Криптозломи: до чого слід підготуватися до кінця 2022 року
З розвитком web3 та NFT-продуктів, екосистеми децентралізованих застосунків (dApp) розширюються та інтегруються з багатоланцюговими рішеннями. Криптогаманці відіграють важливу роль у цьому інтеграційному процесі, допомагаючи користувачам dApp підписувати транзакції й безпечно зберігати свої активи.
Так звані «гарячі гаманці» іноді інтегруються з електронною поштою та соціальними мережами для входу в систему. Унаслідок повсюдного використання цифрових активів гаманці та пов'язані з ними платформи стали вразливою мішенню для зловмисників.
Оскільки 2022 рік ще не добіг кінця, важливо бути готовими до майбутніх небезпек на ринку. Одним із найважливіших аспектів підготовки після завершення зростання ведмежого ринку є аналіз хакерської активності та останніх тенденцій у сфері безпеки гаманців. Зрештою, криптовалюта стає все більш інституціоналізованою, приносячи більше ризиків в індустрію, оскільки всі великі компанії спрямовують свій капітал на рішення децентралізованих фінансів (DeFi).
Останні хакерські атаки у 2022 році
У 2019 році хакери переважно атакували централізовані криптовалютні біржі. Сьогодні ці платформи використовують просунуті інструменти боротьби з відмиванням грошей (Anti-Money-Laundering чи скорочено AML) та «Знай свого клієнта» (Know-Your-Customer чи скорочено KYC), тому шахраї звернули увагу на менш захищені DeFi-протоколи.
Рік розпочався з викрадення значної суми ETH в понад 300 мільйонів доларів США з кросчейн-моста Wormhole на суму понад $300 млн. Такі мости зазвичай працюють, беручи цифрову монету і фіксуючи її в контракті на випуск іншого активу в ланцюжку мостів. Коли трапляється подібний злом, основне занепокоєння користувачів полягає в тому, чи залишаються їхні активи все ще захищеними платформою.
Найбільший злом у 2022 році стався одразу після кейсу з Wormhole у березні. Популярна ігрова платформа Axie Infinity втратила понад 600 мільйонів доларів через фальшиву вакансію, яку через необережність відкрив один із її розробників. Після того, як він завантажив файл на робочий комп'ютер, хакерам вдалося проникнути у систему і пошкодити чотири валідатори токенів й один валідатор Axie DAO.
Пізніше у квітні з допомогою флеш-кредитів з DeFi-платформи Beanstalk Farms було виведено понад $180 млн. Цей тип кредитів використовується для запозичення значних сум у цифровій валюті за лічені хвилини. Вони призначені для забезпечення ліквідності або використання можливостей цінового арбітражу. Хакери отримали 67% голосів у Beanstalk, використавши флеш-кредит для запозичення активів і обмінявши їх на токен управління платформою.
Менша, але значна фішингова атака коштувала постачальникам ліквідності Uniswap $8,6 млн. Хакери здійснили фішингову атаку, під час якої обманом змусили користувачів децентралізованої біржі перейти за зловмисним посиланням. Як результат, шахраї отримали доступ до понад 7 000 адрес Ethereum.
У серпні був зламаний крос-ланцюговий міст DeFi під назвою Nomad на суму понад 190 мільйонів доларів. Загальна заблокована вартість платформи знизилася зі $190,74 млн до $1794 доларів усього за кілька годин. Злом стався через помилку під час оновлення смарт-контракту, що призвело до збою в аутентифікації повідомлень. Коли зловмисники знайшли цей недолік у коді Nomad, вони почали виводити кошти з платформи.
Уразливість також привернула увагу інших хакерів, які використовували ті ж самі calldata-транзакції. Злом був схожий на «копіпаст», оскільки під час нього зловмисники повторювали дії один одного.
Пізніше у вересні алгоритмічний маркет-мейкер Wintermute втратив активи на суму $160 млн. Зловмисники скористалися помилкою в смарт-контракті Wintermute та отримали доступ до понад 70 різних токенів. Хто стоїть за зломом невідомо, проте підозрюється, що атака була здійснена внутрішніми співробітниками Wintermute.
Майбутні тенденції у сфері безпеки
Впровадження кращих і більш сумісних рішень KYC і AML вважається засобом номер один для підвищення безпеки гаманців у всій індустрії. Перевірка історії гаманців надає величезну допомогу в оцінці процесу виявлення хакерів. Як тільки з'являється можливість відстежити, кому належать гаманці, викрадені кошти можуть бути повернуті.
Крім того, DeFi-компанії продовжують наймати найкращих фахівців для своїх команд безпеки, щоб протистояти хакерським атакам в режимі 24/7. Щомісяця з'являються нові способи, як хакери обходять вбудований захист DeFi-додатків через новизну самого бізнесу. Підвищення рівня безпеки — це лише питання спостереження за останніми атаками та аналізу того, як їх можна було б запобігти.
У разі атак, подібних до тієї, з якою зіткнулася команда Beanstalk, одноденна затримка в прийнятті навіть екстрених пропозицій з управління може забезпечити збереження контролю над платформою в руках її творців. Для цього DeFi-проєктам слід ретельно переглянути чинні механізми коригування кількості голосів.
Висновки
На жаль, хакерські атаки останніх кількох років підірвали довіру інвесторів. Однак зростання кількості постачальників послуг, які мають інструменти безпеки, дає надію цій галузі. Проєкти Defi ставлять безпеку свого продукту в пріоритет над його ефективністю та функціональністю. Завдяки підвищеній безпеці, прозорості та дотриманню нормативних вимог, проєкти DeFi є вигідною інвестицією в майбутнє.
