Крупнейшие эксплойты DeFi в Web3: как предотвратить подобные нарушения безопасности

Протоколы децентрализованных финансов (DeFi) предлагают пользователям децентрализованные финансовые услуги, позволяя им совершать транзакции и вступать в соглашения с другими участниками. Хотя протоколы DeFi стремятся предоставить безопасную и надежную платформу для своих пользователей, несколько эксплойтов в последние годы привели к значительным потерям средств. В этой статье мы обсудим некоторые из самых масштабных эксплойтов DeFi, произошедших в последнее время.

Вот топ-8 крипто-эксплойтов DeFi в Web3 после вычета возвращенных средств:

Цепь Ronin — $600 млн

Март 2023 года был насыщенным месяцем для криптовалютного пространства, где взлом моста Axie Infinity Ronin возглавил список с суммой 612 миллионов долларов.

Мост Ronin — это боковая цепь Ethereum, используемая в популярной игре Axie Infinity.

Киберпреступная группа Lazarus, подозреваемая в связях с Северной Кореей, смогла получить доступ к закрытым ключам девяти валидаторов транзакций, что позволило им одобрить две крупные транзакции и перевести средства со своего адреса кошелька. К счастью, сотрудничество между властями, компаниями по безопасности и криптовалютными биржами помогло отследить часть этих средств после того, как хакеры вывели их в Tornado Cash — крипто-миксер с открытым исходным кодом — и на другие биржи.

Мост Wormhole — $323 млн

В феврале 2022 года произошел неприятный инцидент, когда крипто-хакеры использовали уязвимость в коде wormhole, чтобы похитить криптовалюту на сумму 326 миллионов долларов.

Wormhole — это токен-мост между Solana и Ethereum, который, к сожалению, не смог предотвратить атаку. Это стало возможным благодаря устаревшей/небезопасной функции, которая обходила проверку подписи и позволяла цепочку делегирований подписей.

Эксперты по кибербезопасности предполагают, что разработчики могли предотвратить атаку, если бы применяли «безопасные практики кодирования», где необходимо проверять все параметры. Эта проверка могла бы обеспечить аутентификацию действительных адресов и тем самым исключить доступ нелегитимных источников к активам в цепи.

Beanstalk — $181 млн

В роковой уикенд в апреле 2022 года хакер запустил атаку, потрясшую крипто-сообщество. Используя флеш-кредит — функцию децентрализованных финансов (DeFi) протоколов — они смогли украсть 182 миллиона долларов в ETH, стейблкоине BEAN и других активах из протокола стейблкоина Beanstalk.

Хакеры представили два вредоносных предложения DAO Beanstalk через его функцию экстренного коммита, которая требует 2/3 голосов перед внедрением через 24 часа. Атакующий использовал технологию флеш-кредита, чтобы получить контроль над 79% токенов и пройти оба предложения, успешно реализовав свой план.

Средства были отправлены изнутри протокола для погашения флеш-кредита, а остаток был переведен на адрес, связанный с украинским чрезвычайным фондом. Всего ответственный за этот смелый поступок человек вывел до 76 миллионов долларов.

Nomad — $155 млн

Загадочный взлом моста Nomad попал в заголовки новостей, когда произошел 1 августа 2022 года. Он шокировал многих энтузиастов блокчейна, так как злоумышленники воспользовались уязвимостью, чтобы опустошить активы на базе Ethereum стоимостью более 190 миллионов долларов, хранящиеся в мультицепочечном кросс-мосте.

Хакеры действовали быстро и агрессивно: сотни кошельков участвовали в 960 транзакциях, в результате которых было совершено 1175 отдельных выводов из общего заблокированного значения (TVL) моста. Все это произошло в течение нескольких часов.

Загадочной стороной этого взлома было то, что для хищения средств с моста пользователям нужно было лишь скопировать данные вызова транзакции оригинального хакера, заменить исходный адрес на свой и транзакция успешно завершалась.

Взлом потряс сообщество децентрализованных финансов (DeFi), доказав, что хакеры остаются на шаг впереди при эксплуатации уязвимостей в коде. Мост Nomad служит наглядным примером, демонстрирующим важность безопасной разработки кода и подчеркивающим, почему безопасность остается постоянной проблемой для блокчейн-проектов и по сей день.

CREAM Finance – $130.8 млн

Хотя атака на CREAM в октябре 2021 года стала одной из крупнейших краж с использованием флеш-кредитов, это определенно не было изолированным инцидентом. Атаки с использованием флеш-кредитов предполагают использование «флеш-кредита» ликвидности, его заимствование и последующее неисполнение обязательств по этому быстрому финансированию в рамках одной транзакции.

