Согласно TRM labs, 2022 год стал рекордным для крипто-взломов, когда было украдено криптовалюты на сумму около 3,7 миллиарда долларов. DeFi были распространены: примерно 80%, или 3 миллиарда долларов, были связаны с DeFi .
Вступая в 2023 год с оптимизмом в отношении перспектив зарождающейся технологии, мы должны оглянуться назад, чтобы извлечь уроки из проблем и неудач, с которыми мы столкнулись задним числом.
Взлом инфраструктуры Ronin Bridge
Криптовалютный взлом моста Axie Infinity в марте возглавляет список с 612 миллионами долларов. Мост Ronin — это Ethereum для игры Axie Infinity, в которой нужно зарабатывать деньги.
Криптовалютные хакеры, которых сегодня я dent как северокорейскую группу киберпреступников под названием Lazarus, получили доступ к девяти закрытым ключам валидаторов транзакций моста Ronin. Используя ключи, они одобрили крупные транзакции, одну на 173 600 ETH, а другую на 25,5 млн долларов США.
Хакеры переместили криптовалюту на Tornado cash , крипто-тумблер с открытым исходным кодом и несколько других бирж.
Совместные усилия сообщества, Binance , Chainalysis и правоохранительных органов помогли trac часть средств.
Эксплойт кода кросс-моста BSC Beacon
В октябре хакеры воспользовались уязвимостью в коде кросс-моста BSC Beacon, чтобы украсть криптовалюту на сумму 570 миллионов долларов. Мост является важным компонентом цепочки BNB .
Цепочка маяков BSC, называемая Token Hub, представляет собой перекрестный мост между цепочкой маяков BNB (BEP2) и цепочкой BNB (BEP20/BSC).
Атака работала путем фальсификации криптографических доказательств , называемых доказательствами Меркла, которые подтверждали данные, такие как транзакции, как действительные и включенные в блокчейн . Кибер-хакер использовал ложное доказательство Меркла для перевода средств с кросс-моста BSC Beacon в другие сети.
Tether заблокировал адрес злоумышленника, в то время как более 7 миллионов долларов, переведенных из сети BNB , были фактически заморожены.
Эксплойт кода моста червоточины
В феврале хакеры взломали код червоточины на сумму 326 миллионов долларов. Червоточина — это токен-мост между Solana и Ethereum .
Криптохакер использовал устаревшую/мертво небезопасную функцию, чтобы обойти проверку подписи.
Устаревший код можно сравнить с запиской, на которой написано: «Я удалю это в будущем». Вы не можете удалить код сейчас, потому что некоторые потребители все еще используют его.
Цепочка делегаций проверки подписи позволила взломать криптовалюту. Устаревшая функция не проверяла адреса, что позволяло проверить поддельную подпись.
По мнению кибераналитиков, разработчики могли бы избежать атаки, если бы практиковали «безопасное кодирование».
Эксплойт кода моста Nomad
В августе хакеры взломали криптомост Nomad на сумму 190 миллионов долларов. Хакер фактически слил все средства в протоколе — растущие эксплойты поставили под сомнение безопасность мостов токенов между цепями.
Мосты работают, блокируя токены в смарт- trac в одной цепочке, а затем перевыпуская их в «обернутом» формате в другой цепочке. В случае с Nomad атака саботировала trac , сделав его обернутые токены бесполезными.
Nomad, по сути, назначил вознаграждение, требуя, чтобы хакер оставил себе 10% средств и не столкнулся с судебным иском, а также бонус в виде белой шляпы NFT . Злоумышленник в конечном итоге вернул только 36 миллионов долларов.
Атака на протокол Beanstalk
В судьбоносные апрельские выходные хакер использовал мгновенный кредит, чтобы украсть 182 миллиона долларов в ETH, стейблкоине BEAN и других активах из протокола стейблкоина Beanstalk.
Мгновенный кредит — это функция, которая позволяет пользователям брать актив взаймы, совершать быструю сделку, а затем погашать его в рамках одной сложной транзакции по нескольким протоколам.
Злоумышленник представил два вредоносных предложения в DAO Beanstalk с помощью функции экстренной фиксации, которая требовала ⅔ голосов и была реализована через 24 часа.
Злоумышленник злонамеренно использовал функцию мгновенного займа, чтобы получить контроль 79% и передать свое предложение.
Злоумышленник отправил указанные в протоколе средства на погашение экспресс-кредита, а остальное — на адрес фонда «Украина». В итоге он получил прибыль в размере 76 миллионов долларов.
Больше мега взломов криптовалют
Другие мегавзломы криптовалюты включают инфраструктурную атаку Wintermute на 160 миллионов долларов в апреле, инфраструктурную атаку Maiar / Elrond на 113 миллионов долларов в июне, инфраструктурную атаку Mango Markets на 112 миллионов долларов в октябре и инфраструктурную атаку Harmony bridge на 100 миллионов долларов в июне.
