Krypto, DeFi-hacks stiger i april – Yearn-kontraktudnyttelse, MEV-bot-udtømning, Euler- og Sushi-redemption-opdateringer

PeckShield rapporterede tidligt torsdag, at den ikke‑deponerende pengemarkedsprotokol Aave og DeFi‑yield‑farmingsplatform Yearn Finance var blevet ramt af en udnyttelse. Blockchain‑sikkerhedsteamet antog, at en fejlagtigt konfigureret yUSDT havde forårsaget kompromittet, hvilket gjorde det muligt for den onde aktør at mint en betydelig mængde yUSDT fra $10K USDT.

Yearn Finance involveret i seneste DeFi-hack-hændelse

Den indledende vurdering delt af PeckShield indikerede, at den enkelte/person eller gruppe, der udnyttede den ‘fejlkonfigurerede’ sårbarhed for uendelig mintning, cashede ud med op til $11 millioner i Dai (DAI), Tether (USDT), USD Coin (USDC), Binance USD (BUSD) og Tru USD (TUSD) tokens. En tweet‑opdatering fra Aave‑integrationsleder Marc Zeller bekræftede hændelsen og præciserede, at kun version 1 af protokollen, som har været frosset siden december 2022, blev påvirket. Yearn Finances team informerede også brugerne om, at de var opmærksomme på hændelsen i et separat opslag.

“Vi undersøger et problem med iearn, en forældet kontrakt fra før Vaults v1 og v2. Dette problem ser ud til at være eksklusivt for iearn og påvirker ikke de nuværende Yearn‑kontrakter eller -protokoller. iearn er en uforanderlig kontrakt, der går forud for YFI, og den blev udfaset i 2020. Vaults v1, med opgraderbare strategier, blev også udfaset i 2021. Der er ingen indikation på, at den er påvirket. Den nuværende version v2 Vaults forbliver også upåvirket.”

Bemærkelsesværdigt resulterede flash‑loan‑udnyttelsen i et uventet udfald – en tilbagebetaling af Aave‑brugerens USDT, on‑chain registre viser. Flere sikkerhedsorganisationer som Otter Sec og andre teams tilknyttet Aave bidrog til at nedbryde angrebet. DeFi‑sporingsplatformen Nansen bemærkede, at aktøren sendte byttet til tre adresser. On‑chain‑data viser, at udnyttelsespersonen deponerede 1000 ETH‑mønter, hvilket udgør en betydelig del af de stjålne tokens, til Tornado Cash, muligvis for at dække sine spor. En anden wallet modtog over 4,7 millioner DAI og 2,5 millioner USDC‑stablecoins. Udnyttelsen på Yearn Finance‑låneplatformen følger en række lignende hændelser, der er rapporteret i den decentraliserede finans (DeFi) sektor indtil nu i år.

Hackere og svindlere plyndrede investorer for $452M i Q1, med en genopretningsrate på 29%

Blockchain‑dataleverandøren Chainalysis rapporterede tidligere, at hacks i DeFi‑nichen udgjorde 82 % af $3,8 milliarder i tab i kryptosektoren i 2022. I en nylig opdatering på samme område observerede antivirus‑ og app‑leverandøren De.Fi, at cyberkriminelle plyndrede $452 millioner i det netop afsluttede kvartal. Selvom beløbet er enormt, repræsenterer det et markant fald fra $1,3 milliarder i tab i samme periode sidste år. Den sidstnævnte rapport fremhævede også, at næsten halvdelen af Q1‑tabene opstod i de første tre uger af marts, hvor flash‑loan‑angrebet på Euler Finance den 13. marts resulterede i det største tab i kvartalet – $197 millioner. Duoen af blockchain‑baserede platforme BonqDAO og AllianceBlock led et smart‑contract‑hack i begyndelsen af februar og mistede $120 millioner. Samtidig udgjorde den påståede $45 millioner svindel mod CoinDeal‑investorer, Monkey Drainer’s $16,5 millioner phishing‑angreb og et $8,5 millioner flash‑loan‑angreb på Platypus Finance de fem førende udnyttelser i kvartalet.

