10 kilalang insidente sa seguridad ng DeFi at blockchain bridge noong 2021–2022

Ipinakikita ng sampung makasaysayang insidenteng ito ang magkakaibang panganib sa DeFi, mga tulay ng blockchain, at serbisyong kripto. Ang DeFi ay desentralisadong pananalapi, kabilang ang pangangalakal, pagpapautang, at pagbibigay ng pagkatubig. Hindi awtomatikong tinitiyak ng desentralisasyon ang pribasiya, seguridad, o kita. Hindi rin lahat ng kumpanyang nakalista ay desentralisadong protokol.

Kasabay ng paglago, lumitaw ang mga kahinaan sa kontrata, pamamahala ng susi, pagboto, at mga website. Pinili rito ang mga kilalang insidente noong 2021–2022, hindi ang kasalukuyang sampung pinakamalaking pag-atake. Makasaysayang pagtataya ang halagang dolyar; magkaiba ang ninakaw, nalagay sa panganib, at tuluyang nawala.

1. Ronin Network — humigit-kumulang US$625 milyon

Inatake ang tulay ng Ronin noong Marso 23, 2022 at ibinalita ang insidente noong Marso 29. Tinatayang US$625 milyon ang halaga noon. Iniuugnay ng tulay ang Ronin sa Ethereum at ginagamit ito, bukod sa iba pa, para sa mga ari-arian ng manlalaro ng Axie Infinity.

Sa Axie Infinity, nangongolekta, nagpapalaban, at nagpaparami ang mga manlalaro ng digital na nilalang. Nakaaapekto ang mga katangian sa pagiging bihira, ngunit hindi tiyak ang gantimpala o halaga sa merkado.

Nakontrol ng umatake ang mga kapangyarihan ng lima sa siyam na tagapagpatunay at napirmahan ang di-awtorisadong pagkuha ng 173,600 ETH at 25.5 milyong USDC. Pinalitan ng Sky Mavis ang pondo ng mga gumagamit, na iba sa pagbawi ng ninakaw. Noong Setyembre 2022, iniulat ng Chainalysis na mahigit US$30 milyon ng ninakaw ang nasamsam. Kaya mali ang dating pahayag na walang nabawi.

2. Poly Network — humigit-kumulang US$610 milyon

Noong Agosto 10, 2021, humigit-kumulang US$610 milyon ang nakuha mula sa Poly Network sa Ethereum, BNB Smart Chain, at Polygon. Ayon sa teknikal na pagsusuri ng SlowMist, inabuso ang pagtawag ng kontrata sa pagitan ng mga kadena upang palitan ang pinagkakatiwalaang keeper. Hindi ito pagnanakaw ng pribadong susi ng mga tagapagpatunay tulad ng Ronin.

Sa panahon ng pagbawi, pansamantalang nasa pitakang nangangailangan ng maraming lagda ang malaking natitirang halaga; kailangan ang pagtutulungan ng proyekto at umatake. Nag-alok ang Poly Network ng US$500,000 na gantimpala at nagsalita tungkol sa hindi paghahabla, ngunit hindi nito magagarantiya ang kaligtasan sa pag-uusig ng pamahalaan. Hindi panghuling kalagayan ang pahayag na US$268 milyon ay nakapinid pa rin.

Noong Agosto 23, sinabi ng Poly Network na kontrol sa natitirang ari-arian ay naibalik. Inilipat din ng Tether ang humigit-kumulang 33.43 milyong pinigil na USDT sa pitaka ng pagbawi noong Agosto 25. Noong Agosto 26, iniulat ng proyekto ang pagbawi sa lahat ng apektadong ari-arian. Hindi basta nawawala ang US$33 milyon. Sariling pahayag ng umatake ang pagsasabing ginawa niya iyon para sa kasiyahan.

3. Wormhole Bridge — humigit-kumulang US$325 milyon

Nagdadala ang Wormhole ng mga mensahe at token sa pagitan ng mga blockchain. Ang nakabalot na token ay kumakatawan sa ari-arian sa ibang kadena at nakasalalay sa tamang pagpapatunay at sapat na panustos.

Sa insidenteng ito noong Pebrero 2, 2022, nalampasan ang pagpapatunay sa Solana. Nakalikha ang umatake ng 120,000 wETH na walang katumbas na panustos, hindi lamang 93,750. Sa mga ito, 93,750 ang ipinapalit sa ETH sa Ethereum gamit ang tulay. Nagdagdag ang Jump Crypto ng 120,000 ETH upang punan ang kakulangan; hindi iyon ibinalik ng umatake.

4. Nomad Bridge — humigit-kumulang US$186–190 milyon

Noong Agosto 1, 2022, tinanggap ng Nomad ang di-wastong mensahe dahil sa kahinaan sa pagpapatunay matapos baguhin ang kontrata. Naging posible ang pagkuha nang walang katumbas na deposito. Hindi ito bagong pautangang nilikha ng mga umatake.

