DeFi rünnakud on tõusuteel – kas tööstus suudab mõõna peatada?

Detsentraliseeritud rahanduse (DeFi) tööstus on viimase paari kuu jooksul häkkeritele kaotanud üle miljardi dollari ja olukord näib väljuvat kontrolli alt.

Viimase statistika kohaselt on ligikaudu 1.6 miljardit dollarit DeFi platvormidelt varastati krüptovaluutasid 2022. aasta esimeses kvartalis. Lisaks pärineb üle 90% kõigist varastatud krüptotest häkitud DeFi protokollidest.

Need arvud toovad esile kohutava olukorra, mis tõenäoliselt püsib pikemas perspektiivis, kui seda ignoreerida.

Miks häkkerid eelistavad DeFi platvorme?

Viimastel aastatel on häkkerid DeFi-süsteemidele suunatud tegevusi hoogustanud. Üks peamine põhjus, miks need rühmad sektorisse tõmbavad, on detsentraliseeritud finantsplatvormide käes olevate rahaliste vahendite suur hulk. Parimad DeFi platvormid töötlevad iga kuu miljardeid dollareid tehinguid. Seetõttu on häkkeritele, kes suudavad edukalt rünnata, saada kõrge tasu.

Asjaolu, et enamik DeFi protokollikoode on avatud lähtekoodiga, muudab need küberjulgeolekuohtudele veelgi vastuvõtlikumaks.

Seda seetõttu, et avatud lähtekoodiga programmid on avalikkusele kontrollimiseks saadaval ja neid saavad auditeerida kõik, kellel on Interneti-ühendus. Sellisena on neid vägitegude otsimiseks lihtne nühkida. See loomupärane omadus võimaldab häkkeritel analüüsida DeFi rakendusi terviklikkuse probleemide osas ja planeerida vargusi ette.

Mõned DeFi arendajad on olukorrale kaasa aidanud ka sellega, et eiravad teadlikult sertifitseeritud küberturbefirmade avaldatud platvormi turvaauditi aruandeid. Mõned arendusmeeskonnad käivitavad ka DeFi projekte ilma põhjaliku turvaanalüüsi tegemata. See suurendab kodeerimisvigade tõenäosust.

Teine DeFi turvalisuse mõlk on ökosüsteemide ühenduvus. DeFi platvormid on tavaliselt omavahel ühendatud ristsildade abil, mis suurendab mugavust ja mitmekülgsust.

Kuigi ristsillad pakuvad paremat kasutuskogemust, ühendavad need olulised koodilõigud tohutuid erineva turvatasemega hajutatud pearaamatute võrgustikke. See multiplekskonfiguratsioon võimaldab DeFi häkkeritel kasutada mitme platvormi võimalusi teatud platvormide vastu suunatud rünnakute võimendamiseks. Samuti võimaldab see neil kiiresti üle kanda valesti saadud raha mitmes detsentraliseeritud võrgus sujuvalt.

Lisaks eelnimetatud riskidele on DeFi platvormidel ka siseringi sabotaaži oht.

Turvarikkumised

Häkkerid kasutavad haavatavatesse DeFi perimeetrisüsteemidesse tungimiseks laia valikut tehnikaid. 

Turvarikkumised on DeFi sektoris tavaline nähtus. Vastavalt 2022. aasta ahelaanalüüsile Aruande kohaselt on ligikaudu 35% kõigist viimase kahe aasta varastatud krüptotest põhjustatud turvarikkumistest.

Paljud neist tekivad vigase koodi tõttu. Häkkerid pühendavad tavaliselt märkimisväärseid ressursse süsteemsete kodeerimisvigade leidmisele, mis võimaldavad neil seda tüüpi rünnakuid sooritada, ja kasutavad tavaliselt täiustatud veajälgija tööriistu, et neid selles aidata.

Veel üks levinud taktika, mida ohus osalejad haavatavate platvormide otsimiseks kasutavad, on paigatamata turvaprobleemidega võrkude jälitamine, mis on juba paljastatud, kuid mida veel ei ole vaja rakendada.

Häkkerid hiljutise Wormhole DeFi häkkimisrünnaku taga, mis viis selleni kahju umbes 325 miljonit dollarit digitaalsetes žetoonides on väidetavalt seda strateegiat kasutanud. Koodi kinnitamise analüüs näitas, et platvormi GitHubi hoidlasse üles laaditud haavatavuse paika kasutati enne paiga juurutamist.

