Decentrale financiering (Defi) protocollen bieden gedecentraliseerde financiële diensten aan gebruikers, waardoor ze transacties kunnen doen en overeenkomsten kunnen sluiten met andere deelnemers. Hoewel DeFi-protocollen tot doel hebben hun gebruikers een veilig en betrouwbaar platform te bieden, hebben verschillende exploits in de afgelopen jaren geleid tot aanzienlijke financiële verliezen. Dit artikel bespreekt enkele van de meest uitgebreide DeFi-exploits die recentelijk hebben plaatsgevonden.
Hier zijn de top 8 crypto DeFi-exploits in Web3 na aftrek van geretourneerde fondsen:
Ronin-ketting - $ 600 miljoen
Maart 2023 was een bewogen maand voor de cryptocurrency-ruimte, met de Axie Infinity Ronin-bridge-hack bovenaan de lijst met $ 612 miljoen.
Ronin-brug is een Ethereum zijketen gebruikt in het populaire spel Axie Infinity om te verdienen.
De cybercriminaliteitsgroep Lazarus, die ervan wordt verdacht Noord-Koreaanse connecties te hebben, slaagde erin toegang te krijgen tot de privésleutels van negen transactievalidators, waardoor ze twee grote transacties konden goedkeuren en het geld van hun portemonnee-adres konden verplaatsen. Gelukkig kon een samenwerking tussen autoriteiten, beveiligingsbedrijven en cryptocurrency-uitwisselingen sommige van deze fondsen helpen opsporen nadat de hackers ze naar Tornado-geld - een open-source crypto-tumbler - en andere uitwisselingen hadden geleid.
Wormgatbrug - $ 323 miljoen
In februari 2022 deed zich een ongelukkig incident voor toen crypto-hackers de code van een wormgat uitbuitten om er met crypto ter waarde van $ 326 miljoen vandoor te gaan.
Een wormgat is een symbolische brug tussen Solana en Ethereum, die de aanval helaas niet kon voorkomen. Het werd mogelijk gemaakt door een verouderde/dead onveilige functie die handtekeningverificatie omzeilde en de keten van delegatie van handtekeningen mogelijk maakte.
Experts op het gebied van internetveiligheid suggereren dat ontwikkelaars de aanval hadden kunnen voorkomen als ze 'veilig coderen' hadden toegepast waarbij ze alle parameters moesten controleren. De controle had de authenticatie van geldige adressen kunnen garanderen en zo onwettige bronnen kunnen uitsluiten van toegang tot activa in de keten.
Bonenstaak - $ 181 miljoen
Tijdens een noodlottig weekend in april 2022 ontketende een hacker een aanval die de cryptogemeenschap op zijn kop zette. Met behulp van een flitslening – een kenmerk van protocollen voor gedecentraliseerde financiering (DeFi) – slaagden ze erin om $ 182 miljoen aan ETH, BEAN stablecoin en andere activa van het Beanstalk stablecoin-protocol te stelen.
De hackers presenteerden twee kwaadaardige voorstellen aan de Beanstalk DAO via de noodcommit-functie, waarvoor ⅔ stemmen nodig zijn voordat ze na 24 uur kunnen worden geïmplementeerd. De aanvaller gebruikte flitsleningstechnologie om controle te krijgen over 79% van de tokens om beide voorstellen door te geven en hun plan met succes uit te voeren.
Het geld werd vanuit het protocol verzonden om de flitslening af te betalen, en de rest ging naar een adres dat is gekoppeld aan een in Oekraïne gevestigd noodfonds. In totaal is tot $ 76 miljoen genomen door de persoon die verantwoordelijk is voor deze dappere daad.
Nomade - $ 155 miljoen
De verbijsterende Nomad-brughack haalde de krantenkoppen toen het gebeurde op 1 augustus 2022. Het schokte velen blockchain enthousiastelingen omdat aanvallers misbruik maakten van een kwetsbaarheid om meer dan $ 190 miljoen aan op Ethereum gebaseerde activa leeg te maken die waren opgeslagen in de cross-bridge met meerdere ketens.
De hackers gingen snel en furieus te werk, met honderden portemonnees die betrokken waren bij 960 transacties, resulterend in 1,175 individuele opnames van de Total Value Locked (TVL) van de bridge. Allemaal binnen enkele uren.
Een verbijsterend aspect van deze hack was dat het enige wat gebruikers hoefden te doen om overbruggingsfondsen te hacken, was de oorspronkelijke transactieoproepgegevens van de hacker kopiëren en plakken, het oorspronkelijke adres vervangen door een persoonlijk adres en de transactie zou worden voltooid.
De hack veroorzaakte een schokgolf in de DeFi-gemeenschap (Decentralized Finance), wat bewijst dat hackers een stap voor blijven bij het uitbuiten van mazen in de code. De Nomad-brug biedt een illustratief voorbeeld dat het belang van veilige coderingspraktijken aantoont en benadrukt waarom beveiliging tegenwoordig een voortdurende uitdaging blijft voor blockchain-projecten.
CREAM Financiën - $ 130.8 miljoen
Hoewel de aanval op CREAM in oktober 2021 een van de grootste overvallen op flitsleningen was, was het zeker geen op zichzelf staand incident. Flash-leningaanvallen omvatten het gebruik van een 'flitslening' van liquiditeit, lenen en in gebreke blijven van deze snelle financiering, allemaal binnen één enkele transactie.
Door prijsberekeningsfouten uit te buiten, kunnen hackers snel profiteren van hun leningen. In het geval van CREAM werkten bijvoorbeeld twee verschillende adressen samen met zijn yUSDVault om een groot aantal crYUSD-tokens te slaan. Ze misbruikten een kwetsbaarheid die de waarde van deze aandelen zou verdubbelen. Hoewel ze met succes $ 130 miljoen aan fondsen hebben veiliggesteld, zou de ~ $ 1 miljard aan beschikbaar onderpand veel meer kunnen kosten dan dit bedrag.
