Kokomo Finance Exit Scam og Swerve Finance-angrep – Bevis på utbredte DeFi-utnyttelser i 2023

Den desentraliserte finansnischen (DeFi) har vist en fenomenal utvikling siden den oppsto rundt 2017, men ikke uten større skader. I løpet av denne halvdelårsperioden har DeFi-rommet utviklet seg raskt, som reflekteres i verdien av total låst verdi (TVL), som toppet $180,38 milliarder i desember 2021 ifølge DeFi Llama-data. Den raske veksten i denne krypto-undersektoren, spesielt i de siste årene, har blitt tilskrevet flere faktorer, inkludert økt etterspørsel etter krypto-aktiver og den incentiverte naturen til tilbudene.

DeFi-vækstgraf. Kilde: DeFi Llama

På den andre siden har denne akselererte veksten og den tilhørende likviditeten også invitert uærlige aktører som søker å utnytte sårbarhetene i rommet.

Trend og natur av krypto- og DeFi-utnyttelser

I de siste tre årene har det vært en økt forekomst av høyprofilerte krypto-tyveri-episoder. Flertallet av disse har involvert teknikker som krypto-svindel, rug pulls, flash-lån og DeFi-relaterte utnyttelser.

DeFi-hack-historie

For rug pulls, pumper vanligvis utvikleren (eller teamet) prisen på prosjektets token, og så plutselig trekker eller fjerner likviditeten før de forlater prosjektet. Flash-lån-angrep, på den andre siden, tar sikte på feil i smart kontrakt-baserte lånplattformer og er de mest hyppige. Disse tar fordel av den ukollateraliserte naturen til flash-lån – ingen forhåndskollateral er nødvendig, men låntakeren må gjøre tilbakebetaling innen samme kjede-transaksjon. Utnyttelser låner store summer i krypto-aktiver fra en DeFi-protokoll, og så manipulerer deres priser på en børs før de raskt forlater sin posisjon på en annen.

Pie-representasjon av typer utnyttelser i DeFi-historien

Andre DeFi-relaterte utnyttelser inkluderer smart kontrakt-feil, oracle-angrep og styre-angrep. I tilfelle av styre-angrep, søker hackere å kontrollere nok stemmerettigheter for å kunne gjennomføre forslag som er til deres fordel.

Krypto- og DeFi-sikkerhetsbrudd i fortiden

Blockchain-analyseplattformen Crystal detaljerte i sin nylig publiserte rapport om sikkerhetsbrudd og svindelaktiviteter som involverer krypto, at det har vært over 230 DeFi-hacker siden 2011. De $4,18 milliarder i krypto-aktiver som er tapt som følge av hendelsene, har bidratt til en overveldende $16,7 milliarder i kryptovaluta som er stjålet i samme periode. Merket, angrepet på Ronin Network, som så angriperen drener over $650 millioner fra Axie Infinitys bro i mars i fjor, er den største.

Enda mer alarmerende, har de årlige tapene tilskrevet krypto-tyveri økt siden den første hendelsen med en exchange-hack som involverte Mt Gox i juni 2011. De topp 10 DeFi-angrepene (basert på stjålet penger) over 2022 totalt mer enn $2,6 milliarder. DeFiLlama’s dashboard viser at DeFi-protokollene tapte mer enn $3 milliarder i 2022, noe som gjør det til det verste året i statistikken. Selv om hyppigheten og alvorligheten av hendelsene synes å ha gått ned mot slutten av 2022, har det reversert trenden i begynnelsen av året.

Hittil i 2023 har det vært 19 hendelser med krypto- (inkludert DeFi) -brudd, som har resultert i over $372 millioner i stjålet verdier. Beløpet som er tapt hver måned har konsistent økt siden januar, og skutt fra 14,6 millioner i januar til $142,4 millioner i februar, ifølge Rekt Database.

Tapt og gjenoppbygd verdier i løpet av det siste året. Kilde: Rekt Database

Dette beløpet har allerede mer enn doblet i mars, selv med få dager igjen. Det er imidlertid én hardt positiv. Tapet tilskrevet krypto-svindel og utnyttelser hittil i Q1 er på vei til en beskjeden nedgang fra samme periode i fjor. Ca. $1,2 milliarder i krypto-aktiver ble tapt til utnyttelser i Q1 2022.

Store utnyttelser så langt og deres endelige resultater

Merke DeFi-hacker, så langt, inkluderer dræning av $120 millioner fra desentralisert låneprotokoll BonqDAO i februar og Platypus Finances flash-lån-angrep, som så protokollen tape $8,5 millioner i bruker-midler.

