Maiores explorações DeFi na Web3: como prevenir violações de segurança semelhantes

Os protocolos de finanças descentralizadas (DeFi) oferecem serviços financeiros descentralizados aos usuários, permitindo que realizem transações e firmem acordos com outros participantes. Embora os protocolos DeFi visem fornecer uma plataforma segura e confiável para seus usuários, diversas vulnerabilidades exploradas nos últimos anos causaram perdas significativas de fundos. Este artigo discutirá algumas das vulnerabilidades DeFi mais extensas que ocorreram recentemente.

Aqui estão os 8 principais exploits DeFi em criptomoedas na Web3, após a dedução dos fundos devolvidos:

Ronin Chain – US$ 600 milhões

Março de 2023 foi um mês agitado para o universo das criptomoedas, com o ataque hacker à ponte Axie Infinity Ronin liderando a lista, com um prejuízo de US$ 612 milhões.

A ponte Ronin é uma sidechain Ethereum usada no popular jogo Axie Infinity, onde você ganha dinheiro jogando.

O grupo de cibercriminosos Lazarus, suspeito de ter ligações com a Coreia do Norte, conseguiu obter acesso às chaves privadas de nove validadores de transações, permitindo-lhes aprovar duas grandes transações e movimentar os fundos de suas carteiras. Felizmente, uma colaboração entre autoridades, empresas de segurança e corretoras de criptomoedas possibilitou tracparte desses fundos depois que os hackers os transferiram para a Tornado cash – um misturador de criptomoedas de código aberto – e outras corretoras.

Ponte de buraco de minhoca – US$ 323 milhões

Em fevereiro de 2022, ocorreu umdent infeliz quando hackers de criptomoedas exploraram uma vulnerabilidade no código de um wormhole para fugir com criptomoedas no valor de US$ 326 milhões.

Um wormhole é uma ponte de tokens entre Solana e Ethereum, que infelizmente não conseguiu impedir o ataque. Ele foi viabilizado por uma função obsoleta/inativa e insegura que burlava a verificação de assinatura e permitia a cadeia de delegações de assinaturas.

Especialistas em segurança cibernética sugerem que os desenvolvedores poderiam ter evitado o ataque se tivessem praticado "práticas de programação segura", que incluem a verificação de todos os parâmetros. Essa verificação poderia ter garantido a autenticação de endereços válidos e, assim, impedido o acesso de fontes ilegítimas aos ativos da blockchain.

Pé de Feijão – US$ 181 milhões

Em um fatídico fim de semana de abril de 2022, um hacker lançou um ataque que abalou a comunidade cripto. Usando um empréstimo relâmpago – um recurso dos protocolos de finanças descentralizadas (DeFi) – ele conseguiu roubar US$ 182 milhões em ETH, a stablecoin BEAN e outros ativos do protocolo Beanstalk.

Os hackers apresentaram duas propostas maliciosas à Beanstalk DAO por meio de sua função de commit de emergência, que exige ⅔ dos votos para implementação após 24 horas. O atacante usou a tecnologia de empréstimo relâmpago para obter o controle de 79% dos tokens, aprovando ambas as propostas e executando seu plano com sucesso.

Os fundos foram enviados dentro do protocolo para quitar o empréstimo relâmpago, e o restante foi depositado em um endereço associado a um fundo de emergência com sede na Ucrânia. No total, até US$ 76 milhões foram desviados pelo indivíduo responsável por esse ato ousado.

Nomad – US$ 155 milhões

O intrigante ataque à ponte Nomad ganhou as manchetes quando ocorreu em 1º de agosto de 2022. Chocou muitos entusiastas da blockchain, pois os atacantes se aproveitaram de uma vulnerabilidade para drenar mais de US$ 190 milhões em ativos baseados em Ethereumarmazenados na ponte cruzada multicadeia.

Os hackers agiram com rapidez e fúria, com centenas de carteiras envolvidas em 960 transações, resultando em 1.175 saques individuais do Valor Total Bloqueado ( TVL ) da ponte . Tudo isso em questão de horas.

Um aspecto intrigante desse ataque era que tudo o que os usuários precisavam fazer para invadir os fundos da ponte era copiar e colar os dados da chamada de transação do hacker original, substituir o endereço original por um endereço pessoal, e a transação seria concluída.

O ataque causou grande impacto na comunidade de finanças descentralizadas (DeFi), comprovando que os hackers estão sempre um passo à frente na exploração de vulnerabilidades no código. A ponte Nomad oferece um exemplo ilustrativo da importância de práticas de programação seguras e reforça por que a segurança continua sendo um desafio constante para projetos de blockchain atualmente.

CREAM Finance – US$ 130,8 milhões

Embora o ataque à CREAM em outubro de 2021 tenha sido um dos maiores golpes de empréstimo relâmpago, certamente não foi umdentisolado. Os ataques de empréstimo relâmpago envolvem o uso de um "empréstimo relâmpago" de liquidez, o empréstimo e o não pagamento desse financiamento rápido, tudo em uma única transação.

