As Maiores Explorações DeFi na Web3: Como Prevenir Brechas de Segurança Semelhantes

Os protocolos de finanças descentralizadas (DeFi) oferecem serviços financeiros descentralizados aos usuários, permitindo que eles façam transações e entrem em acordos com outros participantes. Embora os protocolos DeFI visem fornecer uma plataforma segura e confiável para seus usuários, várias explorações nos últimos anos causaram perdas significativas de fundos. Este artigo discutirá algumas das explorações DeFi mais extensas que ocorreram recentemente.

Aqui estão as 8 principais explorações DeFi de criptomoedas na Web3 após deduzir os fundos retornados:

Ronin Chain – $600m

Março de 2023 foi um mês agitado para o espaço de criptomoedas, com o hack da ponte Axie Infinity Ronin liderando a lista em $612 milhões.

A ponte Ronin é uma side chain Ethereum usada no popular jogo play-to-earn Axie Infinity.

O grupo de cibercrime Lazarus, suspeito de ter conexões com a Coreia do Norte, conseguiu acessar as chaves privadas de nove validadores de transação, permitindo que eles aprovassem duas grandes transações e movessem os fundos de seu endereço de carteira. Felizmente, uma colaboração entre autoridades, empresas de segurança e exchanges de criptomoedas foi capaz de ajudar a rastrear alguns desses fundos após os hackers os levarem para a Tornado cash – um misturador de cripto de código aberto – e outras exchanges.

Wormhole bridge – $323m

Em fevereiro de 2022, um incidente infeliz ocorreu quando hackers de cripto exploraram o código de um wormhole para levar cripto no valor de $326 milhões.

Um wormhole é uma ponte de token entre Solana e Ethereum, que infelizmente falhou em impedir o ataque. Isso foi possível por uma função insegura obsoleta/morta que contornou a verificação de assinatura e permitiu a cadeia de delegações de assinaturas.

Especialistas em cibersegurança sugerem que os desenvolvedores poderiam ter impedido o ataque se tivessem praticado ‘boas práticas de codificação segura’, onde devem verificar todos os parâmetros. A verificação poderia ter garantido a autenticação de endereços válidos e, assim, excluído fontes ilegítimas de acessar ativos na cadeia.

Beanstalk – $181m

Num fim de semana fatídico em abril de 2022, um hacker lançou um ataque que abalou a comunidade cripto. Usando um flash loan – uma funcionalidade dos protocolos de finanças descentralizadas (DeFi) – eles conseguiram roubar 182 milhões de dólares em ETH, stablecoin BEAN e outros ativos do protocolo stablecoin Beanstalk.

Os hackers apresentaram duas propostas maliciosas à DAO do Beanstalk por meio de sua função de compromisso de emergência, que requer ⅔ de voto antes da implementação após 24 horas. O atacante usou tecnologia de flash loan para assumir o controle de 79% dos tokens e aprovar ambas as propostas, executando seu plano com sucesso.

Os fundos foram enviados de dentro do protocolo para quitar o flash loan, com o restante indo para um endereço associado a um fundo de emergência na Ucrânia. No total, até 76 milhões de dólares foram levados pela pessoa responsável por este ato corajoso.

Nomad – $155m

O intrigante hack da ponte Nomad fez manchetes quando ocorreu em 1º de agosto de 2022. Ele chocou muitos entusiastas de blockchain, pois os atacantes aproveitaram uma vulnerabilidade para drenar mais de 190 milhões de dólares em ativos baseados em Ethereum armazenados na ponte cruzada multi-chain.

Os hackers se moveram rápido e furiosamente, com centenas de carteiras envolvidas em 960 transações resultando em 1.175 retiradas individuais do Total Value Locked (TVL) da ponte. Tudo dentro de horas.

Um aspecto intrigante deste hack foi que tudo o que os usuários precisavam fazer para hackear os fundos da ponte era copiar e colar os dados de chamada da transação do hacker original, substituir o endereço original por um pessoal e a transação seria concluída.

O hack enviou ondas de choque por toda a comunidade de finanças descentralizadas (DeFi), provando que os hackers permanecem um passo à frente ao explorar falhas no código. A ponte Nomad fornece um exemplo ilustrativo que demonstra a importância de práticas de codificação seguras e reforça por que a segurança continua sendo um desafio contínuo para os projetos de blockchain hoje.

CREAM Finance – $130.8m

Embora o ataque à CREAM em outubro de 2021 tenha sido um dos maiores saques com flash loan, certamente não foi um incidente isolado. Ataques de flash loan envolvem o uso de um 'flash loan' de liquidez, empréstimo e inadimplência desse financiamento rápido, tudo dentro de uma única transação.

Ao explorar erros de cálculo de preço, os hackers podem lucrar rapidamente com seus empréstimos. Por exemplo, no caso da CREAM, dois endereços diferentes interagiram com seu yUSDVault para cunhar um grande número de tokens crYUSD. Eles exploraram uma vulnerabilidade que dobraria o valor dessas ações. Embora tenham conseguido garantir com sucesso 130 milhões de dólares em fundos, os ~1 bilhão de dólares em colateral disponível poderiam ter sido muito mais do que esse valor. 

