Quasi 600 milioni di dollari rubati: da Uptober a Hacktober

Il 2022 fu descritto come un anno record per gli attacchi alle criptovalute. Già il 12 ottobre la società di analisi Chainalysis indicava ottobre come il mese fino ad allora più colpito per valore sottratto: oltre 3 miliardi di dollari dall’inizio dell’anno e 718 milioni in undici attacchi a protocolli DeFi nel solo ottobre fino a quella data. Non si trattava del bilancio definitivo dell’intero mese.

In passato i grandi attacchi prendevano spesso di mira gli exchange centralizzati (CEX). Nel 2022 i protocolli DeFi e i ponti che collegano blockchain diverse erano diventati bersagli importanti. Il dato provvisorio di ottobre comprendeva tre attacchi a ponti cross-chain per quasi 600 milioni di dollari. Fra gli episodi più rilevanti figurava quello di Mango Markets, una piattaforma DeFi su Solana.

Gli attacchi nell’ecosistema Solana

Gli attacchi non erano una novità nel settore, né tra i servizi dell’ecosistema Solana. L’11 ottobre 2022 Mango Markets subì un prelievo illecito di oltre 100 milioni di dollari. L’attaccante alterò il prezzo di mercato del token di governance MNGO, rilevato da un oracolo dei prezzi, e sfruttò il valore gonfiato delle proprie posizioni per ottenere prestiti senza garanzie reali sufficienti. Il problema riguardava i meccanismi di valutazione e gestione del rischio dell’applicazione, non una violazione dimostrata del protocollo di base di Solana.

Circa 24 ore dopo l’attacco fu segnalato un calo del valore totale degli asset depositati (TVL) nell’ecosistema DeFi di Solana da 1,32 miliardi a circa 1 miliardo di dollari. L’articolo riportava un’istantanea di circa 985 milioni: la grandezza riguarda l’intero ecosistema e non i depositi della sola Mango Markets.

L’attaccante presentò anche un ultimatum alla comunità di Mango. La proposta pubblicata sulla piattaforma della DAO, intitolata “Repay bad debt”, prevedeva l’impiego di circa 70 milioni di USDC della tesoreria per coprire crediti inesigibili. In cambio, l’attaccante prometteva di restituire, fra gli altri, token MNGO e SOL a indirizzi specificati, purché le condizioni fossero rispettate. Il primo accordo proposto è descritto nell’articolo come respinto; ciò non va confuso con la successiva e distinta intesa negoziata per restituire parte dei fondi.

Ad agosto 2022 erano già stati sottratti diversi milioni di dollari da migliaia di wallet su Solana. Le prime stime parlavano di circa 8.000 wallet, compresi wallet Phantom. L’indagine della Solana Foundation collegò l’incidente alla fuga di chiavi private dall’app Slope e al riutilizzo o all’importazione delle stesse frasi di recupero in altri wallet. Non emerse una vulnerabilità del protocollo Solana: la normale funzione di importazione dei wallet non era, da sola, la causa.

Anche BNB Chain fu colpita

Anche BNB Chain, legata all’ecosistema Binance, subì un attacco nell’ottobre 2022. Una vulnerabilità del ponte BSC Token Hub consentì di creare 2 milioni di BNB non autorizzati, per un valore allora superiore a 500 milioni di dollari. Non tutto l’importo uscì dalla rete e non si trattò di un furto equivalente dall’exchange centralizzato Binance. Secondo la ricostruzione di BNB Chain, la rete contava complessivamente 44 validatori, dei quali 26 attivi. Questi ultimi furono contattati per sospendere temporaneamente BNB Smart Chain. La possibilità di coordinare l’interruzione alimentò il dibattito sulla centralizzazione della rete.

Gli attaccanti utilizzano metodi diversi. Alcuni ricorrono all’ingegneria sociale, ingannando gli utenti affinché rivelino informazioni riservate. Inserire personalmente quei dati non equivale a comunicarli con consapevolezza del rischio. Altri attacchi sono tecnicamente sofisticati e richiedono preparazione e risorse considerevoli.

Come ridurre il rischio degli attacchi alle criptovalute

Gli attacchi possono avere conseguenze pesanti per i team dei progetti e per gli utenti finali. Gli aggressori affinano continuamente strumenti e tecniche alla ricerca di nuove vulnerabilità.

Verifiche di sicurezza approfondite e indipendenti del codice, soprattutto degli smart contract, possono aiutare gli sviluppatori a individuare e correggere le vulnerabilità prima che vengano sfruttate. Anche corsi di sicurezza di base e avanzati possono insegnare agli utenti a riconoscere l’ingegneria sociale e ridurre alcuni rischi. Né gli audit né la formazione garantiscono però l’assenza di attacchi.

Occorre proteggere anche chiavi API, dati esterni e oracoli blockchain. Le perdite degli utenti FTX descritte all’epoca riguardavano il phishing di informazioni API, un meccanismo diverso dalla manipolazione di mercato ai danni di Mango Markets. In quest’ultimo caso furono sfruttati i prezzi di mercato, la valutazione tramite un oracolo dei prezzi e i controlli sul rischio dei prestiti. Fonti di dati e verifiche più decentralizzate possono ridurre i singoli punti di vulnerabilità, ma registrare i dati on-chain non li rende automaticamente corretti o immuni agli attacchi. Anche un’infrastruttura Web3 decentralizzata richiede oracoli robusti, controlli degli accessi e gestione del rischio.