Scam di Uscita di Kokomo Finance e Attacco a Swerve Finance: Prova degli Sfruttamenti Diffusi di DeFi nel 2023

Il settore della finanza decentralizzata (DeFi) ha registrato una progressione fenomenale da quando è emerso seriamente intorno al 2017, ma non senza gravi contusioni. Durante questo periodo di cinque anni, lo spazio DeFi è evoluto rapidamente, come riflesso nella sua cifra di valore totale bloccato (TVL) che ha superato i 180,38 miliardi di dollari a dicembre 2021 secondo i dati di DeFi Llama. La rapida crescita di questo sottosettore crypto, soprattutto negli ultimi anni, è stata attribuita a diversi fattori, tra cui una domanda crescente di asset crypto e la natura incentivata delle offerte.

Grafico della crescita DeFi. Fonte: DeFi Llama

D’altro canto, questa crescita accelerata e la liquidità associata hanno contemporaneamente attirato attori senza scrupoli che cercano di sfruttare le vulnerabilità presenti nello spazio.

Tendenza e natura degli exploit crypto & DeFi

Negli ultimi tre anni, si è verificata un’accelerata occorrenza di incidenti di furto crypto di alto profilo. La maggior parte di questi ha coinvolto tecniche come truffe crypto, rug pull, flash loan e exploit legati a DeFi.

Storia degli hack DeFi

Per i rug pull, l’autore (o il team) solitamente gonfia il prezzo del token del progetto, per poi ritirare o rimuovere bruscamente la liquidità prima di abbandonare il progetto. Gli attacchi di flash loan, invece, mirano a vulnerabilità nelle piattaforme di prestito basate su smart contract e sono i più frequenti. Questi sfruttano la natura non garantita dei flash loan – non è necessario alcun collaterale iniziale, ma il mutuatario deve effettuare il rimborso nella stessa transazione della catena. Gli sfruttatori prendono in prestito enormi somme di asset crypto da un protocollo DeFi, poi manipolano i loro prezzi su uno scambio prima di uscire rapidamente dalla loro posizione su un altro.

Rappresentazione a torta dei tipi di hack nella storia DeFi

Altri exploit legati a DeFi includono bug di smart contract, attacchi agli oracoli e attacchi di governance. Nel caso degli attacchi di governance, gli hacker cercano di controllare sufficienti diritti di voto per eseguire proposte che avvantaggiano i loro interessi.

Violazioni di sicurezza crypto e DeFi in passato

La piattaforma di analisi blockchain Crystal ha dettagliato nel suo recente rapporto sulle violazioni di sicurezza e attività fraudolente legate alle crypto, che ci sono stati più di 230 hack DeFi dal 2011. I 4,18 miliardi di dollari in asset crypto persi a causa di questi incidenti hanno contribuito a un impressionante totale di 16,7 miliardi di dollari in criptovalute rubate nello stesso periodo. In particolare, l’exploit sulla Ronin Network, che ha visto l’attaccante sottrarre oltre 650 milioni di dollari dal bridge di Axie Infinity lo scorso marzo, rimane il più grande.

Ancora più preoccupante, le perdite annuali attribuite ai furti crypto sono aumentate sin dal primo caso di hack di un exchange coinvolgente Mt. Gox nel giugno 2011. I primi 10 attacchi DeFi (basati sui fondi rubati) nel 2022 hanno totalizzato più di 2,6 miliardi di dollari. Il cruscotto di DeFiLlama mostra che i protocolli DeFi hanno perso più di 3 miliardi di dollari nel 2022, rendendo quest’anno il peggiore nella statistica. Sebbene la frequenza e la gravità degli eventi sembrassero essersi rallentate verso la fine del 2022, la tendenza è stata invertita all’inizio dell’anno.

