Golpe de Saída da Kokomo Finance e Ataque à Swerve Finance Comprovam a Onipresença de Explorações DeFi em 2023

O nicho de finanças descentralizadas (DeFi) tem registrado um progresso fenomenal desde que surgiu de forma consistente por volta de 2017, mas não sem grandes contusões. Durante esse meio décimo de década, o espaço DeFi evoluiu rapidamente, refletido em seu valor total bloqueado (TVL), que ultrapassou US$ 180,38 bilhões em dezembro de 2021, segundo dados da DeFi Llama. O rápido crescimento deste subsector cripto, especialmente nos últimos anos, tem sido atribuído a várias influências, incluindo a demanda crescente por ativos cripto e a natureza incentivada das ofertas.

Gráfico de crescimento DeFi. Fonte: DeFi Llama

Por outro lado, esse crescimento acelerado e a liquidez associada concomitantemente atraíram atores inescrupulosos que buscam explorar as vulnerabilidades presentes no espaço.

Tendência e natureza das explorações de cripto & DeFi

Nos últimos três anos, houve uma ocorrência acelerada de incidentes de roubo de cripto de alto perfil. A maioria deles envolveu técnicas como golpes cripto, rug pulls, empréstimos flash e explorações relacionadas ao DeFi.

Histórico de hacks DeFi

Nos rug pulls, o(s) perpetrador(es), geralmente um desenvolvedor (ou equipe), inflacionam o preço do token do projeto e, em seguida, retiram ou removem abruptamente a liquidez antes de abandonar o projeto. Ataques de empréstimos flash, por outro lado, visam falhas em plataformas de empréstimo baseadas em contratos inteligentes e são os mais frequentes. Eles aproveitam a natureza não colateralizada dos empréstimos flash – não é necessário colateral antecipado, mas o tomador deve efetuar o pagamento dentro da mesma transação da cadeia. Os exploradores tomam somas enormes de ativos cripto de um protocolo DeFi, então manipulam seus preços em uma exchange antes de rapidamente sair da posição em outra.

Representação em pizza dos tipos de hacks na história do DeFi

Outras explorações relacionadas ao DeFi incluem bugs em contratos inteligentes, ataques a oráculos e ataques de governança. No caso dos ataques de governança, os hackers buscam controlar votos suficientes para executar propostas que beneficiem seus interesses.

Violação de segurança de cripto & DeFi no passado

A plataforma de análise de blockchain Crystal detalhou em seu relatório recém-publicado sobre violações de segurança e atividades fraudulentas envolvendo cripto que houve mais de 230 hacks DeFi desde 2011. Os US$ 4,18 bilhões em ativos cripto perdidos como resultado dos incidentes contribuíram para impressionantes US$ 16,7 bilhões em criptomoedas roubadas no mesmo período. Notavelmente, a exploração na Ronin Network, que viu o atacante drenar mais de US$ 650 milhões da ponte do Axie Infinity em março passado, permanece a maior.

Ainda mais alarmante, as perdas anuais atribuídas ao roubo de cripto têm aumentado desde a primeira ocorrência de um hack de exchange envolvendo a Mt Gox em junho de 2011. Os 10 maiores ataques DeFi (com base nos fundos roubados) em 2022 totalizaram mais de US$ 2,6 bilhões. O painel da DeFiLlama mostra que protocolos DeFi perderam mais de US$ 3 bilhões em 2022, tornando esse o pior ano nas estatísticas. Embora a frequência e gravidade dos incidentes parecessem ter diminuído no final de 2022, a tendência se reverteu no início do ano.

Até agora em 2023, houve 19 incidentes de violações de cripto (incluindo DeFi) resultando em mais de US$ 372 milhões em ativos roubados. Os fundos perdidos a cada mês aumentaram consistentemente desde janeiro, passando de US$ 14,6 milhões em janeiro para US$ 142,4 milhões em fevereiro, segundo o Rekt Database.

Fundos perdidos e recuperados no último ano. Fonte: Rekt Database

Esse número já mais que dobrou em março, mesmo com poucos dias restantes. No entanto, há um ponto pouco positivo. A perda atribuída a golpes e explorações cripto até agora no primeiro trimestre está em trajetória de queda modesta em relação ao mesmo período do ano passado. Aproximadamente US$ 1,2 bilhão em ativos cripto foi perdido para exploradores no primeiro trimestre de 2022.

Principais explorações até agora e seus resultados finais

Os hacks DeFi notáveis até agora incluem o dreno de US$ 120 milhões do protocolo de empréstimo descentralizado BonqDAO em fevereiro e o ataque de empréstimo flash da Platypus Finance, que fez o protocolo perder US$ 8,5 milhões em fundos de usuários.

