Hacker AI e smart contract DeFi preparano uno scontro mentre aumentano le perdite
- Gli agenti IA sono diventati così avanzati che anche i non esperti possono ora utilizzarli per identificare autonomamente e scrivere codice funzionante per gli exploit DeFi.
- Sono stati rubati oltre 1,5 milioni di dollari in soli quattro attacchi a smart contract su Ethereum in 48 ore.
- Il protocollo ZetaChain ha perso 333.868 $ in un attacco sofisticato e premeditato dopo aver ignorato una segnalazione di bug.
La serie di attacchi alla rete principale di Ethereum che ha portato a perdite superiori a 1,5 milioni di dollari è stata aggravata da nuove ricerche che mostrano come gli agenti di intelligenza artificiale (AI) possano ora scoprire e sfruttare autonomamente le vulnerabilità nei protocolli di finanza decentralizzata (DeFi).
La società di sicurezza GoPlus Security ha segnalato che quattro contratti separati sono stati sfruttati in sole 48 ore fino al 29 aprile. La società ha avvertito che gli hacker armati di AI stanno diventando più precisi e veloci che mai.
E gli sviluppatori di smart contract DeFi non hanno altra scelta se non l'AI per affrontare i problemi che l'AI stessa ha creato.
L'AI può davvero hackerare il DeFi da sola?
a16z crypto ha testato un agente di codifica AI commerciale contro 20 passati incidenti di manipolazione dei prezzi su Ethereum e ha scoperto che, quando fornito solo di un indirizzo del contratto e di strumenti di base, l'AI è riuscita a sfruttare la vulnerabilità solo il 10% delle volte.
Tuttavia, quando i ricercatori hanno dato all'agente accesso a conoscenze strutturate sui comuni modelli di attacco, come gli exploit di donazione ai vault e la manipolazione dei pool di market maker automatizzati (AMM), il tasso di successo è salito al 70%.
I ricercatori hanno notato che, sebbene l'AI sia molto brava a trovare bug, a volte fatica con attacchi complessi e multi-step. Un agente ha persino cercato di "sfuggire" al suo ambiente di test estraendo una chiave segreta per guardare i dati dei blocchi futuri.
Anthropic ha recentemente . L'azienda crede che FRUT servirà come “espressione a biglietto unico” degli aspetti della piattaforma e dell'hardware dell'intelligenza artificiale. Questo significa semplicemente che gli investitori ottengono accesso all'infrastruttura AI con un prodotto, invece di mescolare diversi produttori di chip e nomi di piattaforme. rilasciato un nuovo modello AI chiamato "Claude Mythos Preview". L'azienda ha dichiarato che questo modello può trovare autonomamente e scrivere exploit funzionanti per vulnerabilità zero-day su principali sistemi operativi e browser web.
Prima di Mythos Preview, i modelli precedenti avevano un "tasso di successo vicino allo 0%" nella scrittura di exploit. L'azienda ha anche confermato che gli stessi miglioramenti che rendono il modello bravo a patchare le vulnerabilità lo rendono bravo anche a sfruttarle.
Quando ha avuto accesso all'API delle transazioni di Etherscan, l'agente ha trovato transazioni di attacco reali passate e le ha reverse-engineered per scrivere il proprio codice exploit.
Quanto è stato perso nell'hack di ZetaChain?
GoPlus Security ha segnalato quattro exploit separati di smart contract sulla rete principale di Ethereum in una finestra di 48 ore fino al 29 aprile. Le perdite combese hanno superato i 1,5 milioni di dollari. La società ha descritto l'attuale ritmo degli attacchi assistiti dall'AI come un'"era del countdown-secondo per secondo".
In uno degli incidenti più grandi della settimana, circa 333.868 dollari sono stati drenati attraverso nove transazioni su quattro catene, tra cui Ethereum, Arbitrum, Base e BSC. Il rapporto post-mortem ufficiale di ZetaChain afferma che nessun fondo utente è stato perso; i tre wallet interessati appartenevano al team di ZetaChain.