Finora nel 2023, ci sono stati 19 incidenti di violazioni crypto (inclusa DeFi) che hanno portato a più di 372 milioni di dollari di asset rubati. I fondi persi ogni mese sono aumentati costantemente da gennaio, passando da 14,6 milioni a gennaio a 142,4 milioni di dollari a febbraio, secondo il Rekt Database.

Fondi persi e recuperati nell’ultimo anno. Fonte: Rekt Database

Questo dato è già più che raddoppiato a marzo, nonostante fossero rimasti pochi giorni. Tuttavia c’è un aspetto quasi positivo. La perdita attribuibile a truffe e exploit crypto finora nel Q1 è in linea per una modesta diminuzione rispetto allo stesso periodo dell’anno scorso. Circa 1,2 miliardi di dollari in asset crypto sono stati persi a causa degli exploit nel Q1 2022.

Principali exploit finora e i loro risultati finali

Gli hack DeFi più notevoli finora includono lo svuotamento di 120 milioni di dollari dal protocollo di prestito decentralizzato BonqDAO a febbraio e l’attacco di flash loan di Platypus Finance, che ha visto il protocollo perdere 8,5 milioni di dollari di fondi degli utenti.

Gli sviluppatori di Kokomo Finance effettuano uno scam di uscita

La società di analisi blockchain CertiK Alert ha condiviso domenica un messaggio di un sospetto scam di uscita sul protocollo di prestito basato su Optimism, Kokomo Finance. Lo strumento di avvisi ha osservato un calo del prezzo del token KOKO e la disattivazione degli account social del progetto poche ore dopo.

“Il deployer del token KOKO, indirizzo 0x41BE, ha distribuito il contratto di attacco cBTC. Poi ha impostato la velocità di ricompensa, ha messo in pausa il prestito e ha impostato il contratto di implementazione su uno maligno. L’indirizzo 0x5a2d… ha approvato il contratto cBTC per spendere i 7010 sonne WBTC,” CertiK ha confermato in un successivo post. “Poiché il contratto di implementazione è stato aggiornato al maligno contratto cBTC, l’attaccante ha chiamato il metodo 0x804edaad per trasferire sonne WBTC all’indirizzo 0x5C8d. Infine, l’indirizzo 0x5C8d.. ha scambiato 7010 some WBTC in 141 WBTC (~4M) per profitto.”

Kokomo Finance era un progetto relativamente nuovo, lanciato solo il 25 marzo.

Rapporto di valutazione on-chain di Kokomo Finance

Una valutazione di sicurezza condotta sul protocollo dalla società di auditing di smart contract 0xGuard all’inizio di marzo ha mostrato un “pass” nella maggior parte degli aspetti, eccetto “Code With No Effects” e “errori tipografici”. Il prezzo del token KOKO è da allora crollato quasi a zero a seguito dello svuotamento.

L’attaccante tenta una ‘strategia white-hat redditizia’ su Swerve Finance defunto

In un altro incidente di questo mese, gli utenti su Twitter hanno osservato attività sospette riguardanti Swerve Finance, un fork basato su Ethereum ora defunto dello scambio decentralizzato Curve. L’attacco di governance sul clone defunto di Curve Finance è ora nella seconda settimana, poiché l’attaccante cercava di raggiungere il quorum richiesto.

L’attaccante ha creato un voto al fine di rivendicare il contratto delegatore con 1,3 milioni di dollari in stablecoin dal pool DAI-USDC-USDT. In un lungo thread, il capo della ricerca di Wintermute Igor Igamberdiev ha teorizzato che ci fossero prove sufficienti per rintracciare l’attaccante. Igamberdiev ha rivelato l’identità dell’attaccante, proprietario di ‘silvavault’, persona dietro l’attacco nei post successivi.

Igamberdiev ha fornito una traccia di prove on-chain, incluse transazioni instradate tramite il mixer sanzionato Tornado Cash, che collegavano a un individuo specifico. L’accusato, il cui account Twitter è stato rivelato come joaorcsilva, ha risposto alle accuse, giustificando che le sue azioni non erano guidate da motivi occulti.

