Mga pag-atake sa crypto at DeFi noong Abril: Yearn, mga MEV bot, at pagbawi ng pondo sa Euler at Sushi

Iniulat ng PeckShield noong Huwebes, Abril 13, ang isang pag-atake na kinasangkutan ng lumang kontrata ng Yearn Finance. Ayon sa pagsusuri, maling pagkaka-configure ng yUSDT ang nagbigay-daan upang makalikha ang umaatake ng napakalaking dami ng token mula sa 10,000 USDT. Ginamit ang Aave v1 sa mga transaksiyon, ngunit hindi ang Aave mismo ang pinagmulan ng kahinaan.

Lumang kontrata ng Yearn Finance ang nasangkot sa pag-atake

Ang paunang pagsusuri ng PeckShield ay nagsabing nagamit ang maling pagkaka-configure upang lumikha ng napakaraming yUSDT at makakuha ng humigit-kumulang 11 milyong dolyar sa DAI, USDT, USDC, BUSD, at TrueUSD (TUSD). Nilinaw ni Marc Zeller, na namumuno sa mga integrasyon ng Aave, na ang ginamit ay Aave v1, na naka-freeze na mula Disyembre 2022; hindi naapektuhan ang kasalukuyang mga bersiyon ng Aave. Naglabas din ng abiso ang Yearn tungkol sa lumang kontrata.

«Sinusuri namin ang isang problema sa iearn, isang lumang kontrata na nauna sa Vaults v1 at v2. Mukhang limitado ito sa iearn at hindi nakaaapekto sa kasalukuyang mga kontrata o protocol ng Yearn. Hindi nababago ang kontrata ng iearn at mas nauna ito sa YFI; itinigil ang paggamit nito noong 2020. Itinigil din noong 2021 ang Vaults v1, na may mga estratehiyang maaaring i-upgrade, at walang indikasyong apektado ito. Hindi rin apektado ang kasalukuyang Vaults v2.»

May hindi inaasahang epekto ang mga transaksiyon: nabayaran ang utang sa USDT ng isang gumagamit ng Aave, ayon sa mga rekord. Tumulong ang OtterSec at mga pangkat na kaugnay ng Aave sa pagsusuri. Ang Nansen ay nakapansin na ipinadala ang mga nakuhang pondo sa tatlong address. Ayon sa datos sa blockchain, 1,000 ETH ang idineposito sa Tornado Cash, posibleng upang pahirapan ang pagsubaybay. Nakatanggap ang isa pang wallet ng mahigit 4.7 milyong DAI at 2.5 milyong USDC. Dagdag ito sa mga paglabag sa seguridad na naiulat sa decentralized finance o DeFi ngayong taon.

Tinatayang 452 milyong dolyar ang nawala sa mga hack at scam sa unang quarter; 29% ang nabawi

Ayon sa Chainalysis, sa DeFi nagmula ang 82.1% ng 3.8 bilyong dolyar na cryptocurrency na ninakaw sa mga hack noong 2022. Sa ulat naman ng De.Fi para sa unang quarter ng 2023, tinatayang 452 milyong dolyar ang nawala sa mga hack at scam, mas mababa sa humigit-kumulang 1.3 bilyong dolyar noong kaparehong panahon ng nakaraang taon. Halos kalahati ng mga pagkalugi ay naitala sa unang tatlong linggo ng Marso. Pinakamalaki ang pag-atake sa Euler Finance noong Marso 13, na tinatayang 197 milyong dolyar. Kasama rin sa pinakamalalaking naiulat na insidente ang BonqDAO/AllianceBlock noong Pebrero, na may iniulat na halagang 120 milyong dolyar; ang umano’y 45 milyong dolyar na CoinDeal investment scam; ang 16.5 milyong dolyar na Monkey Drainer phishing operation; at ang 8.5 milyong dolyar na pag-atake sa Platypus Finance gamit ang flash loan. Ang mga pagtatayang ito ay nakabatay sa pag-uuri at pagpepresyo sa ulat.