Desenvolvedores da Kokomo Finance realizam um golpe de saída

A empresa de análise de blockchain CertiK Alert compartilhou no domingo uma mensagem de um suposto golpe de saída no protocolo de empréstimo baseado em Optimism, Kokomo Finance. A ferramenta de alertas observou uma queda no preço do token KOKO e a desativação das contas sociais do projeto algumas horas depois.

“O implantador do Token KOKO, endereço 0x41BE, implantou o contrato de ataque cBTC. Em seguida, definiu a velocidade de recompensa, pausou o empréstimo e configurou o contrato de implementação para um contrato malicioso. O endereço 0x5a2d… aprovou o contrato cBTC para gastar os 7010 sonne WBTC,” CertiK confirmou em uma publicação subsequente. “Desde que o contrato de implementação foi atualizado para o contrato malicioso cBTC, o atacante chamou o método 0x804edaad para transferir sonne WBTC para o endereço 0x5C8d. Finalmente, o endereço 0x5C8d.. trocou 7010 some WBTC por 141 WBTC (~4M) para lucro.”

Kokomo Finance foi um projeto relativamente novo, tendo sido lançado apenas em 25 de março.

Relatório de avaliação on-chain da Kokomo Finance

Uma avaliação de segurança realizada no protocolo pela empresa de auditoria de contratos inteligentes 0xGuard no início de março mostrou um ‘aprovação’ na maioria dos aspectos, exceto ‘Código sem efeitos’ e ‘erros tipográficos’. O preço do token KOKO desde então despencou para quase zero após o dreno.

Exploiter tenta ‘estratégia white-hat lucrativa’ na extinta Swerve Finance

Em outro incidente este mês, usuários no Twitter observaram atividade suspeita envolvendo a Swerve Finance, um fork baseado em Ethereum, agora extinto, da exchange descentralizada Curve. O ataque de governança ao clone extinto da Curve Finance está agora na segunda semana, enquanto o atacante buscava alcançar o quórum necessário.

O atacante criou uma votação com o objetivo de reivindicar o contrato delegador com US$ 1,3 milhão em stablecoins do pool DAI-USDC-USDT. Em um longo fio, o chefe de pesquisa da Wintermute, Igor Igamberdiev, teorizou que havia evidências suficientes para rastrear o atacante. Igamberdiev revelou a identidade do atacante, que seria o proprietário da pessoa ‘silvavault’ por trás do ataque, em postagens subsequentes.

Igamberdiev forneceu um rastro de evidências on-chain, incluindo transações roteadas via o mixer sancionado Tornado Cash, que ligavam a um indivíduo específico. O acusado, cuja conta no Twitter foi revelada como joaorcsilva, respondeu às alegações, justificando que seus atos não foram motivados por intenções ocultas.

Hacker da Euler Finance devolve uma parte significativa dos fundos roubados

Em um incidente separado, um atacante roubou cerca de US$ 197 milhões em ativos cripto em 13 de março, o que desde então se revelou um caso dramático. Embora a equipe do protocolo DeFi tenha conseguido lidar com o problema na época, não conseguiram recuperar os ativos roubados. As tentativas de contato e de chegar a um acordo falharam, levando a uma recompensa de US$ 1 milhão por qualquer informação que levasse à sua prisão.

Transações do hack da Euler Finance. Fonte: Twitter/BlockSec

O hacker, em uma reviravolta de eventos na semana passada, devolveu 3.000 tokens ETH ao protocolo de empréstimo baseado em Ethereum em 18 de março, em três transações, ainda permanecendo com uma soma significativa.

Durante o fim de semana, o atacante enviou cerca de 51.000 tokens Ether para o endereço do implantador. Ainda no mesmo dia, 25 de março, o atacante realizou uma segunda transação, desta vez enviando 7.737 ETH para o implantador. Até agora, o endereço do hacker devolveu mais da metade da soma roubada. Os desenvolvimentos mais recentes elevaram o preço de pouco mais de US$ 2,50 para US$ 4,30 antes de recuar para US$ 3,80, onde foi visto pela última vez.

Preço da Euler. Fonte: TradingView

Notavelmente, os exploradores da Euler Finance, e da Ronin Network também, usaram o mixer de moedas.

EUA e autoridades internacionais reprimem mixers de moedas por seu papel na lavagem de dinheiro

No início deste mês, a Agência da União Europeia para Cooperação em Aplicação da Lei anunciou que confiscou US$ 46 milhões da ChipMixer por alegações de lavagem de dinheiro. A agência Europol, juntamente com o FBI e autoridades alemãs, alegou que o mixer cripto facilitou a lavagem de 152.000 BTC nos últimos cinco anos, o que equivale a aproximadamente US$ 3 bilhões. Funcionários de aplicação da lei dos EUA relataram que apreenderam 1.909,4 BTC e também ordenaram o encerramento dos servidores de suporte da plataforma. A ação de aplicação vem após ordens restritivas semelhantes impostas ao Tornado Cash.