Brud retter sig mod nybegyndere med FOMO

Med hensyn til udbredelse var smart‑contract‑udnyttelser den mest almindelige type angreb og udgjorde 17 hændelser, efterfulgt af otte rapporterede rug‑pull‑tilfælde. Flash‑loan‑udnyttelser forblev udbredte og bidrog til et tab på $200 millioner i den nævnte periode. De.Fi anslog også, at det er tydeligt, at hvad angår angrebsvektorer, var tokens det foretrukne valg for ondsindede aktører – de er nemme at lancere og udnytter nybegyndernes sårbarhed, som frygter at gå glip af muligheder. Låntagning og udlån var et primært mål, så selvom det kun udgjorde fem hændelser, var de samlede tab $336 millioner. BNB var den største ofre blandt kæderne og var mål for 18 angreb. På genoprettelser blev $130 millioner af de stjålne midler returneret til ofrene, men det var stadig et fald i genoprettelsesraten set sidste år i samme periode, 40 % af $1,29 milliarder.

SafeMoon-bugrelateret udnyttelse

I en isoleret hændelse blev SafeMoon‑platformen angiveligt kompromitteret den 29. marts gennem en offentlig brændfunktion, der var inkluderet i en nyligt udgivet opgradering. Den påståede angriber udnyttede denne bug‑drevede smuthul til at stjæle op til 27.000 BNB‑mønter fra den kompromitterede SFM WBNB‑likviditetspool. Udnytteren efterlod en besked, “Hey, slap af, vi er ved et uheld frontrun et angreb mod dig, vi vil gerne returnere midlerne, oprette en sikker kommunikationskanal, lad os tale.”SafeMoon skrev i en tweet i sidste uge, at handlen var genoptaget på deres platform.

Opdateringen den 5. april beskrev også nogle tokenomics‑forbedringer og meddelte, at en opgraderet SWaP‑grænseflade var blevet implementeret.

“Vi fortsætter arbejdet med at genvinde LP‑midlerne […] Vi har gjort store fremskridt og arbejder hårdt på at vende tilbage til normal drift for alle vores brugere,” SafeMoon sagde i den seneste kommunikation i denne uge.

DeFi-sikkerhedsbrud i april

Tidligt denne måned led den multikæde‑bro Allbridge et angreb den 2. april. Hackeren brugte likviditetsforsyning og swap‑teknikker til at pumpe prisen på poolen og stjæle midler. Dette var muligt, da de kunne manipulere Allbridges BNB Chain‑poolers swap‑pris ved at agere både som likviditetsudbyder og swapper.

Cross‑chain‑protokollen Allbridge udnyttet

Smart‑contract‑auditor CertiK rapporterede, at den cross‑chain‑protokol mistede op til $549.874. På den anden side anslog blockchain‑sikkerhedsfirmaet PeckShield, at i alt $573.000 blev udnyttet – $282.889 i BUSD og $290.868 i USDT. På det tidspunkt sagde Allbridge, at de arbejdede med deres partnere og fællesskab for at spore hackeren på tværs af sociale netværk og sikre, at de blev holdt ansvarlige. Protokollen tilbød hackeren en bounty og juridisk immunitet, hvis de kom frem som en white hat – for at opmuntre dem til at genoprette de stjålne midler.

1.500 BNB returneret

Det ser ud til, at hackeren valgte muligheden og returnerede 1.500 BNB ($465.000), som blev konverteret til BUSD for at hjælpe med at afregne de berørte personer, mens de resterende stjålne penge blev efterladt som en white‑hat‑bounty. Allbridge‑teamet bemærkede også, at en anden angriber brugte samme teknik til at dræne midler, som endnu ikke har kontaktet dem for at diskutere forliget – Allbridge havde delt en wallet‑adresse for denne påståede udnytter, som havde en saldo på 0,97 BNB, svarende til $302,5. På tirsdag delte Allbridge i en tweet, at de havde afsluttet den første runde af genopretningsbetalinger for den gruppe af indsendelser, der var indsendt pr. 9. april, mens de opfordrede dem med udestående problemer til at gennemføre kompensationsprocessen for udnyttelsen.

Efterspillet af SushiSwap‑udnyttelse

I en anden hændelse rapporterede blockchain‑sikkerheds‑ og efterretningsfirmaet PeckShield tidligt søndag, at SushiSwap blev udnyttet, hvor én person, Twitter‑bruger oxSifu, mistede omkring $3,3 millioner. Sikkerhedsfirmaet og SushiSwap‑Head Chef Jared Grey bad begge de berørte om at tilbagekalde på alle kæder. Desuden påvirkede angrebet tilsyneladende personer, der havde brugt DEX’en inden for de sidste fire dage. Udnyttelsen påvirkede SushiSwaps ‘RouterProcessor2’-kontrakt, som faciliterer handelsrouting. Ifølge PeckShield var fejlen relateret til ‘approve’-mekanismen.

