Kokomo, Swerve ja muut DeFi-tietoturvatapaukset: maaliskuun 2023 katsaus

Hajautettu rahoitus eli DeFi kasvoi nopeasti noin vuodesta 2017 alkaen. Artikkelissa lainattujen DeFiLlama-tietojen mukaan kokonaislukittu arvo eli TVL oli joulukuussa 2021 noin 180,38 miljardia dollaria. Kasvuun vaikuttivat kryptovarojen kysyntä ja osallistumisesta maksetut kannustimet. Tässä tarkastellaan tietoturvatapauksia maaliskuun 2023 lopun näkökulmasta.

DeFi:n kasvu. Lähde: DeFiLlama

Toisaalta tämä nopeutunut kasvu ja siihen liittyvä likviditeetti on samanaikaisesti houkutellut epäilyttäviä toimijoita, jotka pyrkivät hyödyntämään alassa olevia haavoittuvuuksia.

Krypto- ja DeFi-hyökkäysten luonne

Maaliskuuta 2023 edeltävinä vuosina tapahtui useita suuria kryptovarkauksia. Menetelmiin kuuluivat huijaukset, rug pull -tapaukset, älysopimusten haavoittuvuuksien hyödyntäminen ja pikalainoilla rahoitetut hyökkäykset.

DeFi-hyökkäysten historia

Rug pull -huijauksessa projektin hallinnoijat esimerkiksi poistavat likviditeetin tai käyttäjien varat ja hylkäävät projektin. Pikalaina eli flash loan on itsessään laillinen työkalu: lainaa saa ilman etukäteisvakuutta, kunhan pääoma ja kulut maksetaan takaisin saman transaktion aikana. Hyökkääjä voi käyttää pääomaa esimerkiksi puutteellisen hintaoraakkelin tai tarkistuksen hyväksikäyttöön. Pörssihinnan manipulointi on yksi mahdollinen hyökkäystapa, ei kaikkien pikalainahyökkäysten määritelmä.

DeFi-hyökkäystyyppien jakauma

Muita haavoittuvuuksia ovat älysopimusvirheet sekä oraakkeli- ja hallintohyökkäykset. Hallintohyökkäyksessä pyritään saamaan riittävästi äänivaltaa, jotta hyökkääjää hyödyttävä ehdotus voidaan toteuttaa.

Aiemmat krypto- ja DeFi-tietoturvatapaukset

Crystalin helmikuun 2023 raportissa laskettiin vuodesta 2011 alkaen 231 DeFi-hyökkäystä ja noin 4,81 miljardin dollarin varkaudet. Yhdessä muiden tietomurtojen ja petosten kanssa kokonaissumma oli noin 16,7 miljardia dollaria. Noin 4,18 miljardia dollaria tarkoitti raportin kaikkia vuoden 2022 tapauksia, ei kumulatiivisia DeFi-menetyksiä. Roninin maaliskuun 2022 hyökkäys oli suurimpia: siinä vietiin 173 600 ETH ja 25,5 miljoonaa USDC:tä, arvoltaan yli 600 miljoonaa dollaria arvostushetkestä riippuen.

Kryptovarkauksia on tapahtunut muun muassa Mt. Goxin kesäkuun 2011 tietomurrosta lähtien. Vuosittaiset menetykset eivät silti kasva poikkeuksetta joka vuosi. Artikkelissa käytetyn laskennan mukaan vuoden 2022 kymmenen suurinta DeFi-hyökkäystä aiheuttivat yli 2,6 miljardin dollarin menetykset, ja DeFiLlama kirjasi koko vuodelle yli 3 miljardia dollaria. Eri lähteet voivat käyttää erilaisia tapausrajauksia, arvostuksia ja palautettujen varojen laskentaa.

Alkuperäinen artikkeli lainasi maaliskuun 2023 lopulla väliaikaista laskentaa, jossa oli 19 krypto- ja DeFi-tapausta ja yli 372 miljoonan dollarin varkaudet. Rekt Database ilmoitti tammikuulle noin 14,6 miljoonaa ja helmikuulle 142,4 miljoonaa dollaria. Kyse on lähteen historiallisista tilannekuvista.

Menetetyt ja palautetut varat. Lähde: Rekt Database

Maaliskuussa tapahtui lisää suuria hyökkäyksiä. Artikkelissa verrattiin vielä keskeneräistä vuoden 2023 ensimmäistä neljännestä noin 1,2 miljardin dollarin menetyksiin vuoden 2022 ensimmäisellä neljänneksellä. Väliaikainen laskenta ei ole lopullinen neljännesvuositulos.

Keskeisiä hyökkäyksiä ja niiden seurauksia

Esimerkkejä olivat BonqDAO:n tapaus 1. helmikuuta ja Platypus Financen tapaus 16. helmikuuta 2023. BonqDAO:ssa luotiin luvatta noin 100 miljoonaa BEUR-tokenia. Usein mainittu 120 miljoonan dollarin vahinko oli nimellinen arvostus, ei hyökkääjän kokonaan rahaksi muuttama saalis. Protokollan mukaan yli 98 miljoonaa BEUR-tokenia jäi ilman myyntilikviditeettiä. Platypusin alkuperäiset menetykset olivat noin 8,5 miljoonaa dollaria, joista noin 2,4 miljoonaa USDC:tä palautettiin pian.