Ao explorar erros no cálculo de preços, hackers podem lucrar rapidamente com seus empréstimos. Por exemplo, no caso da CREAM, dois endereços diferentes interagiram com seu yUSDVault para cunhar um grande número de tokens crYUSD. Eles exploraram uma vulnerabilidade que dobraria o valor dessas ações. Embora tenham conseguido garantir o equivalente a US$ 130 milhões, o valor de garantia disponível, de aproximadamente US$ 1 bilhão, poderia ser muito maior do que isso. 

Os ataques de empréstimo relâmpago estão se tornando cada vez mais comuns, e a comunidade deve questionar como pode prevenir futuras violações de segurança.

Centro de tokens BSC – US$ 127 milhões

Em outubro de 2022, hackers que exploraram uma vulnerabilidade crítica no código de interconexão do BSC Beacon roubaram criptoativos no valor total de US$ 570 milhões.

A BSc Beacon Chain, também conhecida como Token Hub, é uma ponte intercadeias que conecta a BNB Beacon Chain (BEP2) e a BNB Chain (BEP20/BSC).

O hacker falsificou provas criptográficas chamadas provas de Merkle, que servem para confirmar a validade de dados como transações. Por sua vez, ele usou essas provas de Merkle falsas para transferir fundos da ponte cruzada BSC Beacon para outras blockchains.

Assim que a Tether bloqueou o endereço dos atacantes, uma ação rápida se seguiu, com mais de US$ 7 milhões transferidos da blockchain BNB congelados, confiscando a maior parte dos fundos obtidos ilicitamente.

Harmony Horizon – US$ 100 milhões

Em junho de 2022, o projeto Harmony Horizon Bridge foi comprometido quando hackers roubaram duas de suas cinco chaves privadas de validadores, permitindo que fraudadores transferissem o equivalente a US$ 100 milhões em tokens.

Esse problema de segurança se devia à forma como a ponte havia sido configurada, com um esquema de validação de 2 em 5. Como resultado, o atacante precisava de apenas duas aprovações para que qualquer transação maliciosa fosse validada. Para encobrir seus trac, os atacantes usaram o Tornado Cash para lavar parte dos lucros ilícitos. 

Embora essa configuração pudesse parecer segura inicialmente, ela se revelou um alvo lucrativo para agentes mal-intencionados e uma lição cara sobre segurança em blockchain para aqueles que foram pegos.

Rari - $ 91 milhões

Os ataques de reentrância existem desde os primórdios do Ethereum. Eles exploram vulnerabilidades detracpara sacar fundos repetidamente antes que a transação original seja aprovada ou rejeitada.

Em maio de 2022, duas plataformas de finanças descentralizadas foram comprometidas dessa maneira, com hackers roubando US$ 90 milhões. Jack Longarzo, da Rari Capital, afirmou que o invasor explorou a empresa, e a Fei Protocol, que se fundiu com a Rari Capital, ofereceu ao hacker uma recompensa de US$ 10 milhões.

A empresa de segurança blockchain BlockSec explicou que os hackers exploraram uma vulnerabilidade de reentrância. 

Os desenvolvedores podem prevenir esses tipos de ataques testando e auditando adequadamente ostracantes da implantação na blockchain Ethereum .

Como se proteger de explorações DeFi

Os protocolos DeFi tornaram-se cada vez mais populares e complexos, o que os torna alvostracpara hackers. A seguir, apresentamos sete dicas para ajudá-lo a se proteger contra explorações DeFi :

1. Antes de investir em qualquer projeto, faça uma análise minuciosa. Verifique o código da plataforma, o site, os membros da equipe e os canais de mídia social em busca de sinais de alerta.
2. Garanta que uma fonte confiável audite ostraccom os quais você interage e que os resultados da auditoria sejam de domínio público.
3. Não armazene grandes quantias de fundos em um únicotracDeFi , pois isso o torna mais vulnerável a ataques.
4. Mantenha-se atualizado com as últimas notícias de segurança para ficar por dentro de novas vulnerabilidades.
5. Implemente procedimentos adequados de autenticação e autorização para todas as contas que interagem com protocolos DeFi .
6. Certifique-se de que sua carteira esteja segura e use a autenticação de dois fatores sempre que possível.
7. Monitore regularmente seus fundos e transações na blockchain para detectar qualquer atividade suspeita ou saques não autorizados.

Seguir essas dicas pode ajudar a proteger você contra explorações DeFi e garantir a segurança dos seus fundos ao interagir com protocolos de finanças descentralizadas. No entanto, também é importante lembrar que nenhum sistema é infalível, portanto, é sempre recomendável ter cautela extra ao lidar com ativos digitais.

Conclusão

De modo geral, a segurança é uma das considerações mais importantes ao lidar com criptomoedas e protocolos DeFi . Infelizmente, à medida que o setor continua a crescer, também aumentam os riscos de atividades maliciosas. Embora seja impossível garantir segurança total, seguir estas dicas pode ajudar a proteger-se contra explorações DeFi e manter seus fundos seguros. 

Ao se manter atualizado sobre os últimos desenvolvimentos em segurança blockchain e garantir que os procedimentos de autenticação adequados estejam em vigor para todas as contas, você pode ajudar a garantir que seus ativos digitais permaneçam seguros.