Krypto‑hyökkäykset ja DeFi‑hyökkäyksien menetykset Q2:lla ovat matkalla vastaamaan Q1:n lukuja

Älysopimusten turvallisuusyritys CertiKin kokoamien tietojen mukaan kryptovaroja menetettiin rikollisille yli 320 miljoonan dollarin arvosta vuoden 2023 ensimmäisellä neljänneksellä. Määrä oli selvästi pienempi kuin vuoden 2022 viimeisellä neljänneksellä ja vuotta aiemmin. Yhtiö liitti laskun alan vaikeuksiin näiden kolmen kuukauden aikana.

Niihin kuuluivat vakaavaluuttamarkkinoiden mullistus ja digitaalisiin varoihin ulottunut pankkikriisi. Nämä ja muut ikävät tapahtumat saivat sijoittajat siirtämään varojaan sivuun sekä vähensivät uusien tulijoiden ja pääoman kiinnostusta. Jo ennen toisen neljänneksen puoliväliä oli raportoitu uusia hyökkäyksiä, joiden tappioiden arvioitiin lähestyvän ensimmäisen neljänneksen määrää. Kyse oli tuolloisesta arviosta, ei päättyneen toisen neljänneksen tuloksesta.

Huhtikuussa menetettiin 103 miljoonaa dollaria hakkerointeihin, haavoittuvuuksien hyväksikäyttöön ja huijauksiin

Maaliskuussa kryptovaroja varastettiin noin 211 miljoonan dollarin arvosta, josta suurimman osan muodosti Euler Financen 197 miljoonan dollarin hyökkäys. Huhtikuun määrä oli hieman alle puolet tästä: CertiKin tuolloinen arvio hakkerointien, haavoittuvuuksien hyväksikäytön ja huijausten tappioista oli 103,7 miljoonaa dollaria.
Artikkelin ilmoittama vuoden neljän ensimmäisen kuukauden kokonaistappio oli 429,7 miljoonaa dollaria. Huhtikuun suuriin tapauksiin kuului Ethereumissa MEV-kaupankäyntibotteihin kohdistunut hyökkäys, jossa vilpillinen validaattori käytti hyväksi bottien transaktioita ja tappiot olivat noin 25,4 miljoonaa dollaria. Bitruen kuumasta lompakosta kerrottiin myös viedyn noin 23 miljoonan dollarin arvosta etheriä ja muita kryptovaroja.

Pikalainoja hyödyntävät hyökkäykset

Yearn Financeen liittynyt tapaus oli huhtikuun suurimpia pikalainahyökkäyksiä. Se koski vanhaa iEarn-protokollaa ja sen likviditeettipooleja. PeckShieldin 13. huhtikuuta julkaiseman arvion mukaan hyökkääjä hyödynsi yUSDT-sopimuksen virhettä ja loi vain 10 000 USDT:n avulla noin 1,3 biljardia yUSDT-tokenia. Tämä on tokenien määrä, ei niiden dollarimääräinen arvo. Vaihtojen kautta saatujen varojen arvoksi arvioitiin noin 11,6 miljoonaa dollaria. Hyökkääjä sai noin 61 000 USDP:tä, 1,5 miljoonaa TUSD:tä, 1,79 miljoonaa BUSD:tä, 1,2 miljoonaa USDT:tä, 2,58 miljoonaa USDC:tä ja 3 miljoonaa DAI:ta.
Useassa lohkoketjussa toimiva Hundred Finance menetti artikkelin käyttämän arvion mukaan 7,4 miljoonaa dollaria 15. huhtikuuta Optimismissa, Ethereumin toisen kerroksen verkossa. Hyökkäys hyödynsi WBTC-pikalainaa ja hWBTC-vaihtokurssin manipulointia. Kun neuvottelut eivät edenneet, projekti tarjosi 500 000 USDC:n palkkion tiedoista, jotka johtaisivat hyökkääjän pidättämiseen ja kaikkien varojen palauttamiseen. Hundred Finance oli menettänyt noin 6,5 miljoonaa dollaria reentranssihyökkäyksessä maaliskuussa 2022. Artikkelin mukaan poistumishuijauksissa menetettiin huhtikuussa yhteensä 9,4 miljoonaa dollaria; näihin kuului hajautettu pörssi Merlin.

