Næsten 600 mio. dollar stjålet: Fra Uptober til Hacktober

2022 blev omtalt som et rekordår for kryptohacks. Allerede den 12. oktober beskrev analysefirmaet Chainalysis oktober som årets hidtil hårdest ramte måned målt på stjålne beløb. Den foreløbige opgørelse lød på over 3 mia. dollar i årets løb og 718 mio. dollar fra 11 angreb på DeFi-protokoller i oktober indtil da; det var ikke en afsluttende månedsopgørelse.

Tidligere ramte store kryptohacks ofte centraliserede børser (CEX). I 2022 var DeFi-platforme og broer mellem blockchains særligt udsatte. Den omtalte oktoberopgørelse omfattede tre angreb på sådanne broer med et samlet beløb på næsten 600 mio. dollar. Blandt de markante DeFi-angreb var hændelsen hos Mango Markets på Solana.

Angreb i Solanas økosystem

Kryptosektoren havde allerede oplevet flere angreb, også mod tjenester i Solanas økosystem. Den 11. oktober 2022 blev Mango Markets ramt for over 100 mio. dollar. Angriberen påvirkede markedskursen på styringstokenet MNGO, som blev aflæst af et prisorakel, og udnyttede den oppustede værdi af sine positioner til at optage lån uden tilstrækkelig reel sikkerhed. Det var et angreb på applikationens pris- og risikostyring, ikke dokumentation for et brud på Solanas grundprotokol.

Omkring 24 timer efter angrebet blev der rapporteret et fald i den samlede værdi bundet i Solanas DeFi-økosystem (TVL) fra 1,32 mia. dollar til omkring 1 mia. dollar. Artiklens øjebliksbillede angav cirka 985 mio. dollar; tallet vedrører økosystemet og må ikke forveksles med Mango Markets alene.

Angriberen fremsatte også et ultimatum til Mango-fællesskabet. Forslaget »Repay bad debt« på Mangos DAO-platform gik ud på at bruge omkring 70 mio. USDC fra fællesskabets beholdning til at dække uerholdelig gæld. Til gengæld lovede angriberen at sende blandt andet MNGO og SOL tilbage til bestemte adresser, hvis betingelserne blev opfyldt. Artiklen beskriver det første tilbud som afvist; det må ikke forveksles med den efterfølgende, særskilte aftale om delvis tilbagelevering af midler.

I august 2022 var tusindvis af Solana-wallets blevet tømt for flere millioner dollar. Tidlige opgørelser omtalte cirka 8.000 berørte wallets, herunder Phantom-wallets. Solana Foundations undersøgelse knyttede hændelsen til lækkede private nøgler fra Slope-appen og genbrug eller import af de samme gendannelsesfraser i andre wallets. Der blev ikke fundet en sårbarhed i selve Solana-protokollen; almindelig import af en wallet var ikke i sig selv forklaringen.

BNB Chain blev også ramt

BNB Chain, der har tilknytning til Binance-økosystemet, blev også angrebet i oktober 2022. En fejl i BSC Token Hub-broen gjorde det muligt at skabe 2 mio. uautoriserede BNB til en daværende værdi på over 500 mio. dollar. Hele beløbet blev ikke flyttet ud af netværket, og hændelsen var ikke et tilsvarende tyveri fra den centraliserede Binance-børs. Netværket havde i alt 44 validatorer, hvoraf 26 var aktive ifølge BNB Chains egen redegørelse. De aktive validatorer blev kontaktet for at standse BNB Smart Chain midlertidigt. Muligheden for at koordinere stoppet gav anledning til debat om centralisering.

Ondsindede angribere bruger forskellige metoder. Nogle angreb bygger på social manipulation, hvor en bruger narres til at udlevere fortrolige oplysninger. At brugeren selv indtaster oplysningerne, gør ikke videregivelsen informeret eller tilsigtet. Andre angreb er teknisk avancerede og kræver omfattende forberedelse.

Sådan kan risikoen for kryptohacks begrænses

Angreb kan ramme både projektteamet og brugerne hårdt. Angriberne udvikler løbende deres metoder og leder efter nye sårbarheder.

Grundige, uafhængige sikkerhedsgennemgange af kode, især smarte kontrakter, kan hjælpe udviklere med at finde og rette fejl, før de udnyttes. Både grundlæggende og videregående undervisning i kryptosikkerhed kan desuden gøre brugerne bedre til at genkende social manipulation og mindske visse angrebsrisici. Hverken revision eller undervisning er dog en garanti mod tab.

Sikkerheden omkring API-nøgler, eksterne data og blockchain-orakler er også vigtig. FTX-brugeres omtalte tab efter phishing af API-oplysninger illustrerer en anden angrebsvej end prismanipulationen hos Mango Markets. Her udnyttede angriberen prisdannelsen og protokollens afhængighed af et prisorakel. Mere decentraliserede datakilder og kontrolmekanismer kan begrænse enkelte fejlpunkter, men data bliver ikke automatisk korrekte eller uangribelige, fordi de registreres på en blockchain. Decentraliseret Web3-infrastruktur kræver fortsat robuste orakler, adgangskontrol og risikostyring.