CertiK raportoi Kokomo Financen epäillystä poistumishuijauksesta

CertiK varoitti 26. maaliskuuta 2023 Optimism-verkossa toimivan Kokomo Finance -lainaprotokollan epäillystä poistumishuijauksesta. Yhtiö havaitsi KOKO-tokenin hinnan jyrkän laskun sekä verkkosivuston ja sosiaalisten tilien katoamisen.

CertiKin mukaan KOKO-tokenin käyttöönottanut osoite 0x41BE… loi cBTC-hyökkäyssopimuksen. Palkkioparametreja muutettiin, lainaaminen keskeytettiin ja sopimuksen toteutus korvattiin haitallisella versiolla. Osoite 0x5a2d… oli antanut luvan käyttää 7 010 Sonne Financen soWBTC-kuittitokenia. Kyse ei ollut 7 010 tavallisesta WBTC-tokenista. CertiK selitti tapahtumia myöhemmässä julkaisussa. Hyökkääjä kutsui menetelmää 0x804edaad siirtääkseen soWBTC-tokenit osoitteeseen 0x5C8d…. Lopulta 7 010 soWBTC-tokenia vaihdettiin noin 141 WBTC:hen, joiden arvo oli tuolloin noin 4 miljoonaa dollaria. Myöhemmässä analyysissa CertiK arvioi käyttäjien kokonaismenetyksiksi noin 4,5 miljoonaa dollaria.

Kokomo Finance oli uusi projekti, joka alkuperäisen uutisen mukaan käynnistyi 25. maaliskuuta 2023.

Kokomo Financen ketjuanalyysi

0xGuardin tekemä tietoturva-arvio maaliskuulta antoi useimmille tarkistuskohdille hyväksytyn tuloksen ja huomautti muun muassa vaikutuksettomasta koodista ja kirjoitusvirheistä. Tämä ei sulkenut pois hallinnoijien valtuuksien väärinkäyttöä. Tapauksen jälkeen KOKO:n hinta laski voimakkaasti.

Hallintohyökkäyksen yritys toimettomaan Swerve Financeen

Maaliskuussa 2023 käyttäjät raportoivat epäilyttävästä hallintotoiminnasta Swerve Financessa, joka oli pitkälti hylätty Curve-haara Ethereumissa. Toimija yritti saavuttaa vaaditun äänikynnyksen. Projektin toimettomuus ei tarkoita todettua konkurssia.

Ehdotus kohdistui sopimukseen, jossa oli noin 1,3 miljoonaa dollaria DAI-USDC-USDT-poolin vakaavaluuttoja. Wintermuten tutkija Igor Igamberdiev julkaisi analyysin, jossa hän yhdisti ketjutapahtumia ”silvavault”-projektin taustahenkilöön. Kyse oli tutkijan esittämästä tunnistuksesta, ei tuomioistuimen ratkaisusta.

Igamberdiev viittasi muun muassa Tornado Cashin kautta tehtyihin siirtoihin. Hänen nimeämänsä joaorcsilva-tili vastasi syytöksiin ja kiisti toimineensa pahantahtoisesti. Selitys ei poistanut hallintomenettelyn teknisiä riskejä.

Euler Finance -hyökkääjä palautti huomattavan osan varoista

Euler Financesta vietiin 13. maaliskuuta 2023 noin 197 miljoonan dollarin arvosta varoja. Tiimi rajoitti haavoittuvuutta, mutta ei aluksi saanut varoja takaisin. Ensimmäisten yhteydenottojen epäonnistuttua ilmoitettiin miljoonan dollarin palkkiosta tiedoista, jotka johtaisivat pidätykseen ja varojen palauttamiseen.

Euler-hyökkäyksen siirtoja. Lähde: Twitter/BlockSec

Hyökkääjä palautti 18. maaliskuuta kolmessa siirrossa yhteensä 3 000 ETH. Huomattava määrä varoja oli silloin vielä palauttamatta.

Hyökkääjä lähetti 25. maaliskuuta noin 51 000 ETH käyttöönottajaosoitteeseen. Samana päivänä seurasi toinen 7 737 ETH:n siirto. Ne olivat merkittäviä palautuksia. Alkuperäinen markkinakatsaus kertoi EUL-tokenin nousseen hieman yli 2,50 dollarista 4,30 dollariin ja laskeneen sitten noin 3,80 dollariin. Hinnat koskivat EUL:ia, eivät ETH:ta. Euler Foundation ilmoitti myöhemmin 4. huhtikuuta, että kaikki palautettavissa olevat varat oli saatu takaisin, ja lopetti palkkiokampanjan.

EUL:n historiallinen hinta. Lähde: TradingView

Euler-hyökkäyksen varoja siirrettiin Tornado Cashiin. Myös Ronin Network -hyökkäyksessä havaittiin sekoittimen käyttöä.

