vermögenswerte in der Chain ausschließen können.
Beanstalk – $181 Mio.
An einem schicksalhaften Wochenende im April 2022 setzte ein Hacker einen Angriff in Gang, der die Krypto-Community erschütterte. Unter Verwendung eines Flash Loans – einer Funktion von Decentralized Finance (DeFi)-Protokollen – gelang es ihm, 182 Millionen Dollar in ETH, BEAN Stablecoin und andere Vermögenswerte aus dem Beanstalk Stablecoin-Protokoll zu stehlen.
Die Hacker legten zwei bösartige Vorschläge über die Notfall-Commit-Funktion der Beanstalk DAO vor, die vor der Implementierung nach 24 Stunden eine ⅔-Stimme erfordert. Der Angreifer nutzte Flash-Loan-Technologie, um die Kontrolle über 79 % der Token zu erlangen, um beide Vorschläge zu verabschieden und seinen Plan erfolgreich auszuführen.
Die Gelder wurden innerhalb des Protokolls gesendet, um den Flash Loan zurückzuzahlen, der Rest ging an eine Adresse, die mit einem ukrainischen Notfonds verbunden ist. Insgesamt wurden bis zu 76 Millionen Dollar von der Person entwendet, die für diese mutige Tat verantwortlich ist.
Nomad – $155 Mio.
Der rätselhafte Nomad-Bridge-Hack machte Schlagzeilen, als er am 1. August 2022 geschah. Viele Blockchain-Enthusiasten waren schockiert, als Angreifer eine Verwundbarkeit ausnutzten, um über 190 Millionen Dollar an Ethereum-basierten Vermögenswerten, die in der Multi-Chain-Cross-Bridge gespeichert waren, abzugießen.
Die Hacker agierten schnell und wütend, wobei Hunderte von Wallets in 960 Transaktionen involviert waren, die zu 1.175 einzelnen Abhebungen aus dem Total Value Locked (TVL) der Bridge führten. Alles innerhalb weniger Stunden.
Ein verwirrender Aspekt dieses Hacks war, dass alle Benutzer, um die Bridge-Gelder zu hacken, nur die Transaktionsaufrufdaten des ursprünglichen Hackers kopieren und einfügen, die ursprüngliche Adresse durch eine persönliche ersetzen und die Transaktion würde abgeschlossen werden.
Der Hack sendete Schockwellen durch die Decentralized Finance (DeFi)-Community und bewies, dass Hacker bei der Ausnutzung von Lücken im Code immer einen Schritt voraus sind. Die Nomad Bridge bietet ein anschauliches Beispiel, das die Bedeutung sicherer Codierungspraktiken demonstriert und unterstreicht, warum Sicherheit auch heute eine fortlaufende Herausforderung für Blockchain-Projekte darstellt.
CREAM Finance – $130.8 Mio.
Obwohl der Angriff auf CREAM im Oktober 2021 einer der größten Flash-Loan-Diebstähle war, war er sicherlich kein isolierter Vorfall. Flash-Loan-Angriffe beinhalten die Nutzung eines „Flash Loans“ von Liquidität, das Ausleihen und den Ausfall dieser schnellen Finanzierung, alles innerhalb einer einzigen Transaktion.
Durch die Ausnutzung von Preiskalkulationsfehlern können Hacker schnell von ihren Ausleihungen profitieren. Im Fall von CREAM interagierten zwei verschiedene Adressen mit seinem yUSDVault, um eine große Anzahl von crYUSD-Token zu prägen. Sie nutzten eine Verwundbarkeit, die den Wert dieser Anteile verdoppelte. Obwohl sie erfolgreich Vermögenswerte im Wert von 130 Millionen Dollar sicherten, hätte die verfügbare Sicherheit von ~1 Milliarde Dollar weit mehr als diesen Betrag abdecken können.
Flash-Loan-Angriffe werden zunehmend verbreitet, und die Community sollte Fragen dazu stellen, wie sie weitere Sicherheitsverletzungen in der Zukunft verhindern kann.