Aanvallen met flitsleningen komen steeds vaker voor en de gemeenschap moet zich afvragen hoe ze verdere beveiligingsinbreuken in de toekomst kunnen voorkomen.
BSC-tokenhub - $ 127 miljoen
In oktober 2022 maakten hackers die misbruik maakten van een kritieke kwetsbaarheid in de BSC Beacon cross-bridge-code, crypto-activa ter waarde van in totaal $ 570 miljoen.
De BSc Beacon-keten, ook wel Token Hub genoemd, is een brug tussen de ketens die de BNB Beacon Chain (BEP2) en de BNB Chain (BEP20/BSC) met elkaar verbindt.
De hacker vervalste wel cryptografische bewijzen, Merkle-bewijzen genaamd, bedoeld om de geldigheid van gegevens zoals transacties te bevestigen. Op hun beurt gebruikten ze deze valse Merkle-bewijzen om geld over te dragen van de BSC Beacon-kruisbrug naar andere ketens.
Zodra Tether het adres van de aanvallers blokkeerde, volgde snelle actie met meer dan $ 7 miljoen die van de BNB-keten werd bevroren, waardoor het grootste deel van hun onrechtmatig verkregen geld in beslag werd genomen.
Harmonie Horizon - $ 100 miljoen
In juni 2022 kwam het Harmony Horizon Bridge-project in gevaar toen hackers twee van de vijf privésleutels van de validator stalen, waardoor fraudeurs voor $ 100 miljoen aan tokens konden overmaken.
Dit beveiligingsprobleem was te wijten aan de manier waarop de brug was opgezet, met een validatieschema van 2 op 5. Als gevolg hiervan had de aanvaller slechts twee goedkeuringen nodig om een kwaadaardige transactie te valideren. Om hun sporen uit te wissen, gebruikten de aanvallers Tornado Cash om een deel van hun onrechtmatig verkregen geld wit te wassen.
Hoewel deze opzet in eerste instantie misschien veilig leek, bleek het een lucratief doelwit voor slechte actoren en een dure les in blockchain-veiligheid voor degenen die werden betrapt.
Rari - $ 91 miljoen
Re-entrancy-aanvallen bestaan al sinds de begindagen van Ethereum. Ze hebben contractkwetsbaarheden gebruikt om herhaaldelijk geld op te nemen voordat de oorspronkelijke transactie wordt goedgekeurd of geweigerd.
In mei 2022 raakten twee gedecentraliseerde financiële platforms op deze manier gecompromitteerd, waarbij hackers 90 miljoen dollar stalen. Jack Longarzo van Rari Capital zei dat de aanvaller het bedrijf uitbuitte en dat Fei Protocol, dat fuseerde met Rari Capital, de hacker een premie van $10 miljoen aanbood.
Blockchain-beveiligingsbedrijf BlockSec legde uit dat de hackers een kwetsbaarheid voor herintreding gebruikten.
Ontwikkelaars kunnen dit soort aanvallen voorkomen door contracten goed te testen en te controleren voordat ze op de Ethereum-blockchain worden geïmplementeerd.
Hoe u uzelf kunt beschermen tegen DeFi-exploits
DeFi-protocollen zijn steeds populairder en complexer geworden, waardoor ze een aantrekkelijk doelwit zijn voor hackers. Hier volgen zeven tips om u te helpen uzelf te beschermen tegen DeFi-exploits:
- Voer een grondig due diligence-onderzoek uit voor elk project voordat u investeert. Controleer de code van het platform, de website, teamleden en sociale kanalen op rode vlaggen.
- Zorg ervoor dat een betrouwbare bron de contracten waarmee u communiceert, controleert en dat de auditresultaten openbaar beschikbaar zijn.
- Bewaar geen grote hoeveelheden geld in één DeFi-contract, waardoor het kwetsbaarder wordt voor aanvallen.
- Blijf op de hoogte van het laatste beveiligingsnieuws om meer te weten te komen over nieuwe exploits.
- Implementeer de juiste authenticatie- en autorisatieprocedures voor alle accounts die communiceren met DeFi-protocollen.
- Zorg ervoor dat uw portemonnee veilig is en gebruik waar mogelijk tweefactorauthenticatie.
- Controleer regelmatig uw geld en transacties op de blockchain om verdachte activiteiten of ongeoorloofde opnames te detecteren.
Het volgen van deze tips kan u helpen beschermen tegen DeFi-exploits en ervoor zorgen dat uw geld veilig is bij interactie met gedecentraliseerde financiële protocollen. Het is echter ook belangrijk om te onthouden dat geen enkel systeem onfeilbaar is, dus het is altijd een goede gewoonte om extra voorzichtig te zijn bij het omgaan met digitale activa.
Conclusie
Over het algemeen is beveiliging een van de belangrijkste overwegingen bij het omgaan met cryptocurrencies en DeFi-protocollen. Helaas, terwijl de industrie blijft groeien, nemen ook de risico's van kwaadwillende activiteiten toe. Hoewel het onmogelijk is om totale veiligheid te garanderen, kan het volgen van deze tips je helpen jezelf te beschermen tegen DeFi-exploits en je geld veilig te houden.
Door op de hoogte te blijven van de nieuwste ontwikkelingen op het gebied van blockchainbeveiliging en ervoor te zorgen dat alle accounts de juiste authenticatieprocedures hebben, kunt u ervoor zorgen dat uw digitale activa veilig blijven.
Bron: https://www.cryptopolitan.com/defi-exploits-in-web3-prevention-tips/