Kokomo, Swerve en andere DeFi-beveiligingsincidenten: overzicht van maart 2023

Gedecentraliseerde financiering, of DeFi, groeide vanaf circa 2017 sterk. Volgens de destijds aangehaalde DeFiLlama-gegevens bedroeg de totale vastgelegde waarde, TVL, in december 2021 ongeveer 180,38 miljard dollar. De vraag naar cryptoactiva en beloningen voor deelname droegen bij aan de groei. Dit artikel bespreekt beveiligingsincidenten vanuit het perspectief van eind maart 2023.

Groei van DeFi. Bron: DeFiLlama

Aan de andere kant heeft deze versnelde groei en bijbehorende liquiditeit tegelijkertijd onbetrouwbare actoren aangetrokken die de aanwezige kwetsbaarheden in de ruimte willen exploiteren.

Trend en aard van crypto & DeFi-exploits

In de jaren voorafgaand aan maart 2023 vonden verschillende grote cryptodiefstallen plaats. De methoden omvatten oplichting, rug pulls, misbruik van smart contracts en aanvallen die met flashleningen werden gefinancierd.

Geschiedenis van DeFi-hacks

Bij een rug pull halen projectbeheerders bijvoorbeeld liquiditeit of gebruikersmiddelen weg en laten zij het project achter. Een flashlening is op zichzelf een legitiem hulpmiddel: zonder voorafgaand onderpand kan kapitaal worden geleend, mits het binnen dezelfde transactie met kosten wordt terugbetaald. Aanvallers kunnen dit kapitaal gebruiken om kwetsbaarheden uit te buiten, zoals onveilige prijsorakels of ontbrekende controles. Prijsmanipulatie op een beurs is een mogelijk scenario, niet de definitie van iedere flashleningaanval.

Taartdiagram van soorten hacks in de geschiedenis van DeFi

Andere DeFi-gerelateerde exploits omvatten bugs in slimme contracten, oracle‑aanvallen en governance‑aanvallen. Bij governance‑aanvallen proberen hackers voldoende stemrechten te verwerven om voorstellen uit te voeren die hun eigen belangen dienen.

Crypto- en DeFi-beveiligingsinbreuken in het verleden

Crystal telde in zijn rapport van februari 2023 sinds 2011 in totaal 231 DeFi-aanvallen met ongeveer 4,81 miljard dollar aan gestolen activa. Samen met andere beveiligingsinbreuken en frauderegelingen kwam het totaal op circa 16,7 miljard dollar. Het getal van ongeveer 4,18 miljard dollar betrof in dat rapport alle geregistreerde incidenten in 2022, niet de cumulatieve DeFi-verliezen. De Ronin-aanval van maart 2022 was een van de grootste, met 173.600 ETH en 25,5 miljoen USDC en een geschatte waarde van ruim 600 miljoen dollar, afhankelijk van het waarderingsmoment.

Cryptodiefstal is een terugkerend probleem sinds onder meer de Mt. Gox-hack van juni 2011. De jaarlijkse schade stijgt niet noodzakelijk ieder jaar. Volgens de in het artikel gebruikte telling bedroegen de tien grootste DeFi-aanvallen van 2022 samen meer dan 2,6 miljard dollar, en registreerde DeFiLlama voor dat jaar meer dan 3 miljard dollar. Databronnen kunnen verschillende incidenten, waarderingen en teruggevorderde bedragen meetellen.

Het oorspronkelijke artikel citeerde eind maart 2023 een tussentijdse telling van 19 crypto- en DeFi-incidenten met meer dan 372 miljoen dollar aan gestolen activa. De aangehaalde Rekt Database vermeldde ongeveer 14,6 miljoen dollar voor januari en 142,4 miljoen dollar voor februari. Dit zijn historische momentopnamen van die bron.

Verloren en teruggevorderde bedragen. Bron: Rekt Database

In maart volgden verdere grote incidenten. Het artikel vergeleek het onvoltooide eerste kwartaal van 2023 met ongeveer 1,2 miljard dollar aan verliezen in het eerste kwartaal van 2022. Een tussentijdse telling is nog geen definitief kwartaalresultaat.

Grote exploits tot nu toe en hun uiteindelijke uitkomsten

Tot de besproken incidenten behoorden BonqDAO op 1 februari 2023 en Platypus Finance op 16 februari. Bij BonqDAO werd circa 100 miljoen BEUR ongeoorloofd aangemaakt; de vaak genoemde schade van 120 miljoen dollar was een nominale waardering en geen volledig gerealiseerde opbrengst voor de aanvaller. Het protocol meldde dat ruim 98 miljoen BEUR door gebrek aan liquiditeit niet kon worden verkocht. Bij Platypus bedroeg de aanvankelijke schade circa 8,5 miljoen dollar; ongeveer 2,4 miljoen USDC werd kort daarna teruggehaald.