Эксплуатируя ошибки в расчетах цен, хакеры могут быстро извлекать прибыль из своих заимствований. Например, в случае с CREAM два разных адреса взаимодействовали с его yUSDVault для выпуска большого количества токенов crYUSD. Они использовали уязвимость, которая удваивала стоимость этих долей. Хотя им удалось получить средства на сумму 130 млн долларов, доступное обеспечение в размере ~1 млрд долларов могло бы покрыть значительно большую сумму. 

Атаки с использованием флеш-кредитов становятся все более распространенными, и сообществу следует задаться вопросом о том, как предотвратить дальнейшие нарушения безопасности в будущем.

BSC token hub – $127 млн

В октябре 2022 года хакеры, воспользовавшись критической уязвимостью в коде кросс-моста BSC Beacon, похитили криптоактивы на общую сумму 570 млн долларов.

Цепь BSc Beacon, также известная как Token Hub, является межсетевым мостом, соединяющим BNB Beacon Chain (BEP2) и BNB Chain (BEP20/BSC).

Хакер подделал криптографические доказательства, называемые доказательствами Меркла, которые должны были подтверждать достоверность данных, таких как транзакции. Затем они использовали эти ложные доказательства Меркла для перевода средств из кросс-моста BSC Beacon в другие сети.

Как только Tether заблокировал адрес хакеров, последовали быстрые действия: более 7 млн долларов были заморожены на цепочке BNB, что позволило конфисковать большую часть незаконно полученных средств.

Harmony Horizon – $100 млн

В июне 2022 года проект моста Harmony Horizon был скомпрометирован, когда хакеры украли два из пяти приватных ключей валидаторов, что позволило мошенникам перевести токены на сумму 100 млн долларов.

Эта проблема безопасности была связана с тем, как был настроен мост, с использованием схемы валидации 2 из 5. В результате атакующему требовалось всего два одобрения для валидации любой вредоносной транзакции. Чтобы замести следы, злоумышленники использовали Tornado Cash для отмывания части своих незаконно полученных средств. 

Хотя такая конфигурация изначально могла показаться безопасной, она оказалась выгодной мишенью для злоумышленников и дорогим уроком по безопасности в блокчейне для тех, кто попался.

Rari- $91 млн

Атаки повторного входа (reentrancy) существуют с ранних дней Ethereum. Они используют уязвимости контрактов для многократного вывода средств до того, как исходная транзакция будет одобрена или отклонена.

В мае 2022 года два децентрализованных финансовых платформы были скомпрометированы таким образом, при этом хакеры украли 90 млн долларов. Джек Лонгарцо из Rari Capital заявил, что атакующий эксплуатировал компанию, а Fei Protocol, который объединился с Rari Capital, предложил хакеру вознаграждение в размере 10 млн долларов.

Компания по безопасности блокчейна BlockSec объяснила, что хакеры использовали уязвимость повторного входа. 

Разработчики могут предотвратить такие типы атак, правильно тестируя и проводя аудит контрактов перед их развертыванием в блокчейне Ethereum.

Как защититься от эксплойтов в DeFi

Протоколы DeFi становятся все более популярными и сложными, что делает их привлекательными целями для хакеров. Ниже приведены семь советов, которые помогут вам защититься от эксплойтов в DeFi:

1. Проводите тщательную проверку любого проекта перед инвестированием. Проверяйте код платформы, веб-сайт, членов команды и социальные каналы на наличие тревожных признаков.
2. Убедитесь, что контракты, с которыми вы взаимодействуете, прошли аудит у надежного источника, и что результаты аудита доступны публично.
3. Не храните большие суммы средств в одном контракте DeFi, так как это делает его более уязвимым для атак.
4. Будьте в курсе последних новостей безопасности, чтобы узнавать о новых эксплойтах.
5. Внедрите правильные процедуры аутентификации и авторизации для всех учетных записей, взаимодействующих с протоколами DeFi.
6. Убедитесь, что ваш кошелек защищен, и используйте двухфакторную аутентификацию whenever possible.
7. Регулярно отслеживайте свои средства и транзакции в блокчейне, чтобы обнаруживать любые подозрительные действия или несанкционированные выводы средств.

Следование этим советам может помочь защитить вас от эксплойтов в DeFi и обеспечить безопасность ваших средств при взаимодействии с протоколами децентрализованных финансов. Однако также важно помнить, что ни одна система не является безошибочной, поэтому всегда рекомендуется проявлять дополнительную осторожность при работе с цифровыми активами.

Заключение

В целом, безопасность является одним из самых важных соображений при работе с криптовалютами и протоколами DeFi. К сожалению, по мере роста индустрии растут и риски злонамеренной деятельности. Хотя невозможно гарантировать полную безопасность, следование этим советам может помочь вам защититься от эксплойтов в DeFi и сохранить ваши средства в безопасности. 

Будучи в курсе последних достижений в области безопасности блокчейна и обеспечивая наличие правильных процедур аутентификации для всех учетных записей, вы можете помочь гарантировать, что ваши цифровые активы останутся в безопасности.