Mga bagong mamumuhunang natatakot mapag-iwanan ang puntirya

Itinala ng De.Fi ang 17 insidente ng pagsasamantala sa smart contract at walong rug pull, kung saan iniiwan ng mga operator ang proyekto matapos kunin ang pondo. Iniugnay nito ang humigit-kumulang 200 milyong dolyar na pagkalugi sa mga pag-atakeng gumagamit ng flash loan. Madalas ding puntiryahin ang mga bagong token, na madaling ilunsad at maipagbili sa mga baguhang natatakot mapalampas ang pagkakataon. Limang insidente sa mga platform ng paghiram at pagpapautang ang umabot sa iniulat na 336 milyong dolyar na pagkalugi. BNB Chain ang may pinakamaraming insidente, na 18. Tinatayang 130 milyong dolyar, o 29% ng nawalang pondo, ang nabawi, kumpara sa 40% ng humigit-kumulang 1.29 bilyong dolyar noong unang quarter ng 2022.

Kahinaan sa burn function ng SafeMoon

Noong Marso 28, nasamantala ang pampublikong burn function sa bagong bersiyon ng kontrata ng SafeMoon. Maaari nitong sunugin ang token sa liquidity pool nang walang wastong paghihigpit. Ayon sa mga unang ulat, humigit-kumulang 27,000 BNB ang nakuha mula sa SFM/WBNB pool. Nag-iwan ang address na nakakuha ng pondo ng mensaheng nagsasabing naunahan lamang nito ang ibang pag-atake: «Huminahon muna kayo. Hindi sinasadyang naunahan namin ang isang pag-atake laban sa inyo. Gusto naming ibalik ang pondo. Magtakda tayo ng ligtas na paraan ng komunikasyon at mag-usap.» Sinabi ng SafeMoon sa isang post noong nakaraang linggo na nagpatuloy na ang trading sa platform nito.

Inilarawan din ng update noong Abril 5 ang ilang pagbabago sa tokenomics at ang paglulunsad ng bagong SWaP interface.

«Patuloy naming sinisikap na mabawi ang mga pondo sa liquidity pool […] Malaki na ang aming pag-usad at patuloy kaming kumikilos upang maibalik ang normal na operasyon para sa lahat ng gumagamit», sabi ng SafeMoon sa pinakahuling komunikasyon ngayong linggo.

Mga paglabag sa seguridad ng DeFi sa Abril

Sa simula ng Abril, nasamantala rin ang multichain bridge na Allbridge. Sa insidenteng iniulat noong Abril 2, ginamit ng umaatake ang pagdaragdag ng liquidity at pagpapalit ng token upang manipulahin ang presyo sa mga pool sa BNB Chain. Gumampan ito bilang tagapagbigay ng liquidity at bilang gumagamit na nagpapalit ng token.

Na-exploit ang cross-chain protocol na Allbridge

Tinaya ng CertiK ang pagkalugi sa 549,874 dolyar, habang humigit-kumulang 573,000 dolyar ang pagtataya ng PeckShield: 282,889 dolyar sa BUSD at 290,868 dolyar sa USDT. Sinabi ng Allbridge na nakikipagtulungan ito sa mga kasosyo at komunidad upang matunton ang responsable. Nag-alok ito ng gantimpala at nangakong hindi magsasampa ng kaso kung ibabalik ang pondo sa ilalim ng kasunduang white hat.

1,500 BNB na ibinalik

Ibinalik ng isang umaatake ang 1,500 BNB, na nagkakahalaga noon ng humigit-kumulang 465,000 dolyar. Kinonvert ito sa BUSD para sa mga apektadong gumagamit, at itinuring ng Allbridge na gantimpala ang pondong naiwan sa taong iyon. Sinabi rin ng pangkat na may ikalawang umaatake na gumamit ng parehong paraan ngunit hindi pa nakikipag-ugnayan. Ibinahagi nito ang address na may natitirang 0.97 BNB, o humigit-kumulang 302.50 dolyar. Noong Martes, ibinahagi ng Allbridge na natapos ang unang bayad para sa mga aplikasyon sa pagbawi na natanggap hanggang Abril 9. Hinikayat nitong sundin ng mga may natitirang problema ang proseso ng paghahabol.

Ang mga pangyayari pagkatapos ng SushiSwap exploit

Iniulat ng PeckShield noong Linggo, Abril 9, ang isang kahinaan sa SushiSwap na nagdulot ng pagkawala ng humigit-kumulang 3.3 milyong dolyar sa gumagamit na kilala bilang 0xSifu. Hiniling ng security firm at ni Jared Grey, ang Head Chef ng Sushi, na bawiin ng mga apektado ang mga pahintulot sa paggastos ng token sa lahat ng kaugnay na chain. Ang kahinaan ay nasa RouteProcessor2, isang kontratang ginagamit sa pagpili ng ruta ng pagpapalit ng token, at may kaugnayan sa mga naibigay na approval. Ayon sa mga unang ulat, kailangang magsuri lalo na ang mga gumamit ng apektadong router sa nakaraang mga araw.

