Finanza decentralizzata (DeFi) offrono servizi finanziari decentrati agli utenti, consentendo loro di effettuare transazioni e stipulare accordi con altri partecipanti. Mentre i protocolli DeFi mirano a fornire una piattaforma sicura e affidabile per i loro utenti, diversi exploit negli ultimi anni hanno causato perdite significative di fondi. Questo articolo discuterà alcuni degli exploit DeFi più estesi che si sono verificati di recente.
Ecco i primi 8 exploit DeFi crittografici in Web3 dopo aver dedotto i fondi restituiti:
Catena Ronin: 600 milioni di dollari
Marzo 2023 è stato un mese ricco di eventi per lo spazio delle criptovalute, con l'hacking del bridge Axie Infinity Ronin in cima alla lista con 612 milioni di dollari.
Il ponte Ronin è un Ethereum catena laterale utilizzata nel popolare gioco di guadagno Axie Infinity.
Il gruppo criminale informatico Lazarus, sospettato di avere collegamenti con la Corea del Nord, è riuscito ad ottenere l'accesso alle chiavi private di nove validatori di transazioni, consentendo loro di approvare due transazioni di grandi dimensioni e spostare i fondi dal loro indirizzo di portafoglio. Fortunatamente, una collaborazione tra autorità, società di sicurezza e scambi di criptovalute è stata in grado di aiutare a rintracciare alcuni di questi fondi dopo che gli hacker li hanno indirizzati a Tornado cash - un cripto tumbler open source - e altri scambi.
Ponte del tunnel spaziale: 323 milioni di dollari
Nel febbraio 2022, si è verificato uno sfortunato incidente quando gli hacker crittografici hanno sfruttato il codice di un wormhole per decollare con criptovalute del valore di $ 326 milioni.
Un wormhole è un token bridge tra Solana ed Ethereum, che purtroppo non è riuscito a impedire l'attacco. È stato reso possibile da una funzione deprecata/dead insecure che ha aggirato la verifica della firma e abilitato la catena di deleghe di firme.
Esperti in sicurezza informatica suggeriscono che gli sviluppatori avrebbero potuto impedire l'attacco se avessero praticato "pratiche di codifica sicura" in cui devono controllare tutti i parametri. Il controllo avrebbe potuto garantire l'autenticazione di indirizzi validi e quindi escludere fonti illegittime dall'accesso agli asset della catena.
Pianta di fagioli: 181 milioni di dollari
In un fatidico fine settimana dell'aprile 2022, un hacker ha lanciato un attacco che ha scosso la comunità delle criptovalute. Utilizzando un prestito flash, una caratteristica dei protocolli di finanza decentralizzata (DeFi), sono riusciti a rubare 182 milioni di dollari in ETH, stablecoin BEAN e altre risorse dal protocollo stablecoin Beanstalk.
Gli hacker hanno presentato due proposte dannose al Beanstalk DAO tramite la sua funzione di commit di emergenza, che richiede ⅔ voto prima dell'implementazione dopo 24 ore. L'attaccante ha utilizzato la tecnologia del prestito flash per ottenere il controllo del 79% dei token per approvare entrambe le proposte ed eseguire il piano con successo.
I fondi sono stati inviati dall'interno del protocollo per estinguere il prestito flash, mentre il resto è andato a un indirizzo associato a un fondo di emergenza con sede in Ucraina. In totale, l'individuo responsabile di questo atto coraggioso ha preso fino a 76 milioni di dollari.
Nomade – $ 155 milioni
Lo sconcertante attacco al ponte Nomad ha fatto notizia quando è successo il 1° agosto 2022. Ha scioccato molti blockchain gli appassionati come aggressori hanno approfittato di una vulnerabilità per drenare oltre $ 190 milioni di risorse basate su Ethereum archiviate nel cross-bridge multi-chain.
Gli hacker si sono mossi in fretta e furia, con centinaia di portafogli impegnati in 960 transazioni che hanno portato a 1,175 prelievi individuali dal Total Value Locked (TVL) del bridge. Tutto in poche ore.
Un aspetto sconcertante di questo hack era che tutto ciò che gli utenti dovevano fare per hackerare i fondi del bridge era copiare e incollare i dati della chiamata della transazione dell'hacker originale, sostituire l'indirizzo originale con uno personale e la transazione sarebbe stata completata.
L'hack ha provocato onde d'urto in tutta la comunità della finanza decentralizzata (DeFi), dimostrando che gli hacker rimangono un passo avanti quando sfruttano le falle nel codice. Il ponte Nomad fornisce un esempio illustrativo che dimostra l'importanza delle pratiche di codifica sicura e rafforza il motivo per cui la sicurezza rimane una sfida continua per i progetti blockchain oggi.
Finanza CREMA – $ 130.8 milioni
Sebbene l'attacco a CREAM nell'ottobre 2021 sia stato uno dei più grandi furti di prestiti lampo, non è stato certamente un incidente isolato. Gli attacchi di prestito flash comportano l'utilizzo di un "prestito flash" di liquidità, l'assunzione di prestiti e l'insolvenza su questo rapido finanziamento, il tutto all'interno di un'unica transazione.
Sfruttando gli errori di calcolo dei prezzi, gli hacker possono rapidamente trarre profitto dai loro prestiti. Ad esempio, nel caso di CREAM, due diversi indirizzi hanno interagito con il suo yUSDVault per coniare un gran numero di token crYUSD. Hanno sfruttato una vulnerabilità che avrebbe raddoppiato il valore di queste azioni. Sebbene abbiano ottenuto con successo $ 130 milioni di fondi, il ~ $ 1 miliardo di garanzie disponibili potrebbe richiedere molto più di questo importo.