Este último mixer de moedas também foi alvo de críticas este ano por autoridades dos EUA devido ao seu papel em facilitar crimes ao obscurecer transações e torná-las impossíveis de rastrear em casos de atividades ilícitas. O Departamento de Justiça dos EUA anunciou no início deste ano sanções contra a ferramenta de privacidade, gerando críticas de alguns setores da indústria. Este não é o primeiro caso de hacks de cripto que contou com a participação de autoridades.

FBI atribui responsabilidade pelo hack de $100M da Harmony Bridge ao Lazarus Group

Em junho passado, durante um ano com recordes de valores roubados em ataques a pontes, a ponte Harmony perdeu cerca de US$ 100 milhões em Ether. Na época, um anúncio oficial da Harmony, a blockchain de camada um PoS conectada pela ponte ao Ethereum, informou que estava trabalhando com as autoridades para determinar a causa do ataque e recuperar os fundos. O FBI confirmou que as notórias organizações de hackers patrocinados pelo Estado norte-coreano, Lazarus Group e APT38, foram responsáveis pelo ataque. As alegações marcaram a primeira vez que o governo dos EUA acusou oficialmente o grupo pelo ataque à Harmony. Especialistas em blockchain que realizaram análises forenses on-chain atribuíram o hack aos mesmos atores.

O Lazarus Group também foi ligado, entre outros crimes, ao hack da ponte Ronin no ano passado, quando o governo alertou que empresas de cripto se tornariam alvos dos hackers. O FBI também informou que, em 13 de janeiro, os hackers norte-coreanos usaram o RAILGUN, um protocolo de privacidade, para ocultar a lavagem de US$ 60 milhões em Ether, que foi enviado a exchanges de cripto e depois convertido em Bitcoin. Contudo, por meio de rastreamento e análise de transações, uma parte desses fundos foi identificada, congelada e recuperada por esses provedores de serviços de ativos virtuais (VASPs). Os fundos restantes, que ainda não foram recuperados, foram transferidos para 11 endereços Ethereum distintos, segundo o FBI.

Atualização do hack da ponte Wormhole

Hacker movimenta $155 milhões em fundos roubados e aumenta alavancagem

Uma carteira conectada a uma das maiores brechas na indústria cripto em 2022 se ativou este ano, transferindo mais de US$ 155 milhões em fundos roubados. A transação, a primeira em vários meses, visava alavancar sua posição em ETH. Em janeiro, a comunidade cripto observou informações on-chain mostrando uma sequência de atividades que o ator que hackeou mais de US$ 321 milhões em Ether (120.000 wETH) da Wormhole Portal Token Bridge realizou. A sequência de trocas do hacker começou com seu endereço consolidando Ether antes de iniciar uma troca de 95.630 tokens por 96.677 do Ether em stake da Lido (stETH) através do agregador de exchange descentralizado OpenOcean.

Posteriormente, o ator converteu 86.473 stETH em wstETH, o token líquido da Lido emitido para stakers de Ether. Dentre seus tokens recém-adquiridos, ele usou 25.000 wsETH como colateral para tomar emprestado 13 milhões de DAI. O hacker então alavancou o DAI para obter 8.000 stETH via a DEX baseada em Ethereum, Kyber Networks, e realizou várias outras negociações semelhantes através de protocolos DeFi como 1Inch, enquanto continuava a alavancar. O ator ilegal recebeu ainda US$ 1,5 milhão em DAI, que também foi trocado por 923 stETH.

$61 milhões movimentados em busca de arbitragem em ativos atrelados ao Ether

O cripto obtido ilicitamente de um dos maiores hacks de ponte na indústria cripto no ano passado também foi movimentado no mês passado. A PeckShield observou que a carteira associada ao hacker também teve alguma atividade em fevereiro, transferindo ativos cripto totalizando US$ 46 milhões. O ataque principal da entidade hacker fez com que ela levasse mais de US$ 320 milhões em Wrapped ETH (wETH) em fevereiro de 2022. Os atores movimentaram 95.630 ETH, equivalentes a US$ 155 milhões, em 12 de fevereiro, enviando-os para a exchange descentralizada OpenOcean DEX, e então convertendo-os em ativos atrelados ao Ether – wstETH e stETH da Lido.

A empresa de segurança blockchain também observou que o hacker, que desde então ignorou uma oferta de recompensa de US$ 10 milhões por bug, parece estar buscando oportunidades de rendimento ou arbitragem com os ativos roubados, já que foram trocados por 16,6 milhões de DAI, uma stablecoin da MakerDAO. O explorador implantou mais 8,8 mil wstETH (US$ 15 milhões) na MakerDAO. A Wormhole também reiterou sua oferta ao explorador para devolver os fundos e receber uma recompensa de US$ 10 milhões.