Kokomo, Swerve og andre DeFi-sikkerhetshendelser: oversikt fra mars 2023

Desentralisert finans, DeFi, vokste raskt fra rundt 2017. Ifølge DeFiLlama-tallene som ble brukt i artikkelen, var samlet låst verdi, TVL, rundt 180,38 milliarder dollar i desember 2021. Etterspørsel etter kryptoeiendeler og belønninger for deltakelse bidro til veksten. Artikkelen beskriver sikkerhetshendelser sett fra slutten av mars 2023.

DeFi-vekst. Kilde: DeFiLlama

Veksten og tilgangen på likviditet tiltrakk også uredelige aktører som ønsket å utnytte sårbarheter.

Typer krypto- og DeFi-angrep

I årene før mars 2023 skjedde flere store kryptotyverier. Metodene omfattet svindel, rug pulls, utnyttelse av smarte kontrakter og angrep finansiert med flashlån.

Historikk over DeFi‑hacks

Ved en rug pull kan prosjektets administratorer trekke ut likviditet eller brukermidler og forlate prosjektet. Et flashlån er i seg selv et legitimt verktøy: det krever ikke sikkerhet på forhånd, men må tilbakebetales med kostnader i samme transaksjon. Angripere kan bruke kapitalen til å utnytte blant annet usikre prisorakler eller manglende kontroller. Prismanipulasjon på en børs er ett mulig scenario, ikke definisjonen av alle flashlånsangrep.

Kakediagram som viser typer av hacks i DeFi-historien

Andre DeFi‑relaterte utnyttelser inkluderer feil i smarte kontrakter, oracle‑angrep og styringsangrep. Ved styringsangrep prøver hackere å kontrollere nok stemmerettigheter til å gjennomføre forslag som gagner deres interesser.

Krypto og DeFi sikkerhetsbrudd i fortiden

Crystals rapport fra februar 2023 registrerte 231 DeFi-angrep siden 2011 med omtrent 4,81 milliarder dollar stjålet. Sammen med andre sikkerhetsbrudd og svindelopplegg var totalsummen rundt 16,7 milliarder dollar. Omtrent 4,18 milliarder dollar gjaldt alle registrerte hendelser i 2022, ikke samlede DeFi-tap siden 2011. Ronin-angrepet i mars 2022 var blant de største: 173 600 ETH og 25,5 millioner USDC ble stjålet, verdt over 600 millioner dollar avhengig av verdsettingstidspunkt.

Kryptotyveri har vært et tilbakevendende problem siden blant annet Mt. Gox-angrepet i juni 2011. Årlige tap øker likevel ikke nødvendigvis hvert år. Tallene brukt i artikkelen satte de ti største DeFi-angrepene i 2022 til over 2,6 milliarder dollar og DeFiLlamas samlede årstall til over 3 milliarder. Kilder kan ha ulik avgrensning, verdsetting og behandling av tilbakeførte midler.

Mot slutten av mars 2023 siterte den opprinnelige artikkelen en foreløpig oversikt over 19 krypto- og DeFi-hendelser med mer enn 372 millioner dollar stjålet. Rekt Database oppga rundt 14,6 millioner dollar for januar og 142,4 millioner for februar. Dette var historiske øyeblikksbilder fra kilden.

Tapte og tilbakeførte midler. Kilde: Rekt Database

Flere store hendelser fulgte i mars. Artikkelen sammenlignet det ennå ufullførte første kvartalet 2023 med rundt 1,2 milliarder dollar i tap første kvartal 2022. Foreløpige tall er ikke et endelig kvartalsresultat.

Viktige angrep og følgene av dem

Eksemplene omfattet BonqDAO 1. februar og Platypus Finance 16. februar 2023. Hos BonqDAO ble rundt 100 millioner BEUR opprettet uten tillatelse. Den ofte omtalte skaden på 120 millioner dollar var en nominell verdsetting, ikke et beløp angriperen kunne realisere fullt ut. Protokollen oppga at over 98 millioner BEUR manglet likviditet for salg. Platypus tapte innledningsvis rundt 8,5 millioner dollar, og omtrent 2,4 millioner USDC ble hentet tilbake kort tid etter.