CertiKin mukaan Merlinin vilpilliset kehittäjät veivät 1,8 miljoonaa dollaria

zkSyncissä toimivan hajautetun pörssin Merlinin 1,82 miljoonan dollarin menetys tapahtui MAGE-tokenin kolmipäiväisen julkisen myynnin yhteydessä huhtikuun lopulla. Pörssi oli esitellyt CertiKin tekemää auditointia ja houkutellut käyttäjiä talletusten tuotoilla. Se vahvisti tapauksen ja kehotti käyttäjiä peruuttamaan lompakoidensa käyttöluvat. CertiK kuvasi ongelmaa yksityisten avainten hallintaan liittyväksi.
CertiK korosti myöhemmin, että se oli huomauttanut keskittymisriskistä Merlinin auditointiraportin hajauttamistoimia käsittelevässä osassa. Yrityksen työn laatua kuitenkin kyseenalaistettiin. Myös zkSyncissä toimiva hajautettu pörssi ja hankkeiden julkaisualusta eZKalibur tunnisti koodin, jonka väitettiin mahdollistaneen varojen viemisen. Sen mukaan initialize-funktio loi eräänlaisen takaoven, jonka kautta sopimuksen osoitteesta voitiin siirtää rajattomasti tokeneita feeTo-osoitteeseen.

Korvaussuunnitelma on työn alla

CertiK kertoi 26. huhtikuuta selvittävänsä korvaussuunnitelmaa ja kehotti vastuullisia palauttamaan 80 % varoista sekä pitämään loput niin sanottuna valkohattupalkkiona. Yhtiön mukaan kyse oli vilpillisistä kehittäjistä eikä ulkopuolisesta hyökkäyksestä, mikä selitti likviditeetin helpon tyhjentämisen. CertiK arveli tekijöiden olevan Euroopassa ja kertoi tekevänsä yhteistyötä lainvalvontaviranomaisten kanssa, jos suorat neuvottelut eivät tuottaisi tulosta.
Myöhemmässä päivityksessä CertiK piti tapausta sisäpiiriläisten rug pull -huijauksena: Merlinin kehittäjät olisivat käyttäneet lompakko-oikeuksiaan käyttäjien varojen viemiseen. Yhteistyö jäljelle jääneen tiimin kanssa oli sen mukaan vaikeaa, koska osa avainhenkilöistä kieltäytyi todentamasta henkilöllisyyttään. Tämä vaikeutti selvitystä ja uhrien auttamista. CertiK kertoi jäädyttäneensä 160 000 dollaria varastetuista varoista ja seuraavansa loppuja. Se teki yhteistyötä Yhdysvaltain ja Britannian viranomaisten kanssa ja lupasi myös 2 miljoonaa dollaria uhrien auttamiseen ja poistumishuijausten torjuntaan.

Hakkerit manipuloivat hintatietolähdettä varastaakseen 2 miljoonaa dollaria Polygon‑lainaprotokollasta 0VIX

0VIX-lainaprotokollaan kohdistui huhtikuun lopulla hintatietolähteen manipulointiin perustunut hyökkäys, jonka tappioiksi arvioitiin aluksi yli 2 miljoonaa dollaria. Hyökkäys liittyi vGHST-tokeniin, joka edustaa Tamagotchin innoittaman Aavegotchi-lohkoketjupelin GHST-varoja GotchiVaultissa. Artikkelissa lainatun PeckShieldin arvion mukaan hyökkääjä käytti noin 6,12 miljoonan dollarin vakaavaluuttapikalainaa vGHST-lainapositioiden avaamiseen.