Utviklerne av Kokomo Finance trekker seg ut

Blockchain-analysefirmaet CertiK Alert delte på søndag en melding om en mistenkt exit-svindel på Optimism-basert låneprotokoll Kokomo Finance. Alerts-verktøyet observerte en nedgang i prisen på KOKO-token og deaktiverte prosjektets sosiale kontoer timer senere.

“Deployeren av KOKO Token, adresse 0x41BE, deployerte angrepskontrakt cBTC. Så satte de reward-hastigheten, pause lånet og satte implementeringskontrakten til en skadelig en. Adresse 0x5a2d… godkjente cBTC-kontrakten til å bruke 7010 sonne WBTC,” bekreftet CertiK i en påfølgende post. “Ettersom implementeringskontrakten har blitt oppgradert til den skadelige cBTC-kontrakten, ringte angriperen 0x804edaad-metoden til å overføre sonne WBTC til adresse 0x5C8d. Til slutt, adressen 0x5C8d.. byttet 7010 noen WBTC til 141 WBTC (~4M) for profit.”

Kokomo Finance var et relativt nytt prosjekt, som bare hadde gått live 25. mars.

Kokomo Finance på-chains vurderingsrapport

En sikkerhetsvurdering som ble utført på protokollen av smart kontrakt-auditorfirmaet 0xGuard tidligere i mars, viste en “pass” på de fleste aspekter, bortsett fra “kode uten effekter” og “typografiske feil”. Prisen på KOKO-token har siden kollapset til nærmest null etter dræningen.

Utnytteler prøver “profitabel hvit-hatt-strategi” på Swerve Finance

I en annen hendelse denne måneden, observerte brukerne på Twitter mistenkelig aktivitet som involverte Swerve Finance, en nå defunct Ethereum-basert fork av desentralisert børs Curve. Styre-angrepet på den defuncte Curve Finance-klonen er nå i andre uken, da angriperen søkte å nå det nødvendige quorum.

Angriperen opprettet en avstemning i et forsøk på å kreve delegator-kontrakten med $1,3 millioner i stables fra DAI-USDC-USDT-poolen. I en lengre tråd, Wintermute-sjef for forskning Igor Igamberdiev teoriserer at det var nok bevis for å spore angriperen. Igamberdiev avdekket identiteten til angriperen, som eieren av ‘silvavault’, personen bak angrepet i påfølgende poster.

Igamberdiev ga en spor av på-chains-bevis, inkludert transaksjoner rutevia den sanktionerte mixer Tornado Cash, som koblet til en bestemt person. Den anklagede, hvis Twitter-konto ble avdekket som joaorcsilva, svarte på anklagene, og rettferdiggjorde at hans handlinger ikke var drevet av skjulte motiver.

Euler Finance-hacker overgir en betydelig del av stjålet penger

I en separat hendelse, stjal en angriper rundt $197 millioner i krypto-aktiver den 13. mars i det som har vist seg å være en dramatisk affære. Selv om DeFi-protokollens team klarte å håndtere problemet på det tidspunktet, klarte de ikke å gjenopprette de stjålne aktivene. Forsøk på å kontakte og nå en avtale mislyktes, og det ble utstedt en $1 millioner belønning for noen informasjon som ledet til hans arrest.

Euler Finance-hendelses-transaksjoner. Kilde: Twitter/BlockSec

Angriperen, i en vending av hendelsene forrige uke, returnerte 3 000 ETH-tokens til Ethereum-basert låneprotokoll den 18. mars i tre transaksjoner, og beholdt likevel en betydelig sum.

Over helgen, sendte angriperen rundt 51 000 Ether-tokens til deployer-adressen. Samme dag, 25. mars, utførte angriperen en annen transaksjon, denne gangen sendte 7737 ETH til deployer-adressen. Hittil har angriperens adresse returnert mer enn halvparten av det stjålne beløpet. De siste utviklingene presset prisen fra bare over $2,50 til $4,30 før den gled tilbake til $3,80, hvor den sist ble sett.

Euler-pris. Kilde: TradingView

Merke, utnyttelerne av Euler Finance, og Ronin Network også, brukte mynt-mikseren.

US, internasjonale myndigheter setter fokus på mynt-miksere for deres rolle i hvitvasking

Tidligere denne måneden, annonserte EU-byrået for lovens håndheving at de beslagla $46 millioner fra ChipMixer på grunn av hvitvasking-anmeldelser. Europol-byrået, sammen med FBI og tyske myndigheter, hevdet at krypto-mikseren fasiliterte hvitvasking av 152 000 BTC i løpet av de siste fem årene, noe som tilsvarer ~ $3 milliarder. USAs lovens håndhevingsoffiserer rapporterte at de fikk tak i 1 909,4 BTC og også bestilte stenging av plattformens støtteservere. Gjennomføringsaksjonen kommer på bakgrunn av lignende restriktive ordre lagt på Tornado Cash.

