Ang industriya ng desentralisadong pananalapi (DeFi) ay nawalan ng higit sa isang bilyong dolyar sa mga hacker sa nakalipas na ilang buwan, at ang sitwasyon ay tila nawawalan ng kontrol.
Ayon sa pinakabagong istatistika, humigit-kumulang $1.6 bilyon sa Ang mga cryptocurrencies ay ninakaw mula sa mga platform ng DeFi sa unang quarter ng 2022. Higit pa rito, higit sa 90% ng lahat ng ninakaw na crypto ay mula sa mga na-hack na DeFi protocol.
Itinatampok ng mga figure na ito ang isang malagim na sitwasyon na malamang na magpapatuloy sa mahabang panahon kung hindi papansinin.
Bakit mas gusto ng mga hacker ang mga platform ng DeFi
Sa mga nagdaang taon, pinarami ng mga hacker ang mga operasyong nagta-target sa mga DeFi system. Ang isang pangunahing dahilan kung bakit ang mga grupong ito ay naaakit sa sektor ay ang malaking halaga ng mga pondo na hawak ng mga desentralisadong platform ng pananalapi. Ang mga nangungunang platform ng DeFi ay nagpoproseso ng bilyun-bilyong dolyar sa mga transaksyon bawat buwan. Dahil dito, ang mga gantimpala ay mataas para sa mga hacker na kayang magsagawa ng matagumpay na pag-atake.
Ang katotohanan na ang karamihan sa mga DeFi protocol code ay open source ay ginagawang mas madaling kapitan ng mga ito sa mga banta sa cybersecurity.
Ito ay dahil ang mga open source na programa ay magagamit para sa pagsisiyasat ng publiko at maaaring i-audit ng sinumang may koneksyon sa internet. Dahil dito, madali silang ma-scoured para sa mga pagsasamantala. Ang likas na pag-aari na ito ay nagbibigay-daan sa mga hacker na suriin ang mga application ng DeFi para sa mga isyu sa integridad at magplano ng mga heist nang maaga.
Ang ilang mga developer ng DeFi ay nag-ambag din sa sitwasyon sa pamamagitan ng sadyang pagwawalang-bahala sa mga ulat sa pag-audit ng seguridad ng platform na inilathala ng mga certified cybersecurity firm. Ang ilang mga development team ay naglulunsad din ng mga proyekto ng DeFi nang hindi isinailalim ang mga ito sa malawak na pagsusuri sa seguridad. Pinapataas nito ang posibilidad ng mga depekto sa coding.
Ang isa pang dent sa armor pagdating sa DeFi security ay ang interconnectivity ng mga ecosystem. Ang mga platform ng DeFi ay karaniwang magkakaugnay gamit ang mga cross-bridge, na nagpapatibay ng kaginhawahan at kakayahang magamit.
Habang ang mga cross-bridge ay nagbibigay ng pinahusay na karanasan ng user, ang mga mahahalagang snippet ng code na ito ay nagkokonekta sa malalaking network ng mga distributed ledger na may iba't ibang antas ng seguridad. Binibigyang-daan ng multiplex configuration na ito ang mga hacker ng DeFi na gamitin ang mga kakayahan ng maraming platform para palakasin ang mga pag-atake sa ilang partikular na platform. Nagbibigay-daan din ito sa kanila na mabilis na maglipat ng mga ill-gotten na pondo sa maraming desentralisadong network nang walang putol.
Bukod sa mga nabanggit na panganib, ang mga platform ng DeFi ay madaling kapitan ng sabotahe ng tagaloob.
Mga paglabag sa seguridad
Gumagamit ang mga hacker ng malawak na hanay ng mga diskarte para makalusot sa mga mahihinang DeFi perimeter system.
Ang mga paglabag sa seguridad ay isang pangkaraniwang pangyayari sa sektor ng DeFi. Ayon sa sa 2022 Chainalysis ulat, humigit-kumulang 35% ng lahat ng ninakaw na crypto sa nakalipas na dalawang taon ay nauugnay sa mga paglabag sa seguridad.
Marami sa kanila ang nangyayari dahil sa maling code. Karaniwang naglalaan ang mga hacker ng makabuluhang mapagkukunan sa paghahanap ng mga systemic coding error na nagbibigay-daan sa kanila na isagawa ang mga ganitong uri ng pag-atake at karaniwang gumagamit ng mga advanced na tool sa pagsubaybay sa bug upang tulungan sila dito.