Nalagay sa panganib ang mga token na may approval sa mahinang kontrata

Ang approval sa kontrata ang nagbigay rito ng kakayahang gumastos ng token; nasamantala ang kahinaan upang kumuha ng pondo nang hindi nilayon ng may-ari. Ayon sa pagsusuring iniulat ni Brad Kay ng The Block Research, unang gumamit ang isang pinaniniwalaang white hat ng function na «yoink» upang kunin at iligtas ang 100 ETH. Gumamit naman ang isa pang aktor ng «notyoink» at nakakuha ng humigit-kumulang 1,800 ETH.

Mga pagsisikap sa pagbawi

Sinabi ni Grey na nabawi ang mahigit 300 ETH mula sa nawawalang pondo ni 0xSifu at may pagsisikap pang mabawi ang mahigit 700 ETH. Hinikayat din ng CTO na si Matthew Lilley ang mga gumagamit na suriin at bawiin ang anumang mapanganib na approval. Ayon sa kanya, inalis na sa front end ang paggamit ng RouteProcessor2 upang hindi na malantad sa apektadong router ang mga bagong pagpapalit at aktibidad ng liquidity provider.

Mga plano para sa pagbabayad sa mga apektado

Sinabi ng chief ng Sushi sa Discord na maglulunsad ang pangkat ng site para sa pag-claim ng mga token na may vesting sa Merkle Distributor. Hiwalay itong programa sa pagbabayad kaugnay ng exploit. Abril 23 ang deadline ng programang iyon, at ang hindi nakuhang SUSHI ay mapupunta sa treasury. Sa update noong Miyerkules, ang SushiSwap ay nagpahayag ng plano nitong ibalik ang pondo sa mga apektadong may-ari.«Kung nasa kontratang white hat na ito ang iyong pondo, ibig sabihin ay nailigtas ito ng mga eksperto sa seguridad at magiging maaaring i-claim sa lalong madaling panahon. Kung wala sa kontratang iyon ang pondo, kailangang mag-email o magbukas ng ticket sa aming Discord at isama ang transaction ID at blockchain ng nawawalang pondo. Mas matagal ipoproseso ang mga claim para sa pondong nasa black hat, dahil kailangang manu-manong tiyakin ang pagiging lehitimo nito gamit ang datos sa blockchain bago magbayad», ayon sa post ng SushiSwap.

Pag-atake laban sa mga Ethereum MEV bot

Noong Abril 3, nakakuha ang isang mapanlinlang na validator ng humigit-kumulang 25 milyong dolyar mula sa ilang MEV bot sa Ethereum. Ang MEV, o maximal extractable value, ay halagang maaaring makuha sa pagpili at pagsasaayos ng mga transaksiyon sa isang block. Kabilang sa mga gumagamit nito ang mga arbitrage bot at mga bot na nagsasagawa ng sandwich attack.

Narito ang nangyari

Ayon sa CertiK, walong transaksiyon mula sa limang bot ang nasamantala sa Ethereum block 16964664. Sa sandwich attack, bumibili muna ang bot bago ang transaksiyon ng target at nagbebenta pagkatapos nito upang makinabang sa pagbabago ng presyo. Nakakuha ang mapanlinlang na validator ng impormasyon tungkol sa mga transaksiyon at bumuo ng ibang block na binago ang pagkakasunod-sunod, kaya nasamantala ang mga bot sa halip na makumpleto ang kanilang mga estratehiya.

Sa kabuuan, $25.39 milyon ang napunta sa maling kamay, na may breakdown na inilathala ng security firm – 64.9 WBTC, 7,460.8 WETH, 5,297,649.9 USDC, 3,027,396 USDT, at 1,698,384 DAI. Sa oras ng pagsulat nito, ang mga pondo ay karamihan ay nakapaloob sa tatlong wallet. Tinawag ito ng CertiK na isa sa pinakamalaking MEV bot exploit kailanman, kung saan ang huling ganitong malaking hack ay noong Setyembre 2022, nang 800 ETH sa MEV arbitrage gains ang ninakaw dahil sa kahinaan ng bot.