CertiK rapporterte om mistenkt exit-svindel i Kokomo Finance

CertiK varslet 26. mars 2023 om mistenkt exit-svindel i Kokomo Finance, en utlånsprotokoll på Optimism. Selskapet observerte et kraftig prisfall i KOKO og at nettsiden og kontoer i sosiale medier forsvant.

Ifølge CertiK opprettet adressen som hadde publisert KOKO, 0x41BE…, angrepskontrakten cBTC. Belønningsparametere ble endret, utlån ble stanset, og implementasjonen ble byttet ut med en skadelig kontrakt. Adresse 0x5a2d… hadde gitt tillatelse til å bruke 7 010 soWBTC-kvitteringstokens fra Sonne Finance. Dette var ikke 7 010 vanlige WBTC. CertiK forklarte hendelsen i et senere innlegg. Angriperen kalte deretter metoden 0x804edaad for å flytte soWBTC til adresse 0x5C8d…. Til slutt ble 7 010 soWBTC byttet mot rundt 141 WBTC, den gang verdt omtrent 4 millioner dollar. I en senere analyse anslo CertiK samlede brukertap til cirka 4,5 millioner dollar.

Kokomo Finance var et nytt prosjekt som ifølge den opprinnelige omtalen startet 25. mars 2023.

Kjedeanalyse av Kokomo Finance

En sikkerhetsvurdering fra 0xGuard i mars godkjente de fleste kontrollpunktene, med merknader om kode uten effekt og skrivefeil. Dette utelukket ikke misbruk av administratorrettigheter. KOKO-prisen falt kraftig etter hendelsen.

Forsøk på styringsangrep mot det inaktive Swerve Finance

I mars 2023 meldte brukere om mistenkelig styringsaktivitet i Swerve Finance, en i stor grad forlatt Curve-fork på Ethereum. Aktøren forsøkte å nå nødvendig stemmeterskel. At prosjektet var inaktivt, betyr ikke at det var slått konkurs.

Forslaget var rettet mot en kontrakt med rundt 1,3 millioner dollar i stablecoins fra DAI-USDC-USDT-poolen. Wintermute-forsker Igor Igamberdiev publiserte en analyse som knyttet kjedetransaksjoner til personen bak «silvavault». Dette var forskerens tilskrivning, ikke en rettslig avgjørelse.

Igamberdiev viste blant annet til transaksjoner via Tornado Cash. Kontoen joaorcsilva, som han pekte på, svarte på beskyldningene og avviste ondsinnede hensikter. Den omstridte forklaringen fjernet ikke de tekniske styringsrisikoene.

Euler Finance‑hacker overleverer en betydelig del av de stjålne midlene

13. mars 2023 ble rundt 197 millioner dollar i eiendeler tatt fra Euler Finance. Teamet begrenset sårbarheten, men fikk ikke umiddelbart tilbake midlene. Etter mislykkede første kontaktforsøk ble en belønning på 1 million dollar utlovet for informasjon som førte til pågripelse og tilbakeføring.

Transaksjoner rundt Euler-angrepet. Kilde: Twitter/BlockSec

18. mars returnerte angriperen totalt 3 000 ETH i tre transaksjoner. Et betydelig beløp var da fortsatt utestående.

25. mars sendte angriperen omtrent 51 000 ETH til deployeradressen. Samme dag fulgte en ny overføring på 7 737 ETH. Dette var viktige tilbakeføringer. Den opprinnelige markedsoppdateringen oppga at EUL-tokenet steg fra litt over 2,50 til 4,30 dollar og deretter falt til rundt 3,80 dollar. Prisene gjaldt EUL, ikke ETH. Euler Foundation meldte senere, 4. april, at alle gjenvinnbare midler var returnert, og avsluttet belønningskampanjen.

Historisk EUL-pris. Kilde: TradingView

Midler fra Euler-angrepet ble sendt til Tornado Cash. Bruk av mikseren ble også påvist ved angrepet på Ronin Network.