BSC-Token-Hub – $127 Mio.
Im Oktober 2022 entwendeten Hacker, die eine kritische Verwundbarkeit im Code der BSC Beacon Cross-Bridge ausnutzten, Krypto-Assets im Gesamtwert von 570 Millionen Dollar.
Die BSc Beacon Chain, auch bekannt als Token Hub, ist eine Inter-Chain-Bridge, die die BNB Beacon Chain (BEP2) und die BNB Chain (BEP20/BSC) verbindet.
Der Hacker fälschte kryptografische Beweise, sogenannte Merkle-Beweise, die dazu dienen sollten, die Gültigkeit von Daten wie Transaktionen zu bestätigen. Damit übertrugen sie diese falschen Merkle-Beweise, um Gelder von der BSC Beacon Cross-Bridge auf andere Chains zu transferieren.
Sobald Tether die Adresse der Angreifer blockierte, folgten schnelle Maßnahmen, wobei über 7 Millionen Dollar von der BNB-Chain eingefroren wurden, was den Großteil ihrer unrechtmäßig erlangten Gelder beschlagnahmte.
Harmony Horizon – $100 Mio.
Im Juni 2022 wurde das Harmony Horizon Bridge-Projekt kompromittiert, als Hacker zwei der fünf privaten Schlüssel der Validatoren stahlen, was Betrügern ermöglichte, Token im Wert von 100 Millionen Dollar zu transferieren.
Dieses Sicherheitsproblem war auf die Art und Weise zurückzuführen, wie die Bridge eingerichtet war, mit einem 2-von-5-Validierungsschema. Infolgedessen benötigte der Angreifer nur zwei Genehmigungen, um jede bösartige Transaktion validieren zu lassen. Um ihre Spuren zu verwischen, nutzten die Angreifer Tornado Cash, um einen Teil ihrer unrechtmäßig erlangten Gewinne zu waschen.
Obwohl diese Einrichtung zunächst sicher erscheinen mag, erwies sie sich als lukratives Ziel für böswillige Akteure und als teure Lektion in der Blockchain-Sicherheit für diejenigen, die erwischt wurden.
Rari – $91 Mio.
Reentrancy-Angriffe gibt es seit den frühen Tagen von Ethereum. Sie haben Vertragsverwundbarkeiten genutzt, um wiederholt Gelder abzuheben, bevor die ursprüngliche Transaktion genehmigt oder abgelehnt wurde.
Im Mai 2022 wurden zwei Decentralized Finance-Plattformen auf diese Weise kompromittiert, wobei Hacker 90 Millionen Dollar stahlen. Jack Longarzo von Rari Capital sagte, der Angreifer habe das Unternehmen ausgenutzt, und Fei Protocol, das mit Rari Capital fusionierte, bot dem Hacker eine Belohnung von 10 Millionen Dollar an.
Das Blockchain-Sicherheitsunternehmen BlockSec erklärte, dass die Hacker eine Reentrancy-Verwundbarkeit genutzt hätten.
Entwickler können diese Art von Angriffen verhindern, indem sie Verträge vor der Bereitstellung auf der Ethereum-Blockchain ordnungsgemäß testen und auditieren.
So schützen Sie sich vor DeFi-Exploits
DeFi-Protokolle sind immer beliebter und komplexer geworden, was sie zu attraktiven Zielen für Hacker macht. Die folgenden sind sieben Tipps, die Ihnen helfen, sich vor DeFi-Exploits zu schützen:
- Führen Sie vor jeder Investition eine gründliche Due-Diligence für jedes Projekt durch. Überprüfen Sie den Code der Plattform, die Website, die Teammitglieder und die sozialen Kanäle auf rote Fahnen.
- Stellen Sie sicher, dass vertrauenswürdige Quellen die Verträge, mit denen Sie interagieren, auditieren, und dass die Audit-Ergebnisse öffentlich verfügbar sind.