Hyökkääjä manipuloi vGHST:n arvon laskentaa ja lainapositiota. Sopimukselle siirretty GHST paisutti holvin tokenien vaihtosuhdetta, minkä jälkeen position likvidointi mahdollisti varojen viemisen ja jätti järjestelmään huonoa velkaa. Kyse ei ollut yksinkertaisesti koko GHST-markkinahinnan noususta. Tiimi keskeytti Polygon PoS- ja zkEVM-lainamarkkinat ja ryhtyi selvittämään tilannetta.

0VIX Protocol Association ilmoitti myöhemmin käynnistäneensä zkEVM-markkinan uudelleen, jolloin käyttäjät pääsivät varoihinsa ilman rajoituksia. Se kehotti tarkistamaan positiot ja niiden terveysluvun sekä maksamaan velat. Päivityksen mukaan zkEVM oli pysäytetty vain varotoimena, koska hyökkäys ei vaikuttanut siihen. Yhdistys pidättäytyi lisätiedoista tutkinnan suojaamiseksi ja kertoi työskentelevänsä turvallisuuskumppaniensa kanssa varojen palauttamiseksi.

Level Financen palkkiomekanismin virhe mahdollisti noin miljoonan dollarin arvoisten LVL-tokenien viemisen

Level Financesta vietiin toukokuun alussa noin miljoonan dollarin arvosta sen LVL-tokenia. BNB Chainissa toimiva käyttäjien varoja säilyttämätön spot- ja jatkuvien johdannaissopimusten pörssi vahvisti 1. toukokuuta, että hyökkäys kohdistui LevelReferralControllerV2-suosittelusopimukseen. Toistuvat palkkiolunastukset mahdollistivat noin 214 000 LVL-tokenin viemisen ja vaihtamisen 3 345 BNB:ksi.
PeckShieldin mukaan virhe mahdollisti samojen suosittelupalkkioiden lunastamisen toistuvasti saman palkkiojakson aikana. Level Finance liitti sen kannustinjärjestelmän tuoreeseen päivitykseen. Pörssi keskeytti suositteluohjelmansa hyökkäyksen pysäyttämiseksi; likviditeettipoolit ja DAO:n varat eivät kärsineet.

Deus Finance keskeytti sopimukset ja poltti DEI:n 6 miljoonan dollarin hakkeroinnin jälkeen

Deus Finance ilmoitti toukokuun alussa DEI-vakaavaluuttaan kohdistuneesta hyökkäyksestä BNB Smart Chainissa ja Arbitrumissa. Alustava arvio menetyksistä oli yli 6 miljoonaa dollaria. DEI-sopimuksen burnFrom-funktion käyttöoikeusvirhe mahdollisti luvattomat siirrot, ja osa hyökkäystransaktioista etuajettiin. Artikkeli mainitsi 1 337 375 BUSD:n viennin DEI/BUSD-poolista sekä noin 5 miljoonan dollarin menetyksen Arbitrumissa; jälkimmäinen ei tarkoita ARB/ETH-kaupankäyntipoolia. Deus keskeytti sopimuksia ja poltti ketjussa DEI-tokeneita lisätappioiden torjumiseksi. Tiimi kertoi arvioivansa DEI:n vakuuksia ja laativansa palautus- ja lunastussuunnitelman polttoa edeltävien saldojen perusteella.

Deus kertoi selvittävänsä myös, voitaisiinko hyökkäyksen jälkeiseen arbitraasiin osallistuneiden jumiin jääneitä transaktioita perua nopeasti. Sen mukaan käytössä ollut Deus v3 oli erillinen DEI:stä eikä kärsinyt tapauksesta. Se kehotti palauttamaan 80 % varoista ja pitämään loput valkohattupalkkiona. Tuolloin julkaistussa viestissä Deus kertoi, että 2 023 ETH oli palautettu palautustoimia varten perustettuun usean allekirjoituksen lompakon osoitteeseen, jota hallitsivat Yearn Financeen liittyvät luotetut jäsenet.