Mga Pag-hack sa Crypto at Pagkawala dahil sa DeFi Exploits sa Q2 ay Patungo sa Pagtugma sa mga Halaga ng Q1

Ayon sa datos ng kompanyang panseguridad ng smart contract na CertiK, mahigit 320 milyong dolyar ang nawala sa mga kriminal sa sektor ng crypto noong unang quarter ng 2023. Mas mababa ito kaysa sa ikaapat na quarter ng 2022 at sa kaparehong panahon noong nakaraang taon. Iniugnay ng kompanya ang pagbaba sa mga krisis na yumanig sa industriya sa loob ng tatlong buwang iyon.

Kabilang dito ang kaguluhan sa mga merkado ng stablecoin at krisis sa pagbabangko na umabot sa mga digital asset. Dahil dito, isinantabi ng mga mamumuhunan ang kanilang pondo at nabawasan ang interes ng mga bagong kalahok at pagpasok ng kapital. Bago pa sumapit ang kalagitnaan ng ikalawang quarter, inaasahang ang pagkalugi sa mga bagong pag-atake ay papalapit sa halaga noong unang quarter. Pagtataya ito noon, hindi panghuling resulta ng buong ikalawang quarter.

Nawalan ng $103 milyon dahil sa mga pag-hack, exploit, at scam noong Abril

Noong Marso, humigit-kumulang 211 milyong dolyar sa crypto ang ninakaw, pangunahin sa 197 milyong dolyar na pag-hack sa Euler Finance. Mas mababa nang kaunti sa kalahati nito ang pagkalugi noong Abril: tinaya ng CertiK na 103.7 milyong dolyar ang nawala sa mga exploit, hack, at scam.

Ayon sa mga bilang na binanggit sa artikulo, umabot sa 429.7 milyong dolyar ang pagkalugi sa unang apat na buwan. Isa pang malaking insidente noong Abril ang pag-atake sa mga MEV trading bot sa Ethereum, kung saan sinamantala ng mapanlinlang na validator ang mga transaksyon ng bot at nagdulot ng humigit-kumulang 25.4 milyong dolyar na pagkawala. Iniulat ding 23 milyong dolyar sa ether at iba pang asset ang nakuha mula sa isang hot wallet ng Bitrue.

Mga pag-atake gamit ang flash loan

Kabilang sa malalaking flash loan attack noong Abril ang insidenteng kaugnay ng Yearn Finance; biktima ito, hindi ang nagsagawa ng pag-atake. Apektado ang lumang iEarn protocol at mga kaugnay na liquidity pool. Ayon sa PeckShield noong Abril 13, gumamit ang attacker ng bug sa yUSDT contract upang lumikha ng humigit-kumulang 1.3 quadrillion token mula sa 10,000 USDT. Bilang ito ng mga token, hindi halaga sa dolyar. Tinatayang 11.6 milyong dolyar ang halaga ng nakuhang asset matapos ang mga swap: mga 61,000 USDP, 1.5 milyong TUSD, 1.79 milyong BUSD, 1.2 milyong USDT, 2.58 milyong USDC, at 3 milyong DAI.

Inatake ang Hundred Finance noong Abril 15 sa Optimism, ang layer-2 network ng Ethereum, at nawalan ng mga 7.4 milyong dolyar ayon sa pagtatayang ginamit ng artikulo. Kasama sa paraan ang WBTC flash loan at manipulasyon ng exchange rate ng hWBTC. Nang hindi umusad ang negosasyon, nag-alok ang proyekto ng 500,000 USDC para sa impormasyong hahantong sa pagdakip sa attacker at pagbabalik ng lahat ng pondo. Nawalan din ang Hundred Finance ng mga 6.5 milyong dolyar sa reentrancy attack noong Marso 2022. Ayon sa artikulo, 9.4 milyong dolyar ang kabuuang nawala sa mga exit scam noong Abril, kabilang ang Merlin.