Gli attacchi di prestito flash stanno diventando sempre più diffusi e la comunità dovrebbe porre domande su come prevenire ulteriori violazioni della sicurezza in futuro.
Hub token BSC: 127 milioni di dollari
Nell'ottobre 2022, gli hacker che sfruttano una vulnerabilità critica nel codice cross-bridge di BSC Beacon hanno sottratto asset crittografici per un totale di 570 milioni di dollari.
La BSc Beacon Chain, nota anche come Token Hub, è un ponte inter-chain che collega la BNB Beacon Chain (BEP2) e la BNB Chain (BEP20/BSC).
L'hacker ha falsificato le prove crittografiche chiamate prove Merkle intese a confermare la validità di dati come le transazioni. A loro volta, hanno utilizzato queste false prove Merkle per trasferire fondi dal cross-bridge BSC Beacon ad altre catene.
Non appena Tether ha bloccato l'indirizzo degli aggressori, è seguita un'azione rapida con oltre 7 milioni di dollari spostati dalla catena BNB congelati, confiscando la maggior parte dei loro fondi illeciti.
Harmony Horizon – $ 100 milioni
Nel giugno 2022, il progetto Harmony Horizon Bridge è stato compromesso quando gli hacker hanno rubato due delle cinque chiavi private del validatore, consentendo ai truffatori di trasferire token per un valore di 100 milioni di dollari.
Questo problema di sicurezza era dovuto al modo in cui era stato impostato il ponte, con uno schema di convalida 2 su 5. Di conseguenza, l'attaccante necessitava solo di due approvazioni per la convalida di qualsiasi transazione dannosa. Per coprire le loro tracce, gli aggressori hanno utilizzato Tornado Cash per riciclare alcuni dei loro guadagni illeciti.
Sebbene inizialmente questa configurazione potesse sembrare sicura, si è rivelata un obiettivo redditizio per i cattivi attori e una lezione costosa sulla sicurezza della blockchain per coloro che sono stati catturati.
Rari: 91 milioni di dollari
Gli attacchi di rientro sono in circolazione sin dai primi giorni di Ethereum. Hanno utilizzato le vulnerabilità del contratto per prelevare ripetutamente fondi prima che la transazione originale fosse approvata o rifiutata.
Nel maggio 2022, due piattaforme finanziarie decentralizzate sono state compromesse in questo modo, con gli hacker che hanno rubato 90 milioni di dollari. Jack Longarzo di Rari Capital ha affermato che l'attaccante ha sfruttato la società e Fei Protocol, che si è fusa con Rari Capital, ha offerto all'hacker una taglia di 10 milioni di dollari.
La società di sicurezza blockchain BlockSec ha spiegato che gli hacker hanno utilizzato una vulnerabilità di rientro.
Gli sviluppatori possono prevenire questi tipi di attacchi testando e controllando adeguatamente i contratti prima della distribuzione sulla blockchain di Ethereum.
Come proteggersi dagli exploit DeFi
I protocolli DeFi sono diventati sempre più popolari e complessi, rendendoli bersagli attraenti per gli hacker. Di seguito sono riportati sette suggerimenti per aiutarti a proteggerti dagli exploit DeFi:
- Esegui un'accurata due diligence su qualsiasi progetto prima di investire. Controlla il codice della piattaforma, il sito Web, i membri del team e i canali social per verificare la presenza di segnali d'allarme.
- Assicurati che una fonte attendibile controlli i contratti con cui interagisci e che i risultati dell'audit siano disponibili pubblicamente.
- Non immagazzinare grandi quantità di fondi in un contratto DeFi, rendendolo più vulnerabile agli attacchi.
- Rimani aggiornato con le ultime notizie sulla sicurezza per conoscere nuovi exploit.
- Implementare adeguate procedure di autenticazione e autorizzazione per tutti gli account che interagiscono con i protocolli DeFi.
- Assicurati che il tuo portafoglio sia sicuro e usa l'autenticazione a due fattori quando possibile.
- Monitora regolarmente i tuoi fondi e le tue transazioni sulla blockchain per rilevare eventuali attività sospette o prelievi non autorizzati.
Seguire questi suggerimenti può aiutarti a proteggerti dagli exploit DeFi e garantire che i tuoi fondi siano al sicuro quando interagisci con i protocolli di finanza decentralizzata. Tuttavia, è anche importante ricordare che nessun sistema è infallibile, quindi è sempre consigliabile prestare particolare attenzione quando si ha a che fare con le risorse digitali.
Conclusione
Nel complesso, la sicurezza è una delle considerazioni più importanti quando si ha a che fare con criptovalute e protocolli DeFi. Sfortunatamente, mentre il settore continua a crescere, crescono anche i rischi di attività dannose. Sebbene sia impossibile garantire la totale sicurezza, seguire questi suggerimenti può aiutarti a proteggerti dagli exploit DeFi e mantenere i tuoi fondi al sicuro.
Rimanendo aggiornato sugli ultimi sviluppi nella sicurezza blockchain e assicurando che siano in atto procedure di autenticazione adeguate per tutti gli account, puoi contribuire a garantire che le tue risorse digitali rimangano al sicuro.
Fonte: https://www.cryptopolitan.com/defi-exploits-in-web3-prevention-tips/