Ang isa pang karaniwang taktika na ginagamit ng mga aktor ng pagbabanta upang maghanap ng mga masusugatan na platform ay ang pagsubaybay sa mga network na may hindi pa natambal na mga isyu sa seguridad na nalantad na ngunit hindi pa naipapatupad.
Mga hacker sa likod ng kamakailang pag-atake ng Wormhole DeFi hack na humantong sa pagkawala ng halos $ 325 milyon sa mga digital na token ay iniulat na gumamit ng diskarteng ito. Ang pagsusuri sa mga code commit ay nagsiwalat na ang isang vulnerability patch na na-upload sa GitHub repository ng platform ay pinagsamantalahan bago ang patch ay na-deploy.
Ang pagkakamali ay nagbigay-daan sa mga nanghihimasok na gumawa ng signature ng system na nagpapahintulot sa pag-minting ng 120,000 Wrapped Ether (wETH) na barya na nagkakahalaga ng $325 milyon. Pagkatapos ay ibinenta ng mga hacker ang wETH sa halagang humigit-kumulang $250 milyon sa Ether (ETH). Ang ipinagpalit na mga Ethereum na barya ay nagmula sa mga reserbang settlement ng platform, na humahantong sa mga pagkalugi.
Ang serbisyo ng Wormhole ay nagsisilbing tulay sa pagitan ng mga kadena. Nagbibigay-daan ito sa mga user na gumastos ng mga idinepositong cryptocurrencies sa mga nakabalot na token sa mga chain. Nagagawa ito sa pamamagitan ng pag-minting ng mga token na nakabalot ng Wormhole, na nagpapagaan sa pangangailangang direktang magpalit o i-convert ang mga nadepositong barya.
Kamakailan: Paano mababago ng mga archive ng blockchain kung paano namin itinatala ang kasaysayan sa panahon ng digmaan
Mga pag-atake ng flash loan
Ang mga flash loan ay mga unsecured na DeFi loan na hindi nangangailangan ng mga credit check. Binibigyang-daan nila ang mga mamumuhunan at mangangalakal na humiram ng mga pondo kaagad.
Dahil sa kanilang kaginhawahan, kadalasang ginagamit ang mga flash loan para samantalahin ang mga pagkakataon sa arbitrage sa mga konektadong DeFi ecosystem.
Sa mga pag-atake ng flash loan, ang mga protocol sa pagpapautang ay tinatarget at nakompromiso gamit ang mga diskarte sa pagmamanipula ng presyo na lumilikha ng mga artipisyal na pagkakaiba sa presyo. Nagbibigay-daan ito sa mga masasamang aktor na bumili ng mga asset sa malaking diskwentong mga rate. Karamihan sa mga pag-atake ng flash loan ay tumatagal ng ilang minuto at kung minsan ay mga segundo upang maisagawa at may kasamang ilang magkakaugnay na DeFi protocol.
Ang isang paraan kung saan manipulahin ng mga umaatake ang mga presyo ng asset ay sa pamamagitan ng pag-target sa mga masasabing orakulo ng presyo. Ang mga orakulo ng presyo ng DeFi, halimbawa, ay kumukuha ng kanilang mga rate mula sa mga panlabas na mapagkukunan tulad ng mga mapagkakatiwalaang palitan at mga site ng kalakalan. Halimbawa, maaaring manipulahin ng mga hacker ang mga pinagmulang site upang linlangin ang mga orakulo sa pansamantalang pagbaba ng halaga ng mga naka-target na halaga ng asset upang mag-trade sila sa mas mababang presyo kumpara sa mas malawak na merkado.
Pagkatapos ay binibili ng mga umaatake ang mga ari-arian sa mga deflate na halaga at mabilis na ibinebenta ang mga ito sa kanilang lumulutang na halaga ng palitan. Ang paggamit ng mga leverage na token na nakuha sa pamamagitan ng flash loan ay nagbibigay-daan sa kanila na palakihin ang mga kita.