Itinuring ng OtterSec ang pag-atake na pinagplanuhan, dahil naghanda ang aktor ng pondo ilang linggo bago nito. Ayon sa CertiK, nilikha ang validator noong Marso 15. Ang teknikal na kahinaan ay nasa relay na naglabas ng detalye ng block bago matiyak na tatanggapin ng network ang nilagdaang block.

Nagpatupad ang Flashbots ng pagbabago sa relay

Binago ng Flashbots ang MEV-Boost relay upang hindi maulit ang pag-atake. Sa pag-aayos, ipinapadala muna ng relay sa network ang block na nilagdaan ng proposer at inilalabas lamang ang buong nilalaman sa proposer kung matagumpay iyon. Layunin nitong pigilan ang proposer na makuha ang detalye at pagkatapos ay maglabas ng ibang block na may binagong pagkakasunod-sunod. Sinabi rin ng CertiK sa isang panayam na maaaring mag-ingat ang mga MEV searcher sa mga estratehiyang hindi atomic, gaya ng sandwich trading, dahil sila ang napuntirya.

Na-freeze ang USDT sa address na kaugnay ng MEV exploit

Noong Abril 10, iniulat ng isang tagasubaybay ng mga na-blacklist na USDT address sa post ang pag-freeze sa address na may label na «Sandwich the Ripper» at kaugnay ng MEV exploit. May humigit-kumulang tatlong milyong USDT sa address na hindi na maaaring ilipat. Ayon sa mga ulat noon, mas malaking bahagi ng ibang nakuha, kabilang ang 14.3 milyong dolyar sa WETH at mahigit 3.6 milyong dolyar sa iba pang asset, ay nanatili sa mga address ng aktor. Nagdulot ng pagtatalo ang pag-freeze: may mga naniniwala na masamang halimbawa ito para sa sektor. Itinuring nila ang kakayahan ng Tether na humarang sa paglilipat ng USDT bilang sentralisadong kapangyarihan at nagbangon ng mga alalahanin tungkol sa posibleng pang-aabuso ng kapangyarihan at ang mga implikasyon nito sa DeFi niche.

Nagbukas ang Euler ng pagkuha ng naibalik na pondo

Noong Abril 4, kinumpirma ng Euler Foundation na naibalik noong Abril 3 ang lahat ng pondong inaasahang mababawi mula sa pag-atake noong Marso 13, na nagkakahalaga noon ng humigit-kumulang 197 milyong dolyar. Tinapos nito ang kampanyang may isang milyong dolyar na gantimpala para sa impormasyon tungkol sa umaatake. Ayon sa naunang pagsubaybay ng Arkham Intelligence, kabilang sa huling mga paglilipat ang 10,580 ETH na tinatayang 19 milyong dolyar at 12 milyong DAI na ipinadala sa tatlong transaksiyon.

Pagkatapos ng pag-atake noong Marso 13, inalok ng Euler na maaaring panatilihin ng umaatake ang 10% ng nakuha, o humigit-kumulang 19.7 milyong dolyar, kung ibabalik ang natitirang 90%. Nag-alok din ito ng isang milyong dolyar para sa impormasyong makatutulong sa pagkilala sa aktor kung hindi maibabalik ang pondo. Nagsimula ang mga pagbabalik noong Marso 18 sa 3,000 ETH, na nagkakahalaga noon ng humigit-kumulang 5.4 milyong dolyar. Kabilang sa malalaking sumunod na pagbabalik ang iniulat na 58,737 ETH, o humigit-kumulang 102 milyong dolyar, sa mga paglilipat noong Marso 25. Humingi rin ng paumanhin ang aktor sa mga mensahe sa blockchain at nangakong ibabalik ang natitira.

Ayon sa pinal na plano ng Euler noong Abril 12, umabot sa 95,556.36 ETH at 43,063,729.35 DAI ang naibalik sa treasury. Hindi pa kasama sa nabawi ang 1,100 ETH na ipinadala sa Tornado Cash at 100 ETH na napunta sa address na kaugnay ng Ronin attacker. Nagbukas ang protocol ng proseso upang makuha ng mga apektadong gumagamit ang naibalik na pondo. Nagbayad naman ang Nexus Mutual ng humigit-kumulang 2.4 milyong dolyar sa mga may insurance. Sa ilalim ng mga tuntunin ng claim, kailangang ibalik sa mutual ng nabayarang claimant ang kaugnay na reimbursement mula sa Euler; hindi ito awtomatikong utang ng Euler sa insurer.

