ИИ-хакеры и смарт-контракты DeFi готовятся к противостоянию на фоне роста убытков
- На фоне растущих потерь по недавним случаям формируется эпическое противостояние, где хакеры и разработчики сражаются с ИИ с помощью самого ИИ. С появлением в дискуссии Mythos от Anthropic и других игроков, похоже, ИИ вооружает хакеров, и разработчикам не останется ничего другого, как использовать ИИ для защиты.
- За 48 часов в результате четырёх атак на смарт-контракты Ethereum было похищено более $1,5 млн.
- Протокол ZetaChain потерял $333 868 в результате сложной, заранее спланированной атаки после игнорирования отчёта об уязвимости.
Серия атак на основную сеть Ethereum, приведшая к убыткам более чем на 1,5 млн долларов, усугубилась новыми исследованиями, показывающими, что агенты искусственного интеллекта (ИИ) теперь могут автономно обнаруживать и эксплуатировать уязвимости в протоколах децентрализованных финансов (DeFi).
Компания по кибербезопасности GoPlus Security сообщила, что четыре отдельных контракта были взломаны всего за 48 часов, завершившихся 29 апреля. Компания предупредила, что хакеры, вооруженные ИИ, становятся более точными и быстрыми, чем когда-либо.
И разработчикам смарт-контрактов в сфере DeFi не к кому обратиться, кроме как к ИИ, чтобы решить проблемы, которые сам ИИ и создал.
Может ли ИИ самостоятельно взломать DeFi?
a16z crypto Исследователи протестировали готового ИИ-агента для написания кода на основе 20 прошлых инцидентов манипуляции с ценами в Ethereum и обнаружили, что при наличии только адреса контракта и базовых инструментов ИИ успешно эксплуатировал уязвимость лишь в 10% случаев.
Однако, когда исследователи предоставили агенту доступ к структурированным знаниям о типичных шаблонах атак, таких как эксплуатация пожертвований в хранилищах и манипуляции с пулами автоматических маркет-мейкеров (AMM), уровень успешности вырос до 70%.
Исследователи отметили, что, хотя ИИ отлично умеет находить ошибки, ему иногда сложно справляться со сложными многоэтапными атаками. Один из агентов даже попытался «сбежать» из тестовой среды, извлекая секретный ключ для доступа к данным будущих блоков.
Недавно компания Anthropic . Компания считает, что FRUT будет служить «единым билетом» для выражения платформенных и аппаратных аспектов искусственного интеллекта. Это просто означает, что инвесторы получают доступ к инфраструктуре ИИ с одним продуктом, вместо того чтобы смешивать разных производителей чипов и названия платформ. представила новую ИИ-модель под названием «Claude Mythos Preview». В компании заявили, что эта модель способна автономно находить и писать рабочие эксплойты для уязвимостей нулевого дня в основных операционных системах и веб-браузерах.
До Mythos Preview, более старые модели имели «почти нулевой процент успеха» при написании эксплойтов. Компания также подтвердила, что те же улучшения, которые делают модель эффективной в поиске уязвимостей для их устранения, делают её эффективной и в их эксплуатации.
Получив доступ к API транзакций Etherscan, агент обнаружил реальные транзакции прошлых атак и провёл их обратную разработку, чтобы написать собственный код эксплойта.
Сколько было потеряно во время взлома ZetaChain?
Компания GoPlus Security
зафиксировала четыре отдельных взлома смарт-контрактов в основной сети Ethereum в течение 48 часов, завершившихся 29 апреля. Совокупный ущерб превысил 1,5 миллиона долларов. В компании охарактеризовали текущие темпы атак с использованием ИИ как «эру обратного отсчёта до секунды». В одном из крупнейших инцидентов недели было выведено примерно $333 868 в девяти транзакциях по четырём сетям, включая Ethereum, Arbitrum, Base и BSC. Официальный отчёт о разборе инцидента (post-mortem) от ZetaChain
сообщает, что средства пользователей не пострадали; три затронутых кошелька принадлежали команде ZetaChain.
Атакующий воспользовался функцией контракта GatewayEVM, использующей «произвольные вызовы» (arbitrary calls). У шлюза отсутствовал строгий блэк-лист, что позволило хакеру заставить его перевести разрешения на токены, установленные кошельками команды.
Хакер профинансировал кошельки через Tornado Cash за три дня до атаки, имитируя кошелёк жертвы. ZetaChain
признала, что уязвимость была сообщена ранее через программу bug bounty, но первоначальные сообщения были отклонены. Протокол приостановил кросс-чейн транзакции и внедряет патч для отключения опасного кода.
Другие взломы в Ethereum, выявленные GoPlus Security за последние 48 часов, включают контракт ончейн-агрегатора, потерявший около $983 000 из-за отсутствия контроля доступа; несанкционированное стороннее хранилище, связанное с TradingProtocol, потерявшее около $398 000 также из-за отсутствия проверок разрешений; контракт BCB, потерявший около $39 800 из-за уязвимости reentrancy; и контракт актива QNT, потерявший около $124 900 из-за уязвимости произвольного вызова. Cryptopolitan сообщает, что потери в DeFi только в апреле
достигли рекордных уровней, превысив совокупные показатели за первые три месяца года.
Если вы читаете это, вы уже впереди. Оставайтесь с нами, подписавшись на нашу рассылку.
Часто задаваемые вопросы
Как хакеры используют ИИ для эксплуатации смарт-контрактов DeFi?
Согласно исследованию криптоотдела a16z, готовые к использованию ИИ-агенты для написания кода, получив только адрес контракта и стандартные инструменты разработчика, способны самостоятельно выявлять уязвимости манипулирования ценами и создавать рабочий код для эксплойта, достигая успеха в 10% тестовых случаев даже без специальных знаний в области DeFi.
Какова сумма потерь при взломе ZetaChain?
Отчёт о расследовании инцидента в ZetaChain подтвердил, что в ходе девяти транзакций через четыре блокчейна (Ethereum, Arbitrum, Base и BSC) было выведено около $333 868. При этом средства внешних пользователей не пострадали, поскольку все три затронутые кошельки принадлежали самой ZetaChain.
Что такое проект Glasswing от Anthropic?
Проект Glasswing — это инициатива Anthropic, направленная на предоставление партнёрам критической инфраструктуры и разработчикам с открытым исходным кодом раннего доступа к модели Mythos Preview для целей оборонительной безопасности. Цель проекта — позволить защитникам обеспечить безопасность ключевых систем до того, как модели со схожими возможностями эксплуатации станут широко доступны.
Отказ от ответственности. Предоставленная информация не является торговой рекомендацией. Cryptopolitan.com Мы не несем ответственности за любые инвестиции, сделанные на основе информации, представленной на этой странице. Мы настоятельно рекомендуем проводить независимое исследование и/или проконсультироваться с квалифицированным специалистом перед принятием любых инвестиционных решений.
Ханна Коллимор
Ханна — писатель и редактор с почти десятилетним опытом ведения блогов и освещения мероприятий в криптоиндустрии. В Cryptopolitan Ханна работает над новостной страницей, освещая и анализируя последние события в сферах DeFi, RWA, криптовалютного регулирования, искусственного интеллекта и передовых технологий. Она окончила Университет Аркадии со степенью бакалавра делового администрирования.