CertiK beschrijft vermoedelijke exit scam bij Kokomo Finance

CertiK waarschuwde op 26 maart 2023 voor een vermoedelijke exit scam bij Kokomo Finance, een leenprotocol op Optimism. Het bedrijf signaleerde een scherpe daling van de KOKO-tokenprijs en het verdwijnen van de website en sociale accounts.

Volgens CertiK zette het adres dat KOKO had uitgerold, 0x41BE…, een aanvalcontract cBTC op. Daarna werden beloningsparameters gewijzigd, lenen gepauzeerd en de implementatie vervangen door een kwaadaardig contract. Een adres 0x5a2d… had toestemming gegeven om 7.010 soWBTC-ontvangsttokens van Sonne Finance uit te geven. Dit waren geen 7.010 gewone WBTC. CertiK lichtte dit toe in een bericht. De aanvaller riep vervolgens de methode 0x804edaad aan om soWBTC naar adres 0x5C8d… over te brengen. Uiteindelijk werden 7.010 soWBTC ingewisseld voor ongeveer 141 WBTC, destijds circa 4 miljoen dollar. In een latere analyse schatte CertiK de totale gebruikersschade op ongeveer 4,5 miljoen dollar.

Kokomo Finance was een nieuw project dat volgens de oorspronkelijke berichtgeving op 25 maart 2023 was gestart.

On-chainbeoordeling van Kokomo Finance

Een beveiligingsbeoordeling door 0xGuard uit maart gaf voor de meeste controlepunten een voldoende, met opmerkingen over code zonder effect en typefouten. Dat betekende niet dat misbruik van beheerdersbevoegdheden was uitgesloten. Na het incident daalde de KOKO-prijs sterk.

Poging tot governance-aanval op het stilgevallen Swerve Finance

In maart 2023 meldden gebruikers verdachte governance-activiteit bij Swerve Finance, een grotendeels verlaten fork van Curve op Ethereum. De initiatiefnemer probeerde het vereiste quorum te bereiken. “Stilgevallen” betekent hier dat het project niet meer actief werd ontwikkeld, niet dat een faillissement was vastgesteld.

Het voorstel was gericht op een contract met ongeveer 1,3 miljoen dollar aan stablecoins uit de DAI-USDC-USDT-pool. Wintermute-onderzoeker Igor Igamberdiev publiceerde een analyse waarin hij on-chaintransacties koppelde aan de persoon achter “silvavault”. Het ging om zijn toeschrijving, niet om een rechterlijke vaststelling.

Igamberdiev verwees onder meer naar transacties via Tornado Cash. Het door hem genoemde account joaorcsilva reageerde op de beschuldigingen en stelde geen kwade bedoelingen te hebben. De betwiste verklaring veranderde de technische governance-risico’s niet.

Euler Finance‑hacker levert een aanzienlijk deel van de gestolen fondsen in

Op 13 maart 2023 werd ongeveer 197 miljoen dollar aan activa uit Euler Finance gehaald. Het team beperkte de kwetsbaarheid, maar had de activa aanvankelijk niet terug. Na mislukte eerste contactpogingen kondigde het een beloning van 1 miljoen dollar aan voor informatie die tot arrestatie en teruggave van de middelen zou leiden.

Transacties rond de Euler-aanval. Bron: Twitter/BlockSec

Op 18 maart stuurde de aanvaller in drie transacties samen 3.000 ETH terug. Een aanzienlijk bedrag bleef toen nog uitstaan.

Op 25 maart stuurde de aanvaller ongeveer 51.000 ETH naar het deployeradres. Dezelfde dag volgde een tweede overdracht van 7.737 ETH. Dit waren belangrijke stappen in de teruggave. De oorspronkelijke marktupdate meldde een stijging van de EUL-token van iets boven 2,50 naar 4,30 dollar, gevolgd door een daling naar circa 3,80 dollar. Het ging om EUL, niet de prijs van ETH. Op 4 april meldde de Euler Foundation later dat alle terugvorderbare middelen waren teruggegeven en sloot zij de beloningscampagne.

Historische prijs van EUL. Bron: TradingView

Bij de Euler-aanval werden middelen naar Tornado Cash gestuurd. Ook bij de aanval op Ronin Network werd gebruik van de mixer vastgesteld.