Bukod sa pagmamanipula ng mga presyo, ang ilang mga umaatake ay nakapagsagawa ng mga pag-atake ng flash loan sa pamamagitan ng pag-hijack sa mga proseso ng pagboto sa DeFi. Kamakailan lamang, Ang Beanstalk DeFi ay nagkaroon ng $182 milyon na pagkalugi matapos samantalahin ng isang umaatake ang isang pagkukulang sa sistema ng pamamahala nito.
Ang koponan ng pagbuo ng Beanstalk ay nagsama ng isang mekanismo ng pamamahala na nagpapahintulot sa mga kalahok na bumoto para sa mga pagbabago sa platform bilang isang pangunahing pag-andar. Ang setup na ito ay sikat sa industriya ng DeFi dahil itinataguyod nito ang demokrasya. Ang mga karapatan sa pagboto sa platform ay nakatakdang maging proporsyonal sa halaga ng mga katutubong token na hawak.
Ang isang pagsusuri sa paglabag ay nagsiwalat na ang mga umaatake ay nakakuha ng isang flash loan mula sa Aave DeFi protocol upang makakuha ng halos $1 bilyon na mga asset. Nagbigay-daan ito sa kanila na makakuha ng 67% mayorya sa sistema ng pamamahala sa pagboto at pinahintulutan silang unilateral na aprubahan ang paglipat ng mga ari-arian sa kanilang tirahan. Ang mga salarin ay nakakuha ng humigit-kumulang $80 milyon sa mga digital na pera pagkatapos bayaran ang flash loan at mga kaugnay na surcharge.
Tinatayang $360 milyon na halaga ng mga crypto coin ang ninakaw mula sa mga platform ng DeFi noong 2021 gamit ang mga flash loan, ayon sa Chainalysis.
Saan napupunta ang ninakaw na crypto?
Sa loob ng mahabang panahon ngayon, ang mga hacker ay gumamit ng mga sentralisadong palitan upang maglaba ng mga ninakaw na pondo, ngunit ang mga cybercriminal ay nagsisimulang itapon ang mga ito para sa mga platform ng DeFi. Noong 2021, ang mga cybercriminal ipinadala humigit-kumulang 17% ng lahat ng ipinagbabawal na crypto sa mga DeFi network, na isang makabuluhang pagtalon mula sa 2% noong 2020.
Ayon sa mga eksperto sa merkado, ang paglipat sa mga DeFi protocol ay dahil sa mas malawak na pagpapatupad ng mas mahigpit na proseso ng Know Your Customer (KYC) at Anti-Money Laundering (AML). Ang mga pamamaraan ay nakompromiso ang anonymity na hinahanap ng mga cybercriminal. Karamihan sa mga platform ng DeFi ay tinatalikuran ang mga mahahalagang prosesong ito.
Pakikipagtulungan sa mga awtoridad
Ang mga sentralisadong palitan ay, ngayon higit pa kaysa dati, nakikipagtulungan sa mga awtoridad upang kontrahin ang cybercrime. Noong Abril, ang Binance exchange ay gumanap ng isang instrumental na papel sa pagbawi ng $5.8 milyon sa mga ninakaw na cryptocurrencies bahagi iyon ng $625 milyon na itago na ninakaw mula sa Axie Infinity. Ang pera ay unang naipadala sa Tornado Cash.
Ang Tornado Cash ay isang serbisyo sa pag-anonymize ng token na nagpapalabo sa pinagmulan ng mga pondo sa pamamagitan ng paghahati-hati ng mga on-chain na link na ginagamit upang subaybayan ang mga nakikipagtransaksyon na address.
Ang isang bahagi ng mga ninakaw na pondo ay, gayunpaman, sinusubaybayan ng mga blockchain analytic na kumpanya sa Binance. Ang pagnakawan ay ginanap sa 86 na mga address sa palitan.
Sa resulta ng insidente, isang tagapagsalita para sa Departamento ng Treasury ng Estados Unidos na may salungguhit na ang mga palitan ng crypto na humahawak ng pera mula sa naka-blacklist na mga parusa sa panganib ng crypto address.
Mukhang nakikipagtulungan din ang Tornado Cash sa mga awtoridad para matigil ang paglilipat ng mga nakaw na pondo sa network nito. Sinabi ng kumpanya na magpapatupad ito ng tool sa pagsubaybay para tumulong na matukoy at harangan ang mga naembargo na wallet.