Den sistnevnte mynt-mikseren har også vært under angrep denne året fra US-myndigheter for sin rolle i å fasilitere kriminalitet ved å usynliggjøre transaksjoner og gjøre dem umulige å spore i tilfelle av ulovlige aktiviteter. USAs justisdepartement annonserte tidligere i år sanktioner mot privatverktøyet, og dette førte til kritiske kommentarer fra noen kvartaler i industrien. Dette er ikke det første tilfelle av krypto-hacker som har sett involvering av myndighetene.

FBI setter ansvar for $100M Harmony Bridge-hacket på Lazarus Group

Forrige juni, under et år med rekordmengder stjålet i bro-angrep, tapte Harmony-broen rundt $100 millioner i Ether. På det tidspunktet, sa en offisiell annonsering fra Harmony, at de arbeidet med myndighetene for å etablere årsaken til angrepet og gjenopprette fondene. FBI bekreftet at den notoriske nord-koreanske statssponsede hacker-organisasjonene Lazarus Group og APT38 var ansvarlige for angrepet. Påstandene markerte første gang at den amerikanske regjeringen offisielt anklaget gruppen for Harmony-angrepet. Blockchain-eksperter som utførte på-chains-forensisk analyse, tilskrev hacket til de samme aktørene.

Lazarus Group har også vært koblet til, blant annet, hacket av Ronin-broen i fjor, på et tidspunkt da regjeringen hadde advart mot at krypto-selskaper ville bli mål for hackerne. FBI sa også at den 13. januar, brukte nord-koreanske hackere RAILGUN, en privat-protokoll, for å usynliggjøre hvitvasking av $60 millioner Ether, som ble sendt til krypto-børser, og deretter konvertert til Bitcoin. Imidlertid, gjennom transaksjonssporing og analyse, ble en del av disse fondene identifisert, frosset og gjenopprettet av disse virtuelle tjenesteleverandørene (VASPs). De resterende fondene, som ennå ikke var blitt gjenopprettet, har blitt overført til 11 distinkte Ethereum-adresser, ifølge FBI.

Wormhole-bro-hacket oppdatering

Hacker shuffler $155 millioner i stjålet penger, og øker

En lommebok koblet til en av de største bruddene i krypto-industrien i 2022, kom til live igjen dette året, og overførte over $155 millioner i stjålet penger. Transaksjonen, en første gang på flere måneder, hadde som mål å øke deres ETH-posisjon. I januar, observerte krypto-samfunnet på-chains-informasjon som viste en rekke aktiviteter som aktøren som hacket over $321 millioner verdi av Ether (120 000 wETH) fra Wormhole Portal Token Bridge, hadde vært opptatt av. Angriperens sekvens av bytte begynte med at deres adresse konsoliderte Ether, før de initierte en bytte av 95 630 tokens for 96 677 av Lido’s staked Ether (stETH) gjennom den desentraliserte bytte-aggregatoren OpenOcean.

Deretter wrapet aktøren 86 473 stETH inn i wstETH, Lido’s liquid token utstedt til Ether-stakere. Av hans nylig tilegnede wrapped-tokens, kollateraliserte han 25 000 wsETH for å låne 13 millioner DAI. Angriperen brukte deretter DAI til å få 8 000 stETH via Ethereum-basert DEX Kyber Networks, og utførte flere andre lignende handler via DeFi-protokoller som 1Inch, mens han fortsatte å øke. Den ulovlige aktøren mottok en ytterligere $1,5 millioner verdi av DAI, som også ble byttet for 923 stETH.

$61 millioner flyttet i søken etter arbitrage på Ether-pegged-aktiver

De ulovlige krypto-aktivene fra ett av de største bro-hackene i krypto-industrien i fjor, var også på bevegelse forrige måned. PeckShield observerte at hackernes assosierte lommebok også så noen aktivitet i februar, og overførte krypto-aktiver totalt $46 millioner. Angriperens fremste angrep så dem gjøre seg av med over $320 millioner verdi av Wrapped ETH (wETH) i februar 2022. Aktøren shufflet 95 630 ETH verdi $155 millioner den 12. februar, og sendte dem til den desentraliserte bytte-børsen OpenOcean DEX, og deretter konverterte dem til ETH-pegged-aktiver – Lido’s wstETH og stETH.

Blockchain-sikkerhetsfirmaet noterte også at angriperen, som har ignorert en $10 millioner bug-bounty-tilbud, ser ut til å søke avkastning eller arbitrage-muligheter med de stjålne aktivene, da de ble byttet for 16,6 millioner DAI, en MakerDAO-stablecoin. Utnytteleren deployerte en ytterligere 8,8k wstETH ($15 millioner) til MakerDAO. Wormhole gjentok også sitt tilbud til utnytteleren om å returnere fondene og motta en $10 millioner belønning.