 ‘Approve‑relateret’ bug efterlader nogle SushiSwap‑brugere kort

Brugere, der godkendte denne dårlige kontrakt, tillod utilsigtet udnytteren at fjerne bruger‑tokens uden at modtage godkendelse fra ejeren – eller ‘yoinke’ dem, som man kan sige. Ifølge Brad Kay, analytiker hos The Block Research, udnyttede den oprindelige angriber, tilsyneladende en white‑hat‑hacker, ‘yoink’-funktionen til at udnytte SushiSwap‑routerkontrakten for 100 ETH, hvorefter en anden person udnyttede den samme kontrakt til at stjæle cirka 1800 ETH, denne gang ved brug af “notyoink”-funktionen.

Genopretningsindsats

Grey bekræftede i en opdatering, at mere end 300 ETH af oxSifus tabte aktiver var blevet genvundet, med planer om at genoprette yderligere over 700 Ether. SushiSwap CTO Matthew Lilley opdaterede også, at flere redningsindsatser fortsætter, og opfordrede brugerne til at dobbelttjekke deres godkendelser og scanne for og afvise eventuelle ondsindede adresser, der muligvis er tilladt for deres tokens. Ikke desto mindre forsikrede han brugerne om, at Sushi‑protokollen er sikker at bruge, da eksponeringen til RouterProcessor2 er blevet lukket fra front‑end, hvilket sikrer, at likviditetsudbydere og swap‑aktivitet er sikre.

Ofrene blev kompenseret fuldt ud

Sushi‑chefen sagde på Discord, at teamet har til hensigt at lancere en krav‑website for tildelte tokens i protokollens Merkle Distributor‑kontrakt. Siden vil være aktiv indtil udløbsdatoen for kravene den 23. april, hvorefter uindløste SUSHI‑tokens vil blive sendt til SushiSwaps treasury. I en senere opdatering delt onsdag indikerede den Ethereum‑baserede decentraliserede børs at den planlægger at returnere de berørte kravere.“Hvis dine midler ligger i den whitehat kontrakt, så betyder det, at sikkerhedseksperter har indsamlet dine midler, de er sikre og vil være kravbare snarest. Hvis dine midler ikke befinder sig i whitehat‑kontrakten, skal du indsende en e‑mail eller åbne en ticket i vores Discord og inkludere: transaktions‑ID‑erne og blockchain‑dataene for de tabte midler. Blackhat‑midler vil tage længere tid at behandle, da teamet skal manuelt verificere legitimiteten mod on‑chain‑data, der bekræfter kravet, og derefter udbetale dem i overensstemmelse hermed,” SushiSwap tweeted.

Ethereum MEV‑bot‑angreb

I endnu en hændelse flygtede en rogue‑validator med $25 millioner efter et Ethereum MEV‑bot‑udnyttelse den 3. april. Flere Ethereum maximal extractable value (MEV)-bots, som hjælper arbitrageurs og tradere med at optimere profitmuligheder, blev ofre for et komplekst angreb, der førte til et tab på $25 millioner til en rogue‑validator.

Her er hvad der skete

CertiK forklarede, at otte MEV‑transaktioner blev målrettet, da de udførte sandwich‑handler – som indebærer at identificere tradere, der forsøger at erhverve tokens, og placere sig mellem handlen for at opnå profit. Da alle disse begivenheder fandt sted inden for en enkelt Ethereum‑blok – 6964664, bemærkede CertiK, at sandwich‑handlerne startede med få tokens, og da de begyndte at swappe millioner, erstattede den rogue‑validator de omvendte transaktioner.

I alt $25,39 millioner kom i de forkerte hænder, med en opdeling offentliggjort af sikkerhedsfirmaet som – 64,9 WBTC, 7.460,8 WETH, 5.297.649,9 USDC, 3.027.396 USDT og 1.698.384 DAI. På tidspunktet for skrivning er midlerne stort set holdt i tre wallets. CertiK betegner det som en af de største MEV‑bot‑udnyttelser nogensinde, hvor det sidste store hack fandt sted i september 2022, da 800 ETH i MEV‑arbitragegevinster blev stjålet på grund af en bot‑sårbarhed.