Os ataques de flash loan estão se tornando cada vez mais prevalentes, e a comunidade deve fazer perguntas sobre como podem prevenir novas violações de segurança no futuro.

BSC token hub – $127m

Em outubro de 2022, hackers explorando uma vulnerabilidade crítica no código da ponte cruzada BSC Beacon levaram ativos cripto totalizando 570 milhões de dólares.

A cadeia BSc Beacon, também conhecida como Token Hub, é uma ponte inter-chain conectando a BNB Beacon Chain (BEP2) e a BNB Chain (BEP20/BSC).

O hacker falsificou provas criptográficas chamadas provas Merkle destinadas a confirmar a validade de dados, como transações. Por sua vez, eles usaram essas falsas provas Merkle para transferir fundos da ponte cruzada BSC Beacon para outras cadeias.

Assim que a Tether bloqueou o endereço dos atacantes, uma ação rápida seguiu-se com mais de 7 milhões de dólares movidos da cadeia BNB congelada, confiscando a maior parte de seus fundos obtidos ilegalmente.

Harmony Horizon – $100m

Em junho de 2022, o projeto Harmony Horizon Bridge foi comprometido quando hackers roubaram duas de suas cinco chaves privadas de validadores, permitindo que fraudadores transferissem tokens no valor de 100 milhões de dólares.

Este problema de segurança deveu-se à forma como a ponte havia sido configurada, com um esquema de validação 2 de 5. Como resultado, o atacante precisava apenas de duas aprovações para qualquer transação maliciosa ser validada. Para cobrir seus rastros, os atacantes usaram o Tornado Cash para lavar parte de seus ganhos ilícitos. 

Embora essa configuração possa ter parecido segura inicialmente, ela provou ser um alvo lucrativo para atores mal-intencionados e uma lição cara em segurança de blockchain para aqueles que foram pegos.

Rari- $91 m

Ataques de reentrada existem desde os primeiros dias do Ethereum. Eles usaram vulnerabilidades de contrato para retirar fundos repetidamente antes que a transação original fosse aprovada ou recusada.

Em maio de 2022, duas plataformas de finanças descentralizadas foram comprometidas dessa maneira, com hackers roubando 90 milhões de dólares. Jack Longarzo da Rari Capital disse que o atacante explorou a empresa, e o Fei Protocol, que se fundiu com a Rari Capital, ofereceu ao hacker uma recompensa de 10 milhões de dólares.

A empresa de segurança blockchain BlockSec explicou que os hackers usaram uma vulnerabilidade de reentrada. 

Os desenvolvedores podem prevenir esse tipo de ataque testando e auditando adequadamente os contratos antes da implantação na blockchain Ethereum.

Como se proteger de exploits DeFi

Os protocolos DeFi tornaram-se cada vez mais populares e complexos, tornando-os alvos atraentes para hackers. As seguintes são sete dicas para ajudá-lo a se proteger de exploits DeFi:

1. Realize uma due diligence minuciosa em qualquer projeto antes de investir. Verifique o código da plataforma, site, membros da equipe e canais sociais em busca de sinais de alerta.
2. Certifique-se de que uma fonte confiável audite os contratos com os quais você interage e que os resultados da auditoria estejam publicamente disponíveis.
3. Não armazene grandes quantias de fundos em um único contrato DeFi, tornando-o mais vulnerável a ataques.
4. Mantenha-se atualizado com as últimas notícias de segurança para aprender sobre novos exploits.
5. Implemente procedimentos adequados de autenticação e autorização para todas as contas que interagem com protocolos DeFi.
6. Certifique-se de que sua carteira seja segura e use autenticação de dois fatores sempre que possível.
7. Monitore regularmente seus fundos e transações na blockchain para detectar qualquer atividade suspeita ou retiragens não autorizadas.

Seguir essas dicas pode ajudar a protegê-lo de exploits DeFi e garantir que seus fundos estejam seguros ao interagir com protocolos de finanças descentralizadas. No entanto, também é importante lembrar que nenhum sistema é infalível, por isso, a melhor prática é tomar precauções extras ao lidar com ativos digitais.

Conclusão

Em geral, a segurança é uma das considerações mais importantes ao lidar com criptomoedas e protocolos DeFi. Infelizmente, à medida que a indústria continua a crescer, também aumentam os riscos de atividade maliciosa. Embora seja impossível garantir segurança total, seguir essas dicas pode ajudá-lo a se proteger de exploits DeFi e manter seus fundos seguros. 

Ao manter-se atualizado sobre os últimos desenvolvimentos em segurança de blockchain e garantir que procedimentos adequados de autenticação estejam em vigor para todas as contas, você pode ajudar a garantir que seus ativos digitais permaneçam seguros.