Internasjonal aksjon mot ChipMixer i mars 2023

15. mars 2023 kunngjorde Europol en tysk-amerikansk aksjon mot ChipMixer med internasjonal støtte. Ifølge myndighetene hadde tjenesten behandlet rundt 152 000 BTC siden 2017; det amerikanske justisdepartementet beskrev over 3 milliarder dollar i hvitvaskingstransaksjoner. Amerikanske myndigheter opplyste at Tyskland beslagla serverne og kryptovaluta verdt mer enn 46 millioner dollar, blant annet cirka 1 909,4 BTC. USA beslagla domener og en GitHub-konto.

Sanksjonene mot Tornado Cash ble innført 8. august 2022 av OFAC i det amerikanske finansdepartementet, ikke av justisdepartementet tidlig i 2023. Miksere kan skjule midlenes opphav, men gjør ikke alltid sporing umulig. Sanksjonene var situasjonen da artikkelen ble skrevet; finansdepartementet fjernet Tornado Cash fra sanksjonslisten i mars 2025.

FBI knyttet Harmony Horizon-tyveriet på 100 millioner dollar til Lazarus

Ved angrepet mot Harmony Horizon-broen, rapportert 24. juni 2022, ble ulike kryptoeiendeler verdt omtrent 100 millioner dollar stjålet. En kunngjøring fra Harmony beskrev samarbeid med myndighetene om årsaken og tilbakeføring av midler. FBI bekreftet i januar 2023 tilskrivningen til den nordkoreanske gruppen Lazarus, som i uttalelsen også ble kalt APT38. Kjedeanalytikere hadde også knyttet angrepet til disse aktørene.

Lazarus ble også knyttet til Ronin-angrepet i 2022. FBI oppga at nordkoreanske aktører brukte RAILGUN 13. januar 2023 til å skjule mer enn 60 millioner dollar i stjålet ETH. Noe ble sendt til kryptobørser og vekslet til bitcoin. Sporing hjalp tjenesteleverandører med å identifisere, fryse og hente tilbake deler av midlene. FBI publiserte også elleve Ethereum-adresser knyttet til gjenværende eiendeler.

Videre utvikling etter Wormhole-angrepet

Wormhole-relaterte midler brukt til belånte posisjoner

I januar 2023 ble en adresse knyttet til Wormhole-angrepet i februar 2022 aktiv igjen. Angrepet opprettet 120 000 wETH uten dekning, den gang verdt rundt 320 millioner dollar. Forskere observerte en overføring på cirka 95 630 ETH, da omtrent 155 millioner dollar, og et bytte via OpenOcean til rundt 96 677 stETH fra Lido.

Deretter ble cirka 86 473 stETH pakket som wstETH. Av disse ble 25 000 wstETH stilt som sikkerhet for 13 millioner DAI. Lånte midler ble blant annet brukt til å kjøpe rundt 8 000 stETH via Kyber, fulgt av andre transaksjoner gjennom protokoller som 1inch. Ytterligere cirka 1,5 millioner DAI ble vekslet til 923 stETH. Slik ble ETH-eksponeringen økt med lånte penger.

Ytterligere transaksjoner med eiendeler verdt rundt 61 millioner dollar

I februar 2023 observerte PeckShield videre aktivitet i den Wormhole-relaterte lommeboken, blant annet omtrent 46 millioner dollar i eiendeler. Overføringen på 95 630 ETH og cirka 155 millioner dollar gjennom OpenOcean var januar-bevegelsen omtalt ovenfor, ikke en separat dokumentert overføring 12. februar.

Ifølge analysen som ble sitert, ble eiendeler vekslet til rundt 16,6 millioner DAI, og ytterligere cirka 8 800 wstETH, da verdt omtrent 15 millioner dollar, ble satt inn i MakerDAO. Forskerne tolket dette som forsøk på avkastning eller arbitrasje. Wormholes opprinnelige tilbud om 10 millioner dollar for tilbakeføring av midler var da ubesvart. Oasis meldte senere at de 21. februar 2023, etter ordre fra High Court of England and Wales, hentet tilbake bestemte Wormhole-relaterte eiendeler og overførte dem til en rettslig autorisert tredjepart.