Ayon sa CertiK, mga mapanlinlang na developer ang kumuha ng 1.8 milyong dolyar mula sa Merlin

Nawalan ng humigit-kumulang 1.82 milyong dolyar ang Merlin DEX sa zkSync habang isinasagawa ang tatlong araw na pampublikong bentahan ng MAGE token sa huling bahagi ng Abril. Ipinagmamalaki nito ang audit ng CertiK at nakaaakit na kita sa deposito. Kinumpirma ng Merlin ang insidente at hiniling sa mga gumagamit na bawiin ang mga pahintulot ng kanilang wallet. Tinawag naman ito ng CertiK na problema sa pamamahala ng private key.

Sa isang thread na tumatalakay sa insidente, binigyang-diin ng blockchain security firm na naituro nila ang panganib ng centralization sa ilalim ng ‘Decentralization Efforts’ sa kanilang audit report ng Merlin. Gayunpaman, may ilang nagtatanong sa kalidad ng trabaho ng firm. Samantala, ang malicious code na diumano’y nagdulot ng pagkawala ng pondo ay natukoy ng eZKalibur, isang decentralized exchange at launchpad na itinayo rin sa zkSync. Ipinunto ng eZKalibur na ang initialize function ay lumikha ng isang backdoor, na nagpapahintulot ng walang limitasyong paglipat ng mga token mula sa address ng kontrata patungo sa ‘feeTo address.’

Isang plano ng kompensasyon ay ginagawa

Sinabi ng CertiK noong Abril 26 na ini-explore nila ang isang plano ng kompensasyon para sa mga apektado habang patuloy na hinihikayat ang mga responsable na ibalik ang 80% ng pondo at ituring ang natitira bilang white hat bounty. Dagdag pa nila na sa halip na isang pag-atake, ang Merlin ay biktima ng mga rogue developer – na nagpapaliwanag kung bakit nagawang kunin ng entidad ang liquidity pool nang ganun kadali. Ayon sa blockchain security team, pinaniniwalaang nasa Europa ang mga salarin at nakikipagtulungan sila sa mga ahensya ng batas upang dalhin sila sa hustisya kung sakaling mabigo ang direktang negosasyon.

Sa isang update sa sitwasyon noong Biyernes, iginiit ng CertiK na ito ay isang rug pull ng mga developer ng Merlin na sinamantala ang kanilang wallet privileges upang manlinlang sa mga gumagamit. Idinagdag nila na ang mga pagsubok na makipagtulungan sa natitirang koponan ng Merlin ay nahirapan dahil ilang pangunahing miyembro ay ayaw magpatunay ng kanilang pagkakakilanlan, na nagpapahirap sa pag-validate at sa huli ay pagtulong sa mga biktima. Nakapag-freeze na ang CertiK ng $160,000 mula sa ninakaw na pondo hanggang ngayon at mahigpit na minomonitor ang natitirang halaga sa pag-asang maibalik ito. Nakikipagtulungan sila sa mga ahensya ng batas sa US at UK para sa mga pagsisikap na ito at naglaan din ng $2 milyon upang tulungan ang mga biktima at labanan ang exit scams.

Minanipula ng mga hacker ang price oracle upang kumuha ng humigit-kumulang 2 milyong dolyar mula sa 0VIX sa Polygon

Tinamaan ng manipulasyon ng price oracle ang 0VIX sa huling bahagi ng Abril, na may paunang tinatayang pagkawala na mahigit 2 milyong dolyar. Kaugnay ito ng vGHST, na kumakatawan sa GHST ng larong Aavegotchi sa GotchiVault; inspirasyon ng larong iyon ang Tamagotchi. Ayon sa pagtataya ng PeckShield na sinipi ng artikulo, gumamit ang attacker ng mga 6.12 milyong dolyar na stablecoin flash loan upang magbukas ng mga posisyong pangutang sa vGHST.

