I più grandi exploit DeFi nel Web3: come prevenire violazioni della sicurezza simili

I protocolli di finanza decentralizzata (DeFi) offrono servizi finanziari decentralizzati agli utenti, consentendo loro di effettuare transazioni e stipulare accordi con altri partecipanti. Sebbene i protocolli DeFi mirino a fornire una piattaforma sicura e affidabile per i loro utenti, diversi exploit negli ultimi anni hanno causato perdite significative di fondi. Questo articolo discuterà alcuni degli exploit DeFi più estesi verificatisi di recente.

Ecco i migliori 8 exploit cripto DeFi nel Web3 dopo aver detratto i fondi restituiti:

Ronin Chain – $600m

Marzo 2023 è stato un mese ricco di eventi per lo spazio delle criptovalute, con l'hack del bridge Ronin di Axie Infinity in testa alla lista con 612 milioni di dollari.

Il bridge Ronin è una side chain di Ethereum utilizzata nel popolare gioco play-to-earn Axie Infinity.

Il gruppo di cybercriminali Lazarus, sospettato di avere connessioni nordcoreane, è riuscito ad accedere alle chiavi private di nove validatori di transazioni, consentendo loro di approvare due grandi transazioni e spostare i fondi dal loro indirizzo wallet. Fortunatamente, una collaborazione tra autorità, società di sicurezza e scambi di criptovalute è stata in grado di aiutare a rintracciare parte di questi fondi dopo che gli hacker li hanno trasferiti su Tornado cash – un mixer cripto open-source – e su altri exchange.

Wormhole bridge – $323m

Nel febbraio 2022, si è verificato un incidente sfortunato quando gli hacker cripto hanno sfruttato il codice di wormhole per portarsi via criptovalute per un valore di 326 milioni di dollari.

Wormhole è un token bridge tra Solana ed Ethereum, che purtroppo non è riuscito a prevenire l'attacco. È stato reso possibile da una funzione deprecata/morta insicura che ha bypassato la verifica della firma e ha consentito la catena di deleghe di firme.

Gli esperti di sicurezza informatica suggeriscono che gli sviluppatori avrebbero potuto prevenire l'attacco se avessero praticato 'buone pratiche di codifica sicura' in cui devono controllare tutti i parametri. Il controllo avrebbe potuto garantire l'autenticazione di indirizzi validi ed escludere così fonti illegittime dall'accesso alle attività sulla catena.

Beanstalk – $181m

In un weekend fatidico di aprile 2022, un hacker ha lanciato un attacco che ha scosso la comunità crypto. Utilizzando un flash loan – una funzionalità dei protocolli di finanza decentralizzata (DeFi) – è riuscito a rubare 182 milioni di dollari in ETH, nella stablecoin BEAN e in altri asset dal protocollo stablecoin Beanstalk.

Gli hacker hanno presentato due proposte malevole al DAO di Beanstalk tramite la sua funzione di commit di emergenza, che richiede una votazione di ⅔ prima dell'implementazione dopo 24 ore. L'attaccante ha utilizzato la tecnologia flash loan per ottenere il controllo del 79% dei token e approvare entrambe le proposte, eseguendo con successo il suo piano.

I fondi sono stati inviati dall'interno del protocollo per estinguere il flash loan, con il resto trasferito su un indirizzo associato a un fondo di emergenza con sede in Ucraina. In totale, fino a 76 milioni di dollari sono stati sottratti dall'individuo responsabile di questo atto coraggioso.

Nomad – $155m

Il misterioso hack del ponte Nomad ha fatto notizia quando si è verificato il 1° agosto 2022. Ha scioccato molti appassionati di blockchain poiché gli attaccanti hanno sfruttato una vulnerabilità per drenare oltre 190 milioni di dollari in asset basati su Ethereum memorizzati nel ponte cross-chain multi-chain.

Gli hacker si sono mossi velocemente e con furore, con centinaia di wallet coinvolti in 960 transazioni che hanno portato a 1.175 prelievi individuali dal Total Value Locked (TVL) del bridge. Tutto questo nell'arco di poche ore.

Un aspetto perplexo di questo hack era che tutto ciò che gli utenti dovevano fare per hackerare i fondi del ponte era copiare-incollare i dati di chiamata della transazione dell'hacker originale, sostituire l'indirizzo originale con uno personale e la transazione si sarebbe completata.

L'hack ha scosso la comunità della finanza decentralizzata (DeFi), dimostrando che gli hacker rimangono un passo avanti quando sfruttano le lacune nel codice. Il ponte Nomad fornisce un esempio illustrativo che dimostra l'importanza di pratiche di codifica sicure e rafforza il motivo per cui la sicurezza rimane una sfida continua per i progetti blockchain oggi.

CREAM Finance – $130.8m

Sebbene l'attacco a CREAM nell'ottobre 2021 sia stato uno dei più grandi furti con flash loan, non è stato certamente un incidente isolato. Gli attacchi con flash loan comportano l'uso di un 'flash loan' di liquidità, il prestito e il default su questo finanziamento rapido, il tutto all'interno di una singola transazione.

Sfruttando errori di calcolo del prezzo, gli hacker possono trarre rapidamente profitto dai loro prestiti. Ad esempio, nel caso di CREAM, due indirizzi diversi hanno interagito con il suo yUSDVault per coniare un gran numero di token crYUSD. Hanno sfruttato una vulnerabilità che raddoppiava il valore di queste azioni. Sebbene siano riusciti a securing 130 milioni di dollari in fondi, i ~1 miliardo di dollari di garanzia disponibile potrebbero averne presi molto di più. 