L’hacker di Euler Finance restituisce una parte significativa dei fondi rubati

In un incidente separato, un attaccante ha rubato circa 197 milioni di dollari in asset crypto il 13 marzo, in quello che si è rivelato un caso drammatico. Sebbene il team del protocollo DeFi sia riuscito a gestire il problema al momento, non è riuscito a recuperare gli asset rubati. I tentativi di contatto e di raggiungere un compromesso sono falliti, spingendo a offrire una ricompensa di 1 milione di dollari per qualsiasi informazione che porti al suo arresto.

Transazioni dell’hack di Euler Finance. Fonte: Twitter/BlockSec

L’hacker, in una svolta degli eventi la scorsa settimana, ha restituito 3.000 token ETH al protocollo di prestito basato su Ethereum il 18 marzo in tre transazioni, mantenendo comunque una somma significativa.

Durante il weekend, l’attaccante ha inviato circa 51.000 token Ether all’indirizzo del deployer. Sempre lo stesso giorno, 25 marzo, l’attaccante ha effettuato una seconda transazione, questa volta inviando 7.737 ETH al deployer. Finora, l’indirizzo dell’hacker ha restituito più della metà della somma rubata. Gli ultimi sviluppi hanno spinto il prezzo da poco sopra 2,50 $ a 4,30 $ prima di scendere a 3,80 $, dove è stato visto l’ultima volta.

Prezzo di Euler. Fonte: TradingView

È evidente che gli sfruttatori di Euler Finance, e anche Ronin Network, hanno utilizzato il mixer di monete.

USA e autorità internazionali reprimono i mixer di monete per il loro ruolo nel riciclaggio di denaro

All’inizio di questo mese, l’Agenzia dell’Unione Europea per la Cooperazione delle Forze dell’Ordine ha annunciato di aver sequestrato 46 milioni di dollari da ChipMixer per accuse di riciclaggio di denaro. L’agenzia Europol, insieme all’FBI e alle autorità tedesche, ha affermato che il mixer di crypto ha facilitato il riciclaggio di 152.000 BTC negli ultimi cinque anni, pari a circa 3 miliardi di dollari. Le forze dell’ordine statunitensi hanno riferito di aver ottenuto 1.909,4 BTC e hanno anche ordinato la chiusura dei server di supporto della piattaforma. L’azione di applicazione della legge arriva in seguito a ordini restrittivi simili imposti a Tornado Cash.

Quest’ultimo mixer di monete è stato anche sotto accusa quest’anno dalle autorità statunitensi per il suo ruolo nel facilitare crimini oscurando le transazioni e rendendole impossibili da tracciare in caso di attività illecite.  Il Dipartimento di Giustizia degli USA ha annunciato all’inizio dell’anno sanzioni contro lo strumento di privacy, suscitando osservazioni critiche da parte di alcune parti dell’industria. Questo non è il primo caso di hack crypto che ha visto il coinvolgimento delle autorità.

L’FBI attribuisce la responsabilità dell’hack da 100 milioni di dollari al Harmony Bridge al Lazarus Group

Lo scorso giugno, durante un anno con importi record rubati negli attacchi ai bridge, il bridge Harmony ha perso circa 100 milioni di dollari in Ether. All’epoca, un annuncio ufficiale di Harmony, la blockchain layer one PoS collegata al bridge con Ethereum, ha dichiarato che stava collaborando con le autorità per stabilire la causa dell’attacco e recuperare i fondi. L’FBI ha confermato che le famigerate organizzazioni di hacker sponsorizzate dallo Stato nordcoreano Lazarus Group e APT38 sono state responsabili dell’attacco. Le affermazioni hanno segnato la prima volta che il governo degli Stati Uniti accusa ufficialmente il gruppo dell’attacco al Harmony. Gli esperti blockchain che hanno condotto analisi forensi on-chain hanno attribuito l’hack agli stessi attori.

