I cattivi attori continuano a infestare DeFi: gli exploit di Euler e Poolz Finance ultimi esempi

Oltre 3,8 miliardi di dollari di asset digitali – se si considerano i casi non segnalati – sono stati persi a vari gruppi di attori malintenzionati che hanno sfruttato falle nei contratti intelligenti delle piattaforme lo scorso anno. Il rapporto di Chainalysis che evidenzia questa statistica allarmante ha inoltre sottolineato che la maggior parte di questa somma era associata al settore della finanza decentralizzata (DeFi), etichettando di fatto lo spazio come un focolaio di aggressori. SlowMist, un altro studio di sicurezza blockchain, ha evidenziato nel suo rapporto annuale sugli incidenti di sicurezza crypto che il 2022 ha registrato il più alto numero di incidenti di sicurezza che hanno colpito le blockchain. Sono stati segnalati un totale di 303 casi di compromissione della sicurezza, una cifra del 28% in più rispetto agli anni precedenti. Nel frattempo, la stima delle perdite aggregate si aggira intorno a 3,77 miliardi di dollari – una discrepanza giustificabile rispetto ad altri report.

Gli exploit DeFi non stanno rallentando

Il rapporto di SlowMist indicava che gli exploit riguardavano principalmente phishing e rug pull, mentre i bridge cross-chain hanno subito colpi pesanti. Gli exploit sui bridge Ronin, Wormhole, Nomad e Harmony hanno provocato perdite superiori a 1,2 miliardi di dollari. Oltre ai sistemi cross-chain, gli aggressori hanno anche preferito sfruttare le vulnerabilità dei contratti DeFi. L’industria sembrava stare recuperando dal problema diffuso verso la fine dell’anno.

CertiK ha osservato separatamente che i furti di dicembre, per un totale di 62,2 milioni di dollari, sono stati il valore mensile più basso del 2022, l’anno in cui FTX Wallet e il Ronin Bridge hanno perso complessivamente 1,09 miliardi di dollari in crypto. 15,5 milioni di dollari, quasi un quarto della somma totale dei furti di criptovalute, sono stati rubati tramite truffe di uscita, mentre gli exploit di flash loan hanno causato perdite per 7,6 milioni di dollari. Gli incidenti di dicembre sono stati guidati dalla perdita di 15 milioni di dollari di Helio Protocol come effetto a catena dell’exploit di prezzo di Ankr Reward Bearing Staked BNB (aBNBc). La società di audit di smart contract ha inoltre dettagliato che l’attacco ai prodotti V1 e V2 di Defrost Finance ha provocato una perdita di 12,9 milioni di dollari, che è stata successivamente restituita. Bitkeep ha perso 8 milioni di dollari, un lavoro interno ha lasciato Ankr in deficit di 7 milioni di dollari, e Lodestar ha perso 6,5 milioni di dollari dopo un exploit del prezzo del token plvGLP di PlutusDAO, completando i primi cinque hack osservati lo scorso mese.

A metà marzo, quest’anno ha già mostrato segni di superare la frequenza degli exploit dell’anno scorso e i fondi cumulativi persi a causa degli hacker.

Il lending non-custodial Euler Finance subisce il più grande hack del 2023

Nella recente dimostrazione di queste preoccupanti attività, un(i) attaccante(i) ha sottratto quasi 200 milioni di dollari di asset crypto dal protocollo di lending Euler Finance il 13 marzo in un caso da allora confermato di attacco flash loan. CertiK Alerts, la pagina di monitoraggio di hack e truffe associata a CertiK, è stata tra le prime a segnalare gli sviluppi, sebbene all’epoca fossero stati sottratti circa 41 milioni di dollari. Successivamente la pagina di avviso ha aggiornato che l’attaccante aveva drenato stablecoin decentralizzate e token ERC-20 sintetici del protocollo per un valore di circa 198 milioni di dollari in più transazioni, includendo 96.800 ETH e 43,6 milioni di DAI, rendendolo il più grande exploit DeFi finora quest’anno.

Gli attori hanno inviato gli asset rubati a due portafogli – uno contenente 34.186.225 DAI e 88.752 ETH e l’altro circa 88.775.07 token DAI, come mostrano i dati on-chain. Il protocollo basato su Ethereum ha dichiarato di aver coinvolto team di sicurezza blockchain, tra cui TRM Labs, Chainalysis e altre agenzie di applicazione della legge, per affrontare la questione. PeckShield, che ha avvisato Euler del drenaggio, ha condiviso in un altro breve appunto di aver identificato la causa. L’attaccante ha sfruttato specificamente un bug nell’esecuzione della funzione ‘donateToReservers ()’ per liquidarsi dal protocollo, rimborsare il prestito e simultaneamente realizzare un profitto.