Mukhang may ilang pag-unlad sa pag-agaw ng mga nicked asset ng mga awtoridad. Mas maaga sa taong ito, inihayag ng Kagawaran ng Hustisya ng US ang pag-agaw ng $3.6 bilyon sa crypto at inaresto ang dalawang tao na sangkot sa paglalaba ng mga pondo. Ang pera ay bahagi ng $4.5 bilyon na na-purloin mula sa Bitfinex crypto exchange noong 2016.
Ang crypto seizure ay kabilang sa pinakamalaking naitala kailanman.
Ang mga CEO ng DeFi ay nagsasalita tungkol sa kasalukuyang sitwasyon
Eksklusibong pagsasalita sa Cointelegraph mas maaga sa linggong ito, sinabi ni Eric Chen, CEO at co-founder ng Injective Labs — isang interoperable na smart contract na platform na na-optimize para sa mga desentralisadong aplikasyon sa pananalapi — na may pag-asa na humupa ang mga problema.
"Nakikita namin ang patuloy na paghina ng tubig, habang ang mas matatag na mga pamantayan sa seguridad ay inilalagay sa lugar. Sa wastong pagsubok at karagdagang mga imprastraktura ng seguridad na inilagay, ang mga proyekto ng DeFi ay mapipigilan ang mga karaniwang panganib sa pagsasamantala sa hinaharap, "sabi niya.
Sa mga hakbang na ginagawa ng kanyang network upang maiwasan ang mga pag-atake ng hack, nagbigay si Chen ng isang balangkas:
“Tinitiyak ng Injective ang isang mas mahigpit na tinukoy na modelo ng seguridad na nakasentro sa aplikasyon kumpara sa tradisyonal na Ethereum Virtual Machine-based na DeFi application. Ang disenyo ng blockchain at ang lohika ng mga core module ay nagpoprotekta sa Injective mula sa mga karaniwang pagsasamantala tulad ng re-entrancy, maximum extractable value at flash loan. Ang mga application na binuo sa itaas ng Ijective ay maaaring makinabang mula sa mga hakbang sa seguridad na ipinatupad sa blockchain sa antas ng pinagkasunduan.
Kamakailan: Ang tumataas na pandaigdigang posisyon sa pag-aampon ng crypto ay perpekto para sa paggamit sa retail
Nagkaroon din ng pagkakataon ang Cointelegraph na makipag-usap kay Konstantin Boyko-Romanovsky, CEO at founder ng Allnodes — isang non-custodial hosting at staking platform — tungkol sa pagtaas ng mga insidente ng hack. Tungkol sa mga pangunahing katalista sa likod ng kalakaran, sinabi niya:
"Walang alinlangan na magtatagal ng ilang oras upang mapababa ang panganib ng mga pag-hack ng DeFi. Ito ay malamang na, gayunpaman, na ito ay mangyayari sa magdamag. Mayroong matagal na pakiramdam ng isang lahi sa DeFi. Tila nagmamadali ang lahat, pati na ang mga nagtatag ng proyekto. Ang merkado ay umuunlad nang mas mabilis kaysa sa bilis kung saan ang mga programmer ay sumulat ng code. Ang mahuhusay na manlalaro na gumagawa ng bawat pag-iingat ay nasa minorya."
Nagbigay din siya ng ilang insight sa mga pamamaraan na makakatulong sa pagpigil sa problema:
“Dapat maging mas mahusay ang code at dapat ma-audit nang husto ang mga matalinong kontrata, sigurado iyon. Bilang karagdagan, ang mga gumagamit ay dapat na patuloy na paalalahanan ng maingat na etiketa online. Ang pagkilala sa anumang mga bahid ay maaaring maging kaakit-akit na insentibo. Ito, sa turn, ay maaaring magsulong ng mas malusog na pag-uugali sa isang partikular na protocol."
Ang industriya ng DeFi ay nahihirapang hadlangan ang mga pag-atake ng hack. Gayunpaman, may pag-asa na ang pagtaas ng pagsubaybay mula sa mga awtoridad at higit na kooperasyon sa pagitan ng mga palitan ay makakatulong sa pagsugpo sa salot.
Pinagmulan: https://cointelegraph.com/news/defi-attacks-are-on-the-rise-will-the-industry-be-able-to-stem-the-tide