10 kända DeFi- och bryggincidenter från 2021–2022

Tio historiska säkerhetsincidenter visar olika risker inom DeFi, bryggor mellan blockkedjor och kryptotjänster. DeFi betyder decentraliserad finans och omfattar bland annat handel, utlåning och likviditetstjänster. Decentralisering garanterar varken integritet, säkerhet eller avkastning. Alla företag i listan är inte själva decentraliserade protokoll.

Tillväxten har följts av brister i kontrakt, nyckelhantering, styrning och webbgränssnitt. Urvalet nedan gäller kända incidenter från 2021–2022, inte dagens tio största attacker. Dollarbeloppen är historiska uppskattningar; stulna tillgångar, exponerade medel och slutliga förluster är olika saker.

1. Ronin Network — cirka 625 miljoner dollar

Ronin-bryggan angreps den 23 mars 2022 och incidenten offentliggjordes den 29 mars. Värdet uppskattades historiskt till omkring 625 miljoner dollar. Bryggan förband Ronin med Ethereum och användes bland annat för Axie Infinity-spelares tillgångar.
Axie Infinity är ett blockkedjespel där spelare samlar, låter strida och föder upp digitala varelser. Egenskaper påverkar knappheten, men belöningar och marknadsvärde är inte garanterade.

Angriparen fick kontroll över behörigheterna hos fem av nio validatorer och kunde godkänna otillåtna uttag av 173 600 ETH och 25,5 miljoner USDC. Sky Mavis ersatte senare användarnas medel. Det var inte samma sak som att återfå den stulna summan. I september 2022 rapporterade Chainalysis att över 30 miljoner dollar av stöldgodset hade beslagtagits. Påståendet att ingenting hade återfunnits var därför felaktigt.

2. Poly Network — cirka 610 miljoner dollar

Den 10 augusti 2021 angreps Poly Network på Ethereum, BNB Smart Chain och Polygon för omkring 610 miljoner dollar. SlowMists tekniska analys visade att angriparen missbrukade anrop mellan kontrakt för att ersätta den betrodda keepern. Det var inte stulna privata validatornycklar av samma slag som i Ronin.

Under återställningen låg en stor återstående summa tillfälligt i en multisigplånbok där både projektet och angriparen behövde medverka. Poly Network erbjöd en belöning på 500 000 dollar och uttalade sig om att inte driva åtal, men kunde inte garantera immunitet från myndigheter. Påståendet att 268 miljoner dollar fortfarande är låsta beskrev inte det avslutade förloppet.

Den 23 augusti uppgav Poly Network att kontrollen över de återstående tillgångarna hade återställts. Tether frigjorde även cirka 33,43 miljoner frysta USDT till återställningsplånboken den 25 augusti. Den 26 augusti meddelade Poly Network att samtliga drabbade tillgångar återställts. De 33 miljonerna var alltså inte oförklarligt försvunna. Angriparens påstående att attacken gjordes för skojs skull var dennes egen förklaring.

3. Wormhole Bridge — cirka 325 miljoner dollar

Wormhole förmedlar meddelanden och tokenöverföringar mellan blockkedjor. En inlindad token representerar tillgångar på en annan kedja och kräver korrekt verifiering och täckning.
Vid denna incident den 2 februari 2022 kringgicks verifieringen på Solana-sidan. Angriparen skapade 120 000 wETH utan motsvarande säkerhet, inte bara 93 750. Av dessa löstes 93 750 in mot ETH på Ethereum. Jump Crypto tillförde 120 000 ETH för att återställa täckningen; detta var en kapitalinsats, inte en återbetalning från angriparen.

4. Nomad Bridge — cirka 186–190 miljoner dollar

Nomad angreps den 1 augusti 2022 efter att en kontraktsändring lämnat en autentiseringsbrist som accepterade ogiltiga meddelanden. Uttag krävde därmed inte någon motsvarande insättning. Det var inte en ny lånemöjlighet som angriparna hade skapat.
Förfarandet var enkelt att kopiera. Nomad rapporterade över 300 deltagande adresser och publicerade uppgifter om adresser och transaktioner för utredningen. Adresser är inte nödvändigtvis olika personer. Teamet bad om återbetalning och skapade en återställningsplånbok och ett belöningsprogram.
Den 17 augusti 2022 uppgav Nomad att över 37 miljoner dollar, omkring 20 procent, hade återkommit. Det daterade beskedet är mer precist än en obestämd uppgift om drygt 30 miljoner tillbaka och resten fortfarande borta. Återställningen omfattade frivilliga återbetalningar och fortsatt utredning.

5. Beanstalk Farms — cirka 182 miljoner dollar i påverkan, 77 miljoner i stulna icke-Bean-tillgångar

Beanstalk är ett kreditbaserat stablecoinprotokoll. Beans koppling skulle stödjas genom incitament för långivare, inte en vanlig dollarreserv per token. Algoritmiska stablecoins har olika modeller och använder inte alla samma digitala reserver.
Den 17 april 2022 använde angriparen ett flashlån för att få tillräcklig röstmakt och genomföra ett skadligt styrningsförslag som förde bort protokollets tillgångar. Den ofta citerade påverkan på cirka 182 miljoner dollar var inte samma sak som nettobytet. Beanstalk uppgav att omkring 77 miljoner dollar i andra tillgångar än Bean stals.
En mindre överföring på omkring 250 000 dollar gick till en ukrainsk donationsadress. Påståendet att angriparen behöll cirka 70 miljoner och skänkte hela återstoden av 182 miljoner till flyktingar var fel. Återbetalning av flashlån och skillnader mellan bruttopåverkan och nettobytet innebär inte en jättelik välgörenhetsdonation.