Euler affronta la vulnerabilità, lavorando per recuperare i fondi sottratti

Gli sforzi collaborativi sono riusciti infine a fermare l’exploit disabilitando il modulo vulnerabile e bloccando di conseguenza i depositi, ma i danni si erano estesi a più di una dozzina di altri protocolli. Balancer ha rivelato che l’incidente ha colpito il pool Boosted USD (bbe-USD) di Euler Finance – quasi due terzi del suo valore totale bloccato sono stati sottratti quando è stata eseguita la decisione di metterlo in pausa. Angle Protocol ha anche aggiornato i suoi follower sull’esposizione all’exploit poiché il suo modulo core ha allocato fondi in Euler, Compound e Aave.

“Se i fondi dell’hack (17.614.940,03 USDC) fossero definitivamente persi, il TVL del modulo Core scenderebbe a circa 18,4 milioni di dollari. Se i fondi dell’hack (17.614.940,03 USDC) fossero definitivamente persi, il TVL del modulo Core scenderebbe a circa 18,4 milioni di dollari. In questo caso, l’ammontare delle riserve nel modulo Core diventerebbe inferiore al valore delle pretese dei detentori di agEUR, dei fornitori di liquidità standard e degli agenti di copertura rimanenti nel protocollo, nel suo complesso.”

Anche Yearn Finance ha riferito di aver perso fondi a causa dell’hack. Sherlock, un team di audit con precedenti collegamenti a Euler, ha verificato la causa dell’exploit. Nei suoi rapporti, il team ha criticato un audit condotto da un altro gruppo, WatchPug, nel luglio 2022 per non aver identificato la vulnerabilità. Per i prossimi passi di recupero, il team del protocollo di lending ha presentato una sorta di offerta agli hacker, promettendo di mettere una ricompensa se i responsabili non avessero risposto. La suddetta ricompensa di 1 milione di dollari è stata da allora annunciata pubblicamente.

“Euler Foundation sta lanciando una ricompensa da 1 milione di dollari nella speranza che ciò fornisca un incentivo aggiuntivo per informazioni che portino all’arresto dell’attaccante del protocollo Euler e al ritorno di tutti i fondi estratti dall’attaccante,” Euler ha pubblicato oggi.

La piattaforma di visualizzazione e analisi blockchain Meta Sleuth ha opinato in un tweet che l’attacco è correlato a un attacco precedente in cui l’aggressore ha trasferito fondi dalla BNB Smart Chain (BSC) a Ethereum usando un bridge multichain.

“Sembra che due aggressori abbiano lanciato 6 transazioni di attacco. L’attaccante 0x5f25 ha lanciato il primo attacco, realizzando un profitto di ~8,8 M DAI. Tutti i profitti rimangono nel contratto exploit 0xebc2. Il finanziamento iniziale proviene da FixedFloat e dall’exploiter di token deflazionari 6 su BSC. L’attaccante 0xb269 ha lanciato gli altri cinque attacchi, e il profitto totale è ~186 M USD. Ora tutti i profitti rimangono in due indirizzi. 0xb269 detiene 8.080 ETH, 0xb66cd detiene 88.752 ETH e ~34 M DAI. Il finanziamento iniziale di questo attaccante proviene da Tornado Cash,” ha teorizzato l’account.

La postulazione è stata avallata da un altro account, ZachXBT. I portafogli e gli indirizzi collegati agli exploit sono 0xebc291[…] cbf99 che detiene circa 8.877.507 DAI, 0xb269[…] cedd4 il cui snapshot mostrava un saldo di 8.080,97 ETH, e 0xb66c […]995db che deteneva circa 88.753 ETH & 34.186.226 DAI.

Piattaforma di crowdfunding Web3 Poolz Finance sfruttata

Appena due giorni dopo l’incidente di Euler, un altro hacker ha rubato 390.000 dollari dal launchpad di crowdfunding cross-chain focalizzato su Web3, Poolz Finance, su Polygon e Binance Smart Chain. Una recensione del 15 marzo da PeckShield ha dettagliato che l’attività sospetta nel contratto intelligente di vesting del token indicava un ‘classico problema di overflow aritmetico’ come causa. Poolz ha condiviso un aggiornamento sull’incidente, consigliando agli utenti di interrompere il trading del token POOLZ. Oltre a segnalare l’indirizzo in questione, il team di sviluppo del launchpad ha anche rimosso liquidità da Pancakeswap e Uniswap.