- Speichern Sie keine großen Geldmengen in einem einzigen DeFi-Vertrag, da dies die Anfälligkeit für Angriffe erhöht.
- Bleiben Sie über die neuesten Sicherheitsnachrichten auf dem Laufenden, um über neue Exploits informiert zu sein.
- Implementieren Sie ordnungsgemäße Authentifizierungs- und Autorisierungsverfahren für alle Konten, die mit DeFi-Protokollen interagieren.
- Stellen Sie sicher, dass Ihre Wallet sicher ist, und verwenden Sie nach Möglichkeit eine Zwei-Faktor-Authentifizierung.
- Überwachen Sie regelmäßig Ihre Gelder und Transaktionen in der Blockchain, um verdächtige Aktivitäten oder unbefugte Abhebungen zu erkennen.
Die Befolgung dieser Tipps kann Ihnen helfen, sich vor DeFi-Exploits zu schützen und sicherstellen, dass Ihre Gelder bei der Interaktion mit Decentralized Finance-Protokollen sicher sind. Es ist jedoch auch wichtig zu bedenken, dass kein System unfehlbar ist, daher ist es immer beste Praxis, bei der Handhabung digitaler Assets zusätzliche Vorsicht walten zu lassen.
Fazit
Insgesamt ist Sicherheit eine der wichtigsten Überlegungen beim Umgang mit Kryptowährungen und DeFi-Protokollen. Leider nehmen, während die Branche weiter wächst, auch die Risiken böswilliger Aktivitäten zu. Obwohl es unmöglich ist, totale Sicherheit zu garantieren, können Sie durch die Befolgung dieser Tipps sich vor DeFi-Exploits schützen und Ihre Gelder sicher aufbewahren.
Indem Sie über die neuesten Entwicklungen in der Blockchain-Sicherheit auf dem Laufenden bleiben und sicherstellen, dass ordnungsgemäße Authentifizierungsverfahren für alle Konten vorhanden sind, können Sie dazu beitragen, dass Ihre digitalen Assets sicher bleiben.
Häufig gestellte Fragen
Was ist Tornado Cash?
Tornado Cash ist ein auf Ethereum basierendes Datenschutzprotokoll, das es Benutzern ermöglicht, Kryptowährungen zu mischen.
Was ist eine Flash-Liquidität (Flash Loan)?
Eine Flash-Liquidität ist eine Art Kredit auf der Ethereum-Blockchain, die es Benutzern ermöglicht, Mittel zu leihen, ohne Sicherheiten hinterlegen zu müssen.
Was ist ein DeFi-Exploit?
Ein DeFi-Exploit greift dezentrale Finanzprotokolle an und nutzt Schwachstellen aus, um Gelder von dezentralen Plattformen zu stehlen.
Ist Uniswap eine DeFi-Plattform?
Uniswap ist eine dezentrale Finanzplattform, die es Benutzern ermöglicht, Kryptowährungen und digitale Vermögenswerte zu handeln.
Unsere Inhalte basieren auf sorgfältigen Recherchen, doch wir erkennen an, dass verdiente Unternehmen möglicherweise übersehen werden. Wenn Sie ein Geschäftsinhaber oder Leser sind, der der Meinung ist, dass ein wertvolles Unternehmen in unserer Liste fehlt, schreiben Sie uns unter [email protected].
Damilola Lawrence
Damilola Lawrence berichtet seit über 5 Jahren über Kryptomärkte und Technologie. Zuvor hat er Krypto-Einblicke und Analysen für TheShibMagazine, CryptoMode, Qweens Magazine und die Recording Academy geteilt, bevor er in den Web3-Bereich wechselte. Bei Cryptopolitan ist er Spezialist für Krypto-Preisschätzungen. Nach Abschluss seines Bachelorstudiums hat er sich einem Masterstudiengang in IT-Cybersicherheit an der Maria Curie-Skłodowska-Universität gewidmet.