Viga võimaldas sissetungijatel võltsida süsteemiallkirja, mis võimaldas vermida 120,000 325 Wrapped Ether (wETH) münti väärtusega 250 miljonit dollarit. Seejärel müüsid häkkerid WETH-i umbes XNUMX miljoni dollari eest eetris (ETH). Vahetatud Ethereumi mündid tuletati platvormi arveldusreservidest, mis tõi kaasa kahju.

Wormhole'i ​​teenus toimib sillana kettide vahel. See võimaldab kasutajatel kulutada hoiustatud krüptovaluutasid pakitud žetoonides ahelate lõikes. See saavutatakse ussiaukuga mähitud žetoonide vermimisega, mis leevendab vajadust hoiustatud münte otse vahetada või teisendada.

Viimased: Kuidas plokiahela arhiivid võivad muuta seda, kuidas me sõjaajal ajalugu salvestame

Välklaenu rünnakud

Välklaenud on tagatiseta DeFi laenud, mis ei nõua krediidikontrolli. Need võimaldavad investoritel ja kauplejatel raha koheselt laenata.

Nende mugavuse tõttu kasutatakse kiirlaene tavaliselt selleks, et kasutada ära arbitraaživõimalusi ühendatud DeFi ökosüsteemides.

Kiirlaenu rünnakute puhul on laenuprotokollid sihitud ja rikutud, kasutades kunstlikke hinnaerinevusi tekitavaid hinnamanipulatsioonitehnikaid. See võimaldab halbadel näitlejatel osta varasid väga soodsate hindadega. Enamiku kiirlaenurünnakute käivitamine võtab minuteid ja mõnikord sekundeid ning hõlmab mitut omavahel seotud DeFi-protokolli.

Üks viis, kuidas ründajad varade hindadega manipuleerivad, on rünnatavate hinnaoraaklite sihtimine. Näiteks DeFi hinnaoraaklid võtavad oma intressimäärad välistest allikatest, nagu mainekas börsid ja kauplemiskohad. Häkkerid võivad näiteks allikasaitidega manipuleerida, et meelitada oraaklitele suunatud varade intressimäärade väärtust hetkeks langetama, nii et nad kauplevad laiema turuga võrreldes madalamate hindadega.

Seejärel ostavad ründajad varad deflateeritud kursiga ja müüvad need kiiresti ujuva vahetuskursiga. Kiirlaenude kaudu saadud võimendatud žetoonide kasutamine võimaldab neil kasumit suurendada.

Lisaks hindadega manipuleerimisele on mõned ründajad suutnud sooritada kiirlaenurünnakuid, kaaperdades DeFi hääletusprotsesse. Viimasel ajal Beanstalk DeFi sai 182 miljoni dollari suuruse kahjumi pärast seda, kui ründaja kasutas ära puudust selle juhtimissüsteemis.

Beanstalki arendusmeeskond oli lisanud juhtimismehhanismi, mis võimaldas osalejatel hääletada platvormi muudatuste kui põhifunktsioonide poolt. See seadistus on DeFi tööstuses populaarne, kuna see toetab demokraatiat. Hääleõigused platvormil määrati proportsionaalseks omatavate žetoonide väärtusega.

Rikkumise analüüsist selgus, et ründajad said Aave DeFi protokollist kiirlaenu, et saada ligi miljard dollarit vara. See võimaldas neil saada hääletamise juhtimissüsteemis 1% häälteenamuse ja anda ühepoolselt heakskiidu varade üleandmiseks nende aadressile. Kurjategijad teenisid pärast kiirlaenu ja sellega seotud lisatasude tagasimaksmist digitaalsetes valuutades umbes 67 miljonit dollarit.

Chainalysise andmetel varastati 360. aastal DeFi platvormidelt kiirlaenude abil ligikaudu 2021 miljoni dollari väärtuses krüptomünte.

Kuhu varastatud krüptoraha kaob?

Häkkerid on juba pikka aega varastatud raha pesemiseks kasutanud tsentraliseeritud börse, kuid küberkurjategijad on hakanud neid DeFi platvormide jaoks loobuma. 2021. aastal küberkurjategijad Saadetud umbes 17% kõigist DeFi võrkudesse suunatud ebaseaduslikest krüptovaradest, mis on märkimisväärne hüpe 2. aasta 2020%lt.

Turueksperdid väidavad, et üleminek DeFi-protokollidele on tingitud rangemate tunnete oma klienti (KYC) ja rahapesuvastaste (AML) protsesside laiemast rakendamisest. Protseduurid seavad ohtu küberkurjategijate ihaldatud anonüümsuse. Enamik DeFi platvorme loobub nendest olulistest protsessidest.