Kansainvälinen operaatio ChipMixeriä vastaan maaliskuussa 2023

Europol ilmoitti 15. maaliskuuta 2023 Saksan ja Yhdysvaltain viranomaisten kansainvälisesti tuetusta operaatiosta ChipMixeriä vastaan. Viranomaisten mukaan palvelussa oli käsitelty vuodesta 2017 noin 152 000 BTC:tä; Yhdysvaltain oikeusministeriö puhui yli 3 miljardin dollarin rahanpesusiirroista. Yhdysvaltain viranomaiset kertoivat Saksan takavarikoineen taustapalvelimet ja yli 46 miljoonan dollarin kryptovarat, joihin kuului noin 1 909,4 BTC. Yhdysvallat takavarikoi verkkotunnuksia ja GitHub-tilin.

Tornado Cashin pakotteet asetti 8. elokuuta 2022 Yhdysvaltain valtiovarainministeriön OFAC, ei oikeusministeriö vuoden 2023 alussa. Sekoittimet voivat vaikeuttaa rahojen alkuperän selvittämistä, mutta eivät tee jäljitystä aina mahdottomaksi. Pakotteet olivat voimassa artikkelin ajankohtana; valtiovarainministeriö poisti Tornado Cashin pakotelistalta maaliskuussa 2025.

FBI liitti Harmony Horizonin 100 miljoonan dollarin varkauden Lazarukseen

Harmony Horizon -siltaan kohdistuneessa, 24. kesäkuuta 2022 raportoidussa hyökkäyksessä vietiin noin 100 miljoonan dollarin arvosta erilaisia kryptovaroja. Harmonyn ilmoitus kertoi yhteistyöstä viranomaisten kanssa syyn selvittämiseksi ja varojen palauttamiseksi. FBI vahvisti tammikuussa 2023 yhteyden pohjoiskorealaiseen Lazarus-ryhmään, jota tiedotteessa kutsuttiin myös APT38:ksi. Ketjuanalyytikot olivat myös yhdistäneet hyökkäyksen samoihin toimijoihin.

Lazarus yhdistettiin myös vuoden 2022 Ronin-hyökkäykseen. FBI:n mukaan pohjoiskorealaiset toimijat käyttivät 13. tammikuuta 2023 RAILGUNia yli 60 miljoonan dollarin varastetun ETH:n alkuperän peittämiseen. Osa siirrettiin kryptopörsseihin ja vaihdettiin bitcoineiksi. Jäljityksen avulla palveluntarjoajat tunnistivat, jäädyttivät ja palauttivat osan varoista. FBI julkaisi myös yksitoista Ethereum-osoitetta, jotka liittyivät jäljellä oleviin varoihin.

Wormhole-hyökkäyksen jatkovaiheet

Wormholeen liittyviä varoja käytettiin velkavivulla sijoittamiseen

Tammikuussa 2023 aktivoitui osoite, joka yhdistettiin helmikuun 2022 Wormhole-hyökkäykseen. Tuolloin luotiin 120 000 katteetonta wETH-tokenia, arvoltaan noin 320 miljoonaa dollaria. Tutkijat havaitsivat osoitteen siirtävän noin 95 630 ETH, tuolloin noin 155 miljoonaa dollaria, ja tekevän OpenOceanissa vaihdon noin 96 677 Lidon stETH-tokeniin.

Tämän jälkeen noin 86 473 stETH paketoitiin wstETH:ksi. Niistä 25 000 wstETH käytettiin vakuutena 13 miljoonan DAI:n lainalle. Lainatuilla varoilla ostettiin muun muassa noin 8 000 stETH Kyberissä ja tehtiin muita siirtoja esimerkiksi 1inchin kautta. Vielä noin 1,5 miljoonaa DAI vaihdettiin 923 stETH:hen. Näin ETH-altistusta kasvatettiin lainarahalla.

Muita noin 61 miljoonan dollarin varoihin liittyviä siirtoja

PeckShield havaitsi helmikuussa 2023 lisää toimintaa Wormholeen liittyvässä lompakossa, muun muassa noin 46 miljoonan dollarin varojen siirtoja. Noin 95 630 ETH:n ja 155 miljoonan dollarin OpenOcean-siirto oli edellä kuvattu tammikuun tapahtuma, ei erillinen osoitettu siirto 12. helmikuuta.

Lainatun analyysin mukaan varoja vaihdettiin noin 16,6 miljoonaksi DAI:ksi ja MakerDAO:hon talletettiin vielä noin 8 800 wstETH, tuolloin noin 15 miljoonaa dollaria. Tutkijat pitivät tätä tuoton tai arbitraasin tavoitteluna. Wormholen alkuperäinen 10 miljoonan dollarin palautuspalkkiotarjous oli tuolloin jäänyt vaille vastausta. Oasis kertoi myöhemmin palauttaneensa 21. helmikuuta 2023 Englannin ja Walesin High Courtin määräyksestä tiettyjä Wormholeen liittyviä varoja ja siirtäneensä ne oikeuden valtuuttamalle osapuolelle.