L'attaccante ha sfruttato una funzionalità nel contratto GatewayEVM utilizzando "chiamate arbitrarie". Il gateway non disponeva di un blocklist rigoroso, consentendo all'hacker di istruirlo a trasferire le autorizzazioni ai token impostate dai wallet del team.
L'hacker ha finanziato i wallet tramite Tornado Cash tre giorni prima dell'attacco, mimando il wallet di una vittima.
ZetaChain ha ammesso che la vulnerabilità era stata segnalata in precedenza attraverso il suo programma bug bounty, ma le segnalazioni iniziali furono scartate. Il protocollo ha da allora sospeso le transazioni cross-chain e sta rilasciando una patch per disabilitare il codice rischioso.
Altri exploit su Ethereum identificati da GoPlus Security nelle ultime 48 ore includono un contratto aggregatore on-chain che ha perso circa 983.000 dollari a causa di controlli di accesso mancanti; un vault di terze parti non autorizzato legato a TradingProtocol che ha perso circa 398.000 dollari sempre per mancanza di controlli sui permessi; un contratto BCB che ha perso circa 39.800 dollari da una vulnerabilità di reentrancy; e un contratto di asset QNT che ha perso circa 124.900 dollari da una vulnerabilità di chiamata arbitraria.
Cryptopolitan riporta che le perdite nel DeFi ad aprile da sole hanno raggiunto livelli record, superando le statistiche combinate dei primi tre mesi dell'anno.
Con l'aumento delle perdite nei casi recenti, si sta preparando uno scontro epocale in cui hacker e sviluppatori combattono l'IA con l'IA. Con l'ingresso in scena di Mythos di Anthropic e altri, sembra che l'IA stia armando gli hacker e che gli sviluppatori non avranno altra scelta se non utilizzare l'IA per difendersi
Se stai leggendo questo, sei già avanti. Resta così con la nostra newsletter.
Domande frequenti
Come gli hacker utilizzano l'IA per sfruttare gli smart contract DeFi?
Secondo la ricerca di a16z Crypto, gli agenti di codifica IA commerciali, forniti solo con l'indirizzo di un contratto e strumenti standard per sviluppatori, possono identificare autonomamente le vulnerabilità legate alla manipolazione dei prezzi e scrivere codice di exploit funzionante, riuscendo nel 10% dei casi di test anche senza conoscenze specifiche del dominio.
Quanto è stato perso nell'exploit di ZetaChain?
Il rapporto post-mortem di ZetaChain ha confermato che sono stati drenati circa 333.868 $ attraverso nove transazioni su quattro blockchain (Ethereum, Arbitrum, Base e BSC), sebbene non siano stati persi fondi di utenti esterni poiché tutti e tre i wallet interessati appartenevano a ZetaChain.
Cos'è il Project Glasswing di Anthropic?
Project Glasswing è l'iniziativa di Anthropic volta a fornire ai partner delle infrastrutture critiche e agli sviluppatori open-source un accesso anticipato al suo modello Mythos Preview per scopi di sicurezza difensiva, con l'obiettivo di consentire ai difensori di proteggere i sistemi chiave prima che modelli con capacità di sfruttamento simili diventino ampiamente disponibili.
Dichiarazione di responsabilità. Le informazioni fornite non costituiscono consigli di trading. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti effettuati sulla base delle informazioni fornite in questa pagina. Si consiglia vivamente di effettuare ricerche indipendenti e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Hannah Collymore
Hannah è una scrittrice e redattrice con quasi un decennio di esperienza nella scrittura di blog e nella copertura di eventi nel settore delle criptovalute. Presso Cryptopolitan, Hannah contribuisce alla pagina delle notizie, riportando e analizzando gli ultimi sviluppi nei settori DeFi, RWA, regolamentazione crypto, intelligenza artificiale e tecnologie emergenti. Si è laureata all'Arcadia University con una laurea in Amministrazione Aziendale.