Samtidig betegnte blockchain‑auditor OtterSec det som et overvejet angreb, da angriberen havde forudindlæst deres wallet for mere end to uger siden. CertiK fastslog, at botterne havde fejlet i at identificere node‑validatoren som ondsindet og knyttede den udnyttede svaghed til centraliseringen af magt blandt validatorer.

Flashbots implementerede en funktionel rettelse

Flashbots, skaberen af Ethereums primære MEV‑program, MEV‑Boost, har siden taget skridt til at forhindre lignende problemer i at gentage sig. Teamet implementerede en ny funktion, der kræver, at relayers (som fungerer som den betroede mellemmand mellem blok‑byggere og validatorer) signerer en blok og offentliggør den på Beacon Chain, før den overleveres til forslagsstilleren. Dette skridt var tidligere manglende og kan nu hjælpe med at reducere sandsynligheden for, at en forslagsstiller afviger fra de modtagne indhold af en relay. Derudover fortalte CertiK til CoinTelegraph, at andre MEV‑søgere måske bliver tilbageholdende med at engagere sig i ikke‑atomare strategier, herunder sandwich‑handel, da de ser ud til at være hovedmålet.

Tether sortlister knyttet til et MEV‑udnyttelse

I denne uge skrev stablecoin‑udstederen Tether i en tweet den 10. april, at de havde blokeret adressen ‘Sandwich the Ripper’, som er forbundet med den seneste MEV‑udnyttelse. Tether‑adressen indeholdt $3 millioner i USDT, som ikke længere kan flyttes. Udnytteren besidder en større sum af byttet, inklusive $14,3 millioner i Wrapped Ethereum (WETH) og mere end $3,6 millioner i andre aktiver. Tether syntes at have handlet i god tro og på rimelige grundlag. Ikke desto mindre blev beslutningen kritiseret af grupper, der mener, at trinnet sætter et “dårligt præcedens” i kryptoverdenen. Tethers bloklistehandlinger kan fortolkes som censur af transaktioner, hvilket antyder en centraliseret myndighed fra stablecoin‑udstederen. Kritikerne pegede på bekymringer om potentiel magtmisbrug og implikationerne for DeFi‑nichen.

Euler åbner indløsninger efter forhandling om returnering af alle stjålne midler

Euler Finance sagde i denne uge, at de modtog den sidste tranche af tilbagebetalinger efter forhandlinger om $197 millioner i kryptovaluta, der blev stjålet sidste måned. Protokollen meddelte, at alle genvindelige midler var blevet genoprettet, hvilket effektivt afsluttede $1 million‑belønningsprogrammet for information om hacken. Blockchain‑analysefirmaet Arkham Intelligence bekræftede, at den tilladelsesfrie låneprotokol modtog 10.580 ETH svarende til $19 millioner på mandag og yderligere $12 millioner i DAI fordelt på tre transaktioner. Efter incidenten den 21. marts foreslog Euler en belønning på $19,7 millioner – svarende til 10 % af det stjålne beløb – til gerningsmanden bag tyveriet. Derudover advarede de om, at en $1 million‑belønning ville blive givet til enhver, der leverede information om angriberen, hvis de resterende 90 % af de stjålne midler ikke blev returneret. Selvom de oprindeligt hvidvaskede $1,8 million via Tornado Cash, begyndte angriberen at returnere pengene den 18. marts – startende med $1,8 million. Udnytteren fortsatte med at sende pengene, hvor den største returnering var en samlet sum på 58.737 ETH, svarende til $102 millioner, den 24. marts. På tidspunktet for skrivning var i alt 95.556 ETH og 43 millioner DAI blevet genvundet, mens en sum på 1.100 ETH blev anset som uoprettelig, da den var sendt til den sanktionerede coin‑mixer. Midt i alt dette undskyldte hackeren i en række on‑chain‑beskeder for omkring to uger siden og lovede at overgive alle resterende midler. De tokens, der blev overført tilbage på mandag, bragte de samlede genvundne midler fra hacken op på over $177 millioner. Dette udgør 90 % af de forventede genvindelige midler efter at have taget højde for den 10 % bounty, som Euler‑teamet tilbød. Den Ethereum‑baserede ikke‑deponerende låneprotokol sagde senere, at den siden har tilladt brugerne at indløse de genvundne midler, hvilket bringer flash‑loan‑udnyttelsen, der involverede al slags kaos, til en ende. DeFi‑forsikringsselskabet Nexus Mutual, som betalte $2,4 million i krav for deres tab, der kan tilskrives hacken, krævede, at Euler foretog en refundering. Nexus påstod at have støttet Euler ved at dække tabene, dog mistede ingen brugere teknisk set deres aktiver med tilbagebetalingen af midlerne.