6. Wintermute — cirka 160 miljoner dollar

Wintermute är en kryptomarknadsgarant. Den 20 september 2022 stals omkring 160 miljoner dollar från dess DeFi-verksamhet. Incidenten kopplades till en igenkännbar adress skapad med Profanity och svag nyckelgenerering. Vanity wallet var inte produktnamnet på en förvaringstjänst för alla användare.
Offlineförvaring av nycklar kan minska exponeringen för nätangrepp, exempelvis med fysisk nätverksseparering. Men kall förvaring löser inte alla kontraktsfel eller skadliga tokenmedgivanden. Säker nyckelgenerering, begränsade behörigheter och omsorgsfull hantering av operativa plånböcker behövs också.

7. Compound — felaktiga COMP-belöningar, inte bevisad nettoförlust på 150 miljoner dollar

Compound är ett utlåningsprotokoll som fortsatte efter incidenten. Den 29 september 2021 införde förslag 62 ett fel i beräkningen av COMP-belöningar. Felet, ibland beskrivet som en läckande kran, betalade ut för mycket befintlig COMP; det skapade inte obegränsat med nya token.
De första 280 000 COMP som nämndes var tillgängliga belöningar i Comptroller-kontraktet, inte en likviditetspool som hackare hade skapat. Mer COMP kunde senare tillföras från Reservoir. Rättningen krävde styrningsförslag och tidsfördröjningar och kunde inte genomföras omedelbart.
Den 14 oktober rapporterade Compound att 163 000 felaktigt uttagna COMP hade återlämnats, 130 000 hade stannat i Comptroller och cirka 200 000 felaktigt utdelade COMP fortfarande var utestående. Förslag 64 rättade felet den 8 oktober och ytterligare bokföringsändringar behövdes. Detta gällde belöningsutdelningen, inte en dokumenterad stöld på 150 miljoner dollar från användarnas insättningar. Siffrorna stödjer inte heller ett generellt påstående att över hälften av ett fast totalbelopp återfanns.

8. Vulcan Forged — cirka 140 miljoner dollar

Attacken mot Vulcan Forged drabbade spelares plånböcker i december 2021. Plattformen erbjuder blockkedjespel och en NFT-marknadsplats. Att token kan användas i andra applikationer garanterar inte högre avkastning.
Enligt Venly komprometterades Vulcan Forgeds servrar, och pinkoder samt företagets inloggningsuppgifter missbrukades för att exportera minst 96 plånböcker. Venly uppgav att dess egna servrar inte hade hackats. PYR-bytet värderades då till cirka 140 miljoner dollar. Den 13 december rapporterade Venly att Vulcan Forged ersatt merparten från den egna kassan, inte att samtliga förluster omedelbart hade ersatts.

9. BadgerDAO — cirka 120 miljoner dollar

Attacken den 2 december 2021 orsakade enligt dåtidens uppskattning förluster på cirka 120 miljoner dollar i bland annat bitcoinanknutna token och ETH. Originalöversikten nämnde cirka 2 100 BTC och 151 ETH; bitcoinbeloppet avsåg representerade token eller bitcoinvärde, inte ursprunglig BTC i ett Ethereum-kontrakt. BadgerDAO erbjöd bitcoininriktade DeFi-produkter, och attacken riktades mot webbgränssnittet.
Skadlig kod fick användare att underteckna oönskade tokenbehörigheter. Den tekniska rapporten beskrev missbruk av en Cloudflare-API-nyckel för Badgers miljö, inte en bevisad kompromettering av hela Cloudflare. Senare beskrev projektets webbplats avveckling av befintliga valvprodukter. Det var en separat produktförändring, inte bevis för att alla protokollkontrakt upphörde vid attacken.

10. Horizon Bridge — cirka 100 miljoner dollar

Horizon Bridge-attacken inträffade den 23 juni 2022 och offentliggjordes den 24 juni. Omkring 100 miljoner dollar stals från bryggans Ethereum-sida. Harmony begränsade driften och inledde utredning med säkerhetspartner och myndigheter.
Komprometterade privata nycklar möjliggjorde otillåtna underskrifter. Den ursprungliga tröskeln var två av fem undertecknare, inte två av fyra. Harmony uppgav efteråt att den höjts till fyra av fem. Oro för den låga tröskeln hade framförts offentligt redan före angreppet. Säkerheten beror både på tröskeln och på oberoende och säker nyckelhantering.

Lärdomar från incidenterna

Ny teknik tar inte bort risken för bedrägerier och angrepp. Fallen visar olika brister i röststyrning med lånade medel, kontraktslogik, nyckelhantering och webbgränssnitt. Utredning och återställning kan hjälpa, men ett tidigare angrepp garanterar varken att problemet förhindras på andra håll eller att offren får tillbaka pengarna.