Internationale actie tegen ChipMixer in maart 2023

Op 15 maart 2023 maakte Europol bekend dat Duitse en Amerikaanse autoriteiten met internationale ondersteuning tegen ChipMixer hadden opgetreden. Volgens de autoriteiten had de dienst vanaf 2017 ongeveer 152.000 BTC verwerkt; het Amerikaanse ministerie van Justitie sprak van ruim 3 miljard dollar aan witwastransacties. De Amerikaanse autoriteiten meldden dat Duitsland de achterliggende servers en meer dan 46 miljoen dollar aan cryptovaluta in beslag had genomen, waaronder circa 1.909,4 BTC. De Verenigde Staten namen domeinen en een GitHub-account in beslag.

Tornado Cash was op 8 augustus 2022 door OFAC, onderdeel van het Amerikaanse ministerie van Financiën, gesanctioneerd; niet door het ministerie van Justitie in het begin van 2023. Mixers kunnen de herkomst van geld verhullen, maar maken opsporing niet altijd onmogelijk. De genoemde sancties waren de situatie ten tijde van dit artikel; het ministerie van Financiën verwijderde Tornado Cash in maart 2025 van de sanctielijst.

FBI schreef de Harmony Horizon-aanval van 100 miljoen dollar toe aan Lazarus

Bij de aanval op Harmony’s Horizon-brug, gemeld op 24 juni 2022, werd ongeveer 100 miljoen dollar aan verschillende cryptoactiva gestolen. Een mededeling van Harmony beschreef samenwerking met autoriteiten om de oorzaak te onderzoeken en middelen terug te halen. De FBI bevestigde in januari 2023 de toeschrijving aan de Noord-Koreaanse groep Lazarus, die in de verklaring ook APT38 werd genoemd. Blockchainonderzoekers hadden de aanval eveneens aan deze actoren gekoppeld.

Lazarus werd ook in verband gebracht met de Ronin-aanval van 2022. De FBI meldde dat de Noord-Koreaanse actoren op 13 januari 2023 RAILGUN gebruikten om meer dan 60 miljoen dollar aan gestolen ETH te verhullen. Een deel ging naar cryptobeurzen en werd omgezet in bitcoin. Door opsporing konden dienstverleners een deel identificeren, bevriezen en terughalen. De FBI publiceerde daarnaast elf Ethereum-adressen die met resterende middelen verband hielden.

Wormhole bridge‑hack update

Wormhole-gerelateerde middelen gebruikt voor een hefboompositie

In januari 2023 kwam een adres in beweging dat in verband werd gebracht met de Wormhole-aanval van februari 2022, waarbij 120.000 ongedekte wETH waren aangemaakt, destijds ongeveer 320 miljoen dollar. Onderzoekers signaleerden dat het adres ongeveer 95.630 ETH, toen circa 155 miljoen dollar, verplaatste en via OpenOcean een ruil uitvoerde naar ongeveer 96.677 stETH van Lido.

Vervolgens werden ongeveer 86.473 stETH verpakt als wstETH. Daarvan werd 25.000 wstETH als onderpand gebruikt voor een lening van 13 miljoen DAI. Met geleende DAI werd onder meer circa 8.000 stETH gekocht via Kyber, gevolgd door andere transacties via protocollen zoals 1inch. Nog eens circa 1,5 miljoen DAI werd geruild voor 923 stETH. Zo werd de blootstelling aan ETH met geleend geld vergroot.

Verdere transacties met circa 61 miljoen dollar aan activa

In februari 2023 signaleerde PeckShield verdere transacties rond de Wormhole-gerelateerde wallet, waaronder ongeveer 46 miljoen dollar aan activa. De januari-transactie van ongeveer 95.630 ETH en 155 miljoen dollar via OpenOcean is dezelfde beweging die hierboven is beschreven, geen afzonderlijke bewezen overdracht op 12 februari.

Volgens de aangehaalde analyse werden activa omgezet in ongeveer 16,6 miljoen DAI en werd nog eens circa 8.800 wstETH, destijds ongeveer 15 miljoen dollar, bij MakerDAO ingebracht. De onderzoekers zagen hierin pogingen om rendement of arbitrage te zoeken. Het oorspronkelijke Wormhole-aanbod van 10 miljoen dollar voor teruggave van de gestolen middelen bleef toen onbeantwoord. Oasis meldde later dat het op 21 februari 2023 op bevel van de High Court of England and Wales bepaalde Wormhole-gerelateerde activa had teruggehaald en aan een gerechtelijk gemachtigde partij had overgedragen.