Andre rapporterede hændelser med sikkerhedsbrud

MetaPoint, et metaverse‑projekt, rapporterede i denne uge, at de var blevet udnyttet af en angriber, der stjal 2.515 BNB. Hackeren sendte midlerne til Tornado Cash, sagde PeckShield. Metaverse‑projektet bekræftede hændelsen på Telegram og tilføjede, at de havde suspenderet al drift.

Terraport Finance syntes også at have været offer for et sikkerhedsbrud, kun to uger efter lanceringen. Rapporter, der dukkede op den 10. april, detaljerede, at protokollens likviditets‑wallet var blevet hacket for 2 millioner. Terraport sagde i en opdatering, at de var opmærksomme på hændelsen og undersøgte udstederen efter at have sikret platformen.

Uden for DeFi sagde den sydkoreanske kryptobørs GDAC i denne uge sagde, at de var blevet hacket for næsten $14 millioner. Børsen suspenderede midlertidigt ind- og udbetalinger for at udføre nødvendig afhjælpning, sagde CEO Han Seunghwan, mens han bekræftede, at de tabte midler udgjorde lidt over 20 % af deres samlede deponerede aktiver. Hackeren fik angiveligt kontrol over nogle af børsens hot‑wallets tidligt den 9. april (koreansk standardtid), før de flyttede midlerne til den wallet, de kontrollerer. GDAC mistede omkring 61 BTC, 350,5 ETH, 220.000 USDT og 10 millioner af WEMIX‑gaming‑valutaen. Udbrydningstjenester forbliver utilgængelige: Seunghwan sagde, at børsen er dedikeret til at undersøge sagen og endnu ikke har udarbejdet en plan for at genoptage de aktuelt deaktiverede tjenester. GDAC‑angrebet markerer årets første store hack af en centraliseret kryptobørs, kun lidt over et årti siden Crypto.com blev hacket for over $15 millioner i januar sidste år.

HTX og Gala Games har forpligtet $50 millioner til at kompensere parter, der er berørt af pGALA‑incidenten

Efter et nyligt samarbejde mellem Gala Games og kryptobørsen HTX for at styrke den førstnævnte’s Web3‑økosystem, har duoen annonceret en plan om at distribuere kryptovaluta og softwarelicenser til en værdi af op til $50 millioner til GALA‑token‑indehavere, der led tab i en utility‑token‑svindel på platformen sidste november.

De to vil dele de $50 millioner i kompensation ligeligt – HTX’s andel vil være $25 millioner, bestående af kontanter og brugerfordele, der udgør 15 millioner USDT og 10 millioner aktier. På den anden side vil Gala Games udstede $25 millioner i node‑licenser, og programmet forventes at starte i denne uge.

Den pågældende hændelse involverede hackere, der mintede $1 milliard i pGALA – en wrapped token af GALA udstedt af pNetwork på BNB Chain. Da tokenerne blev dumpet på PancakeSwap, var angriberne i stand til at dræne $4,5 millioner fra likviditetspoolen og alvorligt skade GALA’s token‑pris.

En retssag mod pNetwork er på vej

GameFi‑projektet initierede sidste måned en retssag mod pNetwork for deres rolle i angrebet. Retssagen påstod, at hændelsen forårsagede Gala Games $25 millioner i skader og krævede $27,7 millioner for at dække de udlægte omkostninger relateret til bruddet, yderligere kompensation for skader, strafskadeerstatning og anden lettelse. Derudover inviterede platformen andre berørte parter til at kontakte deres juridiske team for at deltage i jagten på kompensation. HTX indikerede i den seneste meddelelse, at de støtter disse bestræbelser. I tilfælde af en gunstig dom vil eventuelle tildelte erstatninger, fratrukket juridiske omkostninger, blive konverteret til GALA‑tokens og derefter brændt.