Koostöö ametiasutustega

Tsentraliseeritud teabevahetused teevad praegu rohkem kui kunagi varem koostööd ametiasutustega, et võidelda küberkuritegevusega. Aprillis mängis Binance'i börsil olulist rolli varastatud krüptovaluutade eest 5.8 miljoni dollari tagasinõudmine see oli osa Axie Infinityst varastatud 625 miljoni dollari suurusest varust. Raha oli algselt saadetud Tornado Cashi.

Tornado Cash on märgi anonüümseks muutmise teenus, mis hägustab raha päritolu, killustades ahelasiseseid linke, mida kasutatakse tehingute aadresside jälgimiseks.

Binance'i plokiahela analüütilised ettevõtted jälgisid aga osa varastatud vahenditest. Rüük peeti börsil 86 aadressil.

Pärast juhtunut rõhutas Ameerika Ühendriikide rahandusministeeriumi pressiesindaja, et musta nimekirja kantud krüptorahaga tegelevad krüptobörsid käsitlevad riskisanktsioone.

Tornado Cash näib samuti tegevat võimudega koostööd, et peatada varastatud raha ülekandmine oma võrku. Ettevõte on teatanud, et võtab kasutusele seirevahendi, mis aitab tuvastada ja blokeerida embargo alla seatud rahakotid.

Tundub, et valdkonnas on tehtud mõningaid edusamme salastatud varade arestimine võimude poolt. Selle aasta alguses teatas USA justiitsministeerium 3.6 miljardi dollari suuruse krüptoraha arestimisest ja vahistas kaks rahapesuga seotud inimest. Raha oli osa 4.5. aastal Bitfinexi krüptobörsilt varastatud 2016 miljardi dollari suurusest summast.

Krüptokonfiskeerimine oli üks suurimaid, mis kunagi registreeritud.

DeFi tegevjuhid räägivad hetkeolukorrast

Selle nädala alguses ainult Cointelegraphiga rääkides ütles Injective Labsi tegevjuht ja kaasasutaja Eric Chen – koostalitlusvõimeline nutikate lepingute platvorm, mis on optimeeritud detsentraliseeritud finantsrakenduste jaoks –, et on lootust, et probleemid taanduvad.

"Näeme, et mõõn on jätkuvalt vaibumas, kuna kehtestatakse rangemad turvastandardid. Nõuetekohase testimise ja täiendavate turvainfrastruktuuride kasutuselevõtuga suudavad DeFi projektid tulevikus ära hoida levinud ärakasutamisriske,“ ütles ta.

Meetmete kohta, mida tema võrk häkkimisrünnakute ärahoidmiseks võttis, andis Chen ülevaate:

"Injective tagab rangemalt määratletud rakendusekeskse turbemudeli võrreldes traditsiooniliste Ethereumi virtuaalmasinapõhiste DeFi rakendustega. Plokiahela disain ja põhimoodulite loogika kaitsevad Injective'i tavaliste ärakasutamiste eest, nagu taassisenemine, maksimaalne ekstraheeritav väärtus ja kiirlaenud. Injective'i peale ehitatud rakendused saavad kasu turvameetmetest, mida plokiahelas konsensuse tasemel rakendatakse.

Viimased: Kasvav ülemaailmne kasutuselevõtt asetab krüpto suurepäraselt jaemüügis kasutamiseks

Cointelegraphil oli ka võimalus häkkimise esinemissageduse suurenemisest rääkida Konstantin Boyko-Romanovskiga, Allnodes’i – mittevahistamis- ja panustamisplatvormi – tegevjuhi ja asutajaga. Suundumuse peamiste katalüsaatorite kohta ütles ta:

"Kahtlemata kulub DeFi häkkimise riski vähendamiseks veidi aega. Siiski on ebatõenäoline, et see juhtub üleöö. DeFis on püsiv võidusõidu tunne. Kõigil näib olevat kiire, ka projekti asutajatel. Turg areneb kiiremini kui programmeerijate koodi kirjutamise kiirus. Head mängijad, kes võtavad kasutusele kõik ettevaatusabinõud, on vähemuses.

Ta andis ka ülevaate protseduuridest, mis aitaksid probleemile vastu seista:

“Kood peab paremaks minema ja nutikad lepingud peavad olema põhjalikult auditeeritud, see on kindel. Lisaks tuleks kasutajatele veebis pidevalt meelde tuletada ettevaatlikku etiketti. Vigade tuvastamist saab ahvatlevalt motiveerida. See võib omakorda edendada tervislikumat käitumist konkreetse protokolli ulatuses.

DeFi tööstusel on häkkimisrünnakuid raskusi takistada. Siiski on lootust, et võimude suurem järelevalve ja suurem koostöö vahetuste vahel aitab nuhtlust ohjeldada.