Minanipula ng attacker ang pagkalkula ng halaga ng vGHST at ang posisyon sa pautang. Ang GHST na ipinadala sa kontrata ay nagpalaki sa exchange rate ng vault token; pagkatapos, ang liquidation ng posisyon ay nagbigay-daan sa pagkuha ng pondo at nag-iwan ng hindi mabayarang utang. Hindi ito simpleng pagtaas ng presyo ng GHST sa buong merkado. Itinigil ng team ang mga lending market sa Polygon PoS at zkEVM habang sinisiyasat ang insidente.

Kalaunan, sinabi ng 0VIX Protocol Association na muling binuksan ang zkEVM market upang ma-access ng mga gumagamit ang pondo nang walang restriksyon. Hiniling nitong suriin ang mga posisyon at health factor at bayaran ang natitirang utang. Pag-iingat lamang ang pagtigil sa zkEVM dahil hindi iyon tinamaan ng exploit. Hindi inilabas ang karagdagang detalye upang maprotektahan ang imbestigasyon, habang patuloy na nagtatrabaho ang team at mga katuwang sa seguridad para mabawi ang ninakaw na pondo.

Isang bug sa reward mechanism ng Level Finance ang nagbigay-daan sa isang attacker na magnakaw ng $1M na LVL tokens

Noong unang bahagi ng Mayo, nakuha mula sa Level Finance ang mga LVL token na nagkakahalaga ng humigit-kumulang 1 milyong dolyar. Kinumpirma ng noncustodial spot at perpetual contracts exchange sa BNB Chain noong Mayo 1 na ang LevelReferralControllerV2 referral contract ang tinarget. Dahil sa paulit-ulit na pagkuha ng reward, nakuha ang mga 214,000 LVL at ipinagpalit sa 3,345 BNB.

Ayon sa blockchain security company na PeckShield, ang hack ay nagmula sa isang bug na nagpayag ng paulit-ulit na referral claims (sa parehong epoch), na kinumpirma ng Level Finance na nagmula sa kamakailang update sa kanilang incentive mechanism. Pansamantalang itinigil ng platform ang kanilang referral program upang tapusin ang pag-atake, bagaman hindi naapektuhan ng pangyayaring ito ang kanilang liquidity pools o mga kaugnay na DAO.

Pinahinto ng Deus Finance ang mga kontrata at sinunog ang DEI matapos ang $6M na pag-hack

Iniulat ng Deus Finance noong unang bahagi ng Mayo ang pag-atake sa DEI stablecoin sa BNB Smart Chain at Arbitrum, na may paunang pagkaluging tinatayang mahigit 6 milyong dolyar. Isang error sa mga pahintulot ng burnFrom function ang nagbigay-daan sa mga paglilipat nang walang pahintulot, at naunahan ng ibang transaksyon ang ilan sa mga exploit. Binanggit ng artikulo ang 1,337,375 BUSD mula sa DEI/BUSD pool at mga 5 milyong dolyar na pagkawala sa Arbitrum; ang huli ay hindi ARB/ETH trading pool. Itinigil ng Deus ang mga kontrata at nagsunog ng DEI token on-chain upang limitahan ang pinsala. Sinuri ng team ang collateral ng DEI at nagplano ng recovery at redemption batay sa mga balanse bago ang pagsunog.

Sinabi ng Deus na sinusuri nito kung mabilis na mababaligtad ang mga transaksyon ng mga naipit sa arbitrage pagkatapos ng insidente. Ayon dito, hiwalay sa DEI ang Deus v3 at hindi naapektuhan. Hiniling nitong ibalik ang 80% ng nakuha at ituring ang natitira bilang white-hat reward. Sa isang pahayag noon, iniulat ng Deus ang pagbabalik ng 2,023 ETH sa address ng recovery multisig wallet na pinamamahalaan ng mga pinagkakatiwalaang miyembrong kaugnay ng Yearn Finance.