Gli attacchi con flash loan stanno diventando sempre più diffusi e la comunità dovrebbe porsi domande su come prevenire ulteriori violazioni della sicurezza in futuro.

BSC token hub – $127m

Nell'ottobre 2022, gli hacker che sfruttavano una vulnerabilità critica nel codice del cross-bridge BSC Beacon si sono appropriati di asset crypto per un totale di 570 milioni di dollari.

La catena BSc Beacon, nota anche come Token Hub, è un ponte inter-chain che collega la BNB Beacon Chain (BEP2) e la BNB Chain (BEP20/BSC).

L'hacker ha falsificato le prove crittografiche chiamate Merkle proofs, destinate a confermare la validità di dati come le transazioni. Di conseguenza, ha utilizzato queste false prove Merkle per trasferire fondi dal cross-bridge BSC Beacon ad altre catene.

Non appena Tether ha bloccato l'indirizzo degli attaccanti, è intervenuta un'azione rapida con oltre 7 milioni di dollari spostati dal congelamento sulla catena BNB, confiscando la maggior parte dei loro fondi illeciti.

Harmony Horizon – $100m

Nel giugno 2022, il progetto Harmony Horizon Bridge è stato compromesso quando gli hacker hanno rubato due delle cinque chiavi private dei validatori, consentendo ai truffatori di trasferire token per un valore di 100 milioni di dollari.

Questo problema di sicurezza era dovuto al modo in cui il ponte era stato configurato, con uno schema di validazione 2 su 5. Di conseguenza, l'attaccante aveva bisogno solo di due approvazioni affinché qualsiasi transazione malevola fosse validata. Per coprire le proprie tracce, gli attaccanti hanno utilizzato Tornado Cash per riciclare parte dei loro guadagni illeciti. 

Sebbene questa configurazione potesse sembrare sicura inizialmente, si è rivelata un obiettivo redditizio per i cattivi attori e una lezione costosa sulla sicurezza blockchain per coloro che sono rimasti coinvolti.

Rari- $91 m

Gli attacchi di reentrancy esistono fin dai primi giorni di Ethereum. Hanno sfruttato le vulnerabilità dei contratti per prelevare ripetutamente fondi prima che la transazione originale fosse approvata o rifiutata.

Nel maggio 2022, due piattaforme di finanza decentralizzata sono state compromesse in questo modo, con gli hacker che hanno rubato 90 milioni di dollari. Jack Longarzo di Rari Capital ha dichiarato che l'attaccante ha sfruttato l'azienda, e Fei Protocol, che si è fusa con Rari Capital, ha offerto un bounty di 10 milioni di dollari all'hacker.

L'azienda di sicurezza blockchain BlockSec ha spiegato che gli hacker hanno sfruttato una vulnerabilità di reentrancy. 

Gli sviluppatori possono prevenire questo tipo di attacchi testando e auditando correttamente i contratti prima del deployment sulla blockchain di Ethereum.

Come proteggersi dagli exploit DeFi

I protocolli DeFi sono diventati sempre più popolari e complessi, rendendoli obiettivi attraenti per gli hacker. Di seguito sono riportati sette consigli per aiutarti a proteggerti dagli exploit DeFi:

1. Esegui un'attenta due diligence su qualsiasi progetto prima di investire. Controlla il codice della piattaforma, il sito web, i membri del team e i canali social per individuare segnali di allarme.
2. Assicurati che i contratti con cui interagisci siano auditati da una fonte affidabile e che i risultati dell'audit siano pubblicamente disponibili.
3. Non conservare grandi quantità di fondi in un singolo contratto DeFi, rendendolo più vulnerabile agli attacchi.
4. Mantieniti aggiornato sulle ultime notizie sulla sicurezza per conoscere i nuovi exploit.
5. Implementa procedure di autenticazione e autorizzazione adeguate per tutti gli account che interagiscono con i protocolli DeFi.
6. Assicurati che il tuo wallet sia sicuro e utilizza l'autenticazione a due fattori ogni volta che è possibile.
7. Monitora regolarmente i tuoi fondi e le transazioni sulla blockchain per rilevare eventuali attività sospette o prelievi non autorizzati.

Seguire questi consigli può aiutarti a proteggerti dagli exploit DeFi e garantire che i tuoi fondi siano sicuri quando interagisci con i protocolli di finanza decentralizzata. Tuttavia, è anche importante ricordare che nessun sistema è infallibile, quindi è sempre buona pratica prestare ulteriore cautela quando si trattano asset digitali.

Conclusione

In generale, la sicurezza è una delle considerazioni più importanti quando si trattano criptovalute e protocolli DeI. Sfortunatamente, mentre l'industria continua a crescere, crescono anche i rischi di attività malevole. Sebbene sia impossibile garantire una sicurezza totale, seguire questi consigli può aiutarti a proteggerti dagli exploit DeFi e mantenere i tuoi fondi al sicuro. 

Mantenendosi aggiornati sugli ultimi sviluppi nella sicurezza blockchain e assicurando che siano in atto procedure di autenticazione adeguate per tutti gli account, puoi contribuire a garantire che i tuoi asset digitali rimangano al sicuro.