Iba pang naiulat na insidente ng paglabag sa seguridad

Iniulat ng metaverse project na MetaPoint na nakakuha ang isang umaatake ng 2,515 BNB. Ayon sa PeckShield, ipinadala ang pondo sa Tornado Cash. Kinumpirma ng proyekto ang insidente sa Telegram dito at sinabing sinuspinde nito ang lahat ng operasyon.

Iniulat din noong Abril 10 ang paglabag sa liquidity wallet ng Terraport Finance, halos dalawang linggo matapos itong ilunsad. Nasa humigit-kumulang dalawang milyong dolyar ang unang pagtataya sa pagkawala. Sinabi ng Terraport sa isang update na alam nito ang insidente at iniimbestigahan ang problema matapos magsagawa ng mga hakbang upang protektahan ang platform.

Sa labas ng DeFi, ang South Korean exchange na GDAC ay nag-ulat ng hack na tinatayang 14 milyong dolyar. Sinuspinde nito ang mga deposito at withdrawal habang inaayos at iniimbestigahan ang insidente. Ayon kay CEO Han Seunghwan, bahagyang mahigit 20% ng mga asset na hawak nito para sa mga customer ang nawala. Nakuha umano ang ilang hot wallet noong Abril 9, oras sa Korea, bago inilipat ang pondo sa mga address ng umaatake. Kabilang sa iniulat na nawala ang humigit-kumulang 61 BTC, 350.5 ETH, 220,000 USDT, at 10 milyong WEMIX.

Hindi pa magagamit ang withdrawal sa oras ng ulat. Sinabi ni Seunghwan na nakatuon ang exchange sa imbestigasyon at wala pang takdang petsa para ibalik ang serbisyo. Isa ito sa mga malalaking pag-atake sa centralized exchange na naiulat noong 2023. Naganap ito mahigit isang taon matapos ang hack sa Crypto.com noong Enero 2022, na may unang iniulat na pagkalugi na lampas 15 milyong dolyar.

Huobi at Gala Games: hanggang 50 milyong dolyar na planong kompensasyon sa pGALA

Noong Abril 3, inanunsyo ng Gala Games at Huobi, ang exchange na kilala rin bilang HTX, ang planong maglaan ng crypto at mga lisensiya ng software na may kabuuang tinatayang halaga na hanggang 50 milyong dolyar para sa mga gumagamit ng Huobi na naapektuhan ng insidente sa pGALA noong Nobyembre 2022.

Ayon sa anunsyo, maglalaan ang Huobi ng 25 milyong dolyar sa cash at mga benepisyo sa gumagamit: 15 milyong USDT at karagdagang benepisyong katumbas ng 10 milyong dolyar. Magbibigay naman ang Gala Games ng mga lisensiya ng node na tinatayang 25 milyong dolyar. Nakatakdang simulan ang programa sa linggo ng anunsyo.

Kinasangkutan ng insidente noong Nobyembre 3, 2022 ang pGALA, ang bersiyon ng GALA na inilalabas ng pNetwork sa BNB Chain. Inamin ng pNetwork na nag-mint ito ng malaking dami ng token at inalis ang liquidity sa PancakeSwap bilang tinawag nitong white-hat operation upang maunahan ang posibleng pagnanakaw. Ayon sa sariling ulat nito, 12,977 BNB, na nagkakahalaga noon ng humigit-kumulang 4.6 milyong dolyar, ang nakuha mula sa pool. Tinutulan ng Gala at Huobi ang paghawak sa insidente.

Nagsampa ng kaso ang Gala laban sa pNetwork

Inanunsyo ng Gala noong Marso 20 ang kasong negligence at pakikialam sa inaasahang ugnayang pangnegosyo laban sa pNetwork. Inakusahan nitong hindi naayos ang maling configuration at nagkaroon ng impresyon ng isang bilyong dolyar na hack, na nakapinsala sa merkado ng GALA. Ayon sa mga ulat tungkol sa kaso, tinaya nito sa 25 milyong dolyar ang pinsala at humingi ng 27.7 milyong dolyar na danyos, kabilang ang mga gastos, karagdagang kabayaran, at punitive damages. Inanyayahan ng Gala ang ibang apektado na makipag-ugnayan sa legal team nito, at sinabi ng Huobi na sinusuportahan nito ang pagsisikap. Ayon sa plano, iko-convert sa GALA at susunugin ang anumang mapagkaloob na danyos matapos ibawas ang gastos sa kaso.