Il CEO di Poolz Finance, Guy Oren, ha confermato in un tweet gli sforzi in corso per lanciare un nuovo contratto token, prevedendo che il trading sarà attivo prima della fine della giornata. È notevole che i due incidenti avvengano appena un mese dopo che Platypus, un altro protocollo DeFi, è stato sfruttato per 8,5 milioni di dollari, provocando una breve depeg del suo stablecoin USP rispetto al dollaro. Nel caso di Platypus, gli attori hanno sfruttato una falla nel controllo di solvibilità di USP per drenare il protocollo. La scorsa settimana, Hedera ha rivelato di aver sperimentato problemi tecnici che hanno mascherato una perdita di token dei pool di liquidità quando un hacker ha sfruttato il codice del contratto intelligente mainnet.

Hedera e Dogecoin: ultimi esempi di vulnerabilità nelle blockchain

Il valore totale bloccato (TVL) di Hedera è crollato verso la fine della scorsa settimana dopo che la rete è stata colpita da difficoltà tecniche che alcuni hanno ipotizzato coinvolgessero un exploit di smart contract. I dati di DeFi Llama mostrano che il TVL della piattaforma è diminuito drasticamente in meno di 24 ore a seguito di segnalazioni di irregolarità tecniche che hanno colpito diverse applicazioni decentralizzate.

La HBAR Foundation, un’organizzazione no-profit che sostiene il progetto Hedera, ha dichiarato che la rete è stata registrata con anomalie di smart contract che influenzano le applicazioni decentralizzate.

I protocolli su Hedera invitano gli utenti a prendere precauzioni

Le irregolarità tecniche del 10 marzo sono state descritte da alcuni come un attacco alla rete di livello enterprise, che ha lasciato i protocolli a correre per la sicurezza. SaucerSwap Labs, un exchange decentralizzato (DEX) operante su Hedera, ha invitato i suoi utenti a ritirare immediatamente la loro liquidità a causa dell’ipotetico exploit avvenuto sulla rete. Il protocollo ha successivamente confermato di non essere stato colpito da detto hack. L’exploit ha specificamente preso di mira il processo di decompilazione degli smart contract di Hedera, responsabile della trasformazione del bytecode del contratto in un codice più comprensibile simile a Solidity. È utile per studiare e comprendere il funzionamento di uno smart contract.

Tuttavia, gli attori malintenzionati possono anche manipolare questo processo per ottenere accessi non autorizzati allo smart contract, sebbene gli elementi specifici che l’attaccante avrebbe presumibilmente mirato in questo caso non siano completamente compresi. Inoltre, Hashport ha dichiarato di aver sospeso temporaneamente i suoi servizi di bridging a causa delle irregolarità degli smart contract, prendendo questa misura per salvaguardare la sicurezza dei fondi degli utenti. Il DEX multichain Pangolin ha invitato gli utenti a uscire da qualsiasi token HTS nei pool e farm di Pangolin. Hedera ha deciso di collaborare con le parti dell’ecosistema per determinare l’impatto potenziale dell’anomalia. Per garantire ulteriormente la sicurezza dei suoi utenti, Hedera ha disabilitato i proxy di rete sul mainnet mentre il team core esplorava le irregolarità degli smart contract, ripristinando il servizio dopo la risoluzione dei problemi. Ha confermato che la mossa non ha influenzato il consenso e che il mainnet rimane online.

Per saperne di più su Hedera, consulta la nostra guida Investing in Hedera.

I report evidenziano le debolezze nella scena DeFi

Un recente rapporto della società di sicurezza blockchain Halborn ha rivelato che fino a 280 catene, incluso Dogecoin, hanno operato pur presentando una vulnerabilità critica. In un rapporto del 13 marzo, la società ha avvertito di aver identificato la vulnerabilità in una precedente valutazione del codice sorgente open-source della rete Dogecoin nel 2022. Il progetto della meme coin ha condiviso di aver risolto il potenziale problema zero-day nella sua release Core 1.14.5 dopo aver ricevuto una segnalazione da Halborn, i cui servizi ha acquisito lo scorso marzo, per rivedere il suo codice sorgente.

La società ha identificato un’altra falla nell’esecuzione di codice remoto RPC (Remote Procedure Call) che colpisce i singoli miner su Dogecoin. Gli sviluppatori della rete hanno da allora esortato gli utenti ad aggiornare al nodo 1.14.6. Halborn ha indicato che Litecoin e Zcash erano reti notevoli colpite da altre varianti del bug corretto, che truffatori ed exploitatori avrebbero potuto sfruttare per eseguire minacce più gravi. Anche i due progetti hanno collaborato con la società di sicurezza per affrontare le vulnerabilità maggiori.

Per saperne di più su questi progetti, visita le nostre guide Investing in Dogecoin e Investing in Zcash.