Il Lazarus Group è stato anche collegato, tra gli altri crimini, all’hack del bridge Ronin lo scorso anno, in un periodo in cui il governo aveva avvertito che le aziende crypto sarebbero diventate bersagli degli hacker. L’FBI ha anche dichiarato che il 13 gennaio, gli hacker nordcoreani hanno utilizzato RAILGUN, un protocollo di privacy, per oscurare il riciclaggio di 60 milioni di dollari di Ether, inviato a exchange crypto, poi convertito in Bitcoin. Tuttavia, tramite tracciamento e analisi delle transazioni, una parte di questi fondi è stata identificata, congelata e recuperata da questi fornitori di servizi di asset virtuali (VASP). I fondi rimanenti, ancora non recuperati, sono stati trasferiti a 11 indirizzi Ethereum distinti, secondo l’FBI.

Aggiornamento sull’hack del bridge Wormhole

L’hacker sposta 155 milioni di dollari di fondi rubati e aumenta la leva

Un wallet collegato a una delle più grandi violazioni nell’industria crypto nel 2022 è riattivato quest’anno, trasferendo oltre 155 milioni di dollari di fondi rubati. La transazione, la prima in diversi mesi, mirava a incrementare la leva della loro posizione ETH.  A gennaio, la comunità crypto ha osservato informazioni on-chain che mostrano una sequenza di attività dell’attore che ha hackerato più di 321 milioni di dollari di Ether (120.000 wETH) dal Wormhole Portal Token Bridge.  La sequenza di scambi dell’hacker è iniziata con il loro indirizzo che consolidava Ether prima di avviare uno scambio di 95.630 token per 96.677 di Ether in staking di Lido (stETH) tramite l’aggregatore di exchange decentralizzato OpenOcean.

Successivamente, l’attore ha avvolto 86.473 stETH in wstETH, il token liquido di Lido emesso agli staker di Ether. Dei token avvolti appena acquisiti, ha collaterato 25.000 wsETH per prendere in prestito 13 milioni di DAI. L’hacker ha poi utilizzato la leva del DAI per ottenere 8.000 stETH tramite il DEX basato su Ethereum Kyber Networks, e ha effettuato diverse altre operazioni simili tramite protocolli DeFi come 1Inch mentre continuava a incrementare la leva. L’attore illegale ha ricevuto ulteriori 1,5 milioni di dollari in DAI, che sono stati anch’essi scambiati per 923 stETH.

61 milioni di dollari spostati alla ricerca di arbitraggio su asset ancorati a Ether

Le crypto illecitamente ottenute da uno dei più grandi hack di bridge nell’industria crypto lo scorso anno sono state anche movimentate il mese scorso. PeckShield ha osservato che il wallet associato all’hacker ha mostrato attività anche a febbraio, trasferendo asset crypto per un totale di 46 milioni di dollari.  L’attacco principale dell’entità hacker ha portato via più di 320 milioni di dollari di Wrapped ETH (wETH) a febbraio 2022. Gli attori hanno spostato 95.630 ETH per un valore di 155 milioni di dollari il 12 febbraio, inviandoli al DEX decentralizzato OpenOcean, per poi convertirli in asset ancorati a Ether – wstETH e stETH di Lido.

La società di sicurezza blockchain ha anche osservato che l’hacker, che da allora ha ignorato un’offerta di bug bounty da 10 milioni di dollari, sembra cercare opportunità di rendimento o arbitraggio con gli asset rubati, poiché sono stati scambiati per 16,6 milioni di DAI, una stablecoin di MakerDAO. Lo sfruttatore ha impiegato ulteriori 8,8k wstETH (15 milioni di dollari) su MakerDAO. Wormhole ha anche ribadito la sua offerta allo sfruttatore di restituire i fondi e ricevere un bug bounty da 10 milioni di dollari.