Madaling kopyahin ang paraan. Iniulat ng Nomad ang paglahok ng mahigit 300 address at naglathala ng datos ng address at transaksiyon para sa imbestigasyon. Hindi palaging magkakaibang tao ang mga address. Humiling ang koponan ng pagbabalik at nagtatag ng pitaka para sa pagbawi at programa ng gantimpala.

Noong Agosto 17, 2022, sinabi ng Nomad na mahigit US$37 milyon, humigit-kumulang 20%, ang naibalik. Mas tiyak ang may petsang bilang kaysa sa walang petsang pahayag na US$30 milyon ang bumalik at nawawala pa rin ang lahat ng natitira. Kasama sa proseso ang kusang pagbabalik at patuloy na imbestigasyon.

5. Beanstalk Farms — humigit-kumulang US$182 milyong epekto, US$77 milyong ari-ariang hindi Bean ang ninakaw

Protokol ng stablecoin na nakabatay sa kredito ang Beanstalk. Layunin nitong mapanatili ang target na presyo ng Bean sa tulong ng mga insentibo sa nagpapautang, hindi karaniwang reserbang isang dolyar bawat token. Magkakaiba ang disenyo ng mga algorithmic stablecoin at hindi lahat ay gumagamit ng parehong digital na reserba.

Noong Abril 17, 2022, gumamit ang umatake ng biglaang pautang na binabayaran sa parehong transaksiyon upang makakuha ng sapat na kapangyarihan sa pagboto. Ipinatupad niya ang mapaminsalang panukalang naglipat ng ari-arian ng protokol. Ang madalas banggiting US$182 milyong epekto ay hindi katumbas ng netong nakuha. Iniulat ng Beanstalk ang humigit-kumulang US$77 milyong ninakaw na ari-ariang hindi Bean.

Humigit-kumulang US$250,000 na maliit na paglilipat ang napunta sa address ng donasyon sa Ukraine. Mali ang pahayag na nagtira ang umatake ng US$70 milyon at ibinigay sa mga lumikas ang buong natitira sa US$182 milyon. Ang pagbabayad ng pautang at pagkakaiba ng kabuuang epekto at netong nakuha ay hindi napakalaking donasyong pangkawanggawa.

6. Wintermute — humigit-kumulang US$160 milyon

Tagapagbigay ng mga presyo at pagkatubig sa merkado ng kripto ang Wintermute. Noong Setyembre 20, 2022, humigit-kumulang US$160 milyon ang ninakaw sa DeFi na operasyon nito. Iniugnay ang insidente sa madaling makilalang address na ginawa sa Profanity at mahinang pagbuo ng susi. Hindi pangalan ng produktong imbakan para sa lahat ng kostumer ang vanity wallet.

Maaaring limitahan ng pag-iimbak ng susi nang hindi nakakonekta ang panganib ng pag-atake sa internet, halimbawa sa pisikal na paghihiwalay sa network. Ngunit hindi nito inaayos ang lahat ng pagkakamali sa kontrata o mapaminsalang pahintulot sa token. Kailangan din ang ligtas na pagbuo ng susi, limitadong kapangyarihan, at wastong pamamahala ng pitakang ginagamit sa operasyon.

7. Compound — maling pamamahagi ng COMP, hindi napatunayang US$150 milyong netong pagkawala

Protokol ng pagpapautang ang Compound na nagpatuloy matapos ang insidente. Noong Setyembre 29, 2021, nagpasok ang panukala 62 ng pagkakamali sa pagkalkula ng gantimpalang COMP. Ang depektong kung minsan ay inihahambing sa gripong may tagas ay namigay ng sobrang umiiral na COMP; hindi ito lumikha ng walang hanggang bagong token.

Ang unang binanggit na 280,000 COMP ay gantimpalang nasa Comptroller na kontrata, hindi pondong nilikha ng mga hacker. Maaari pang dumaloy ang COMP mula sa Reservoir. Kinailangan ng panukalang pamamahala at mga takdang panahon upang ayusin ito kaya hindi agad naipatigil ang depekto.

Noong Oktubre 14, iniulat ng Compound na 163,000 maling nakuhang COMP ang ibinalik, 130,000 ang nanatili sa Comptroller, at humigit-kumulang 200,000 maling naipamahagi ang nasa labas pa. Inayos ng panukala 64 ang depekto noong Oktubre 8, ngunit kailangan pa ang kasunod na pagbabago sa talaan. Gantimpala ang usapin, hindi dokumentadong US$150 milyong pagnanakaw sa lahat ng deposito. Hindi rin pinatutunayan ng bilang ang pangkalahatang pahayag na mahigit kalahati ng isang tiyak na kabuuan ang nabawi.

8. Vulcan Forged — humigit-kumulang US$140 milyon

Tinamaan ng pag-atake sa Vulcan Forged noong Disyembre 2021 ang mga pitaka ng manlalaro. Ang plataporma ay nagbibigay ng mga larong blockchain at pamilihan ng NFT. Hindi garantiya ng mas malaking kita ang paggamit ng token sa ibang aplikasyon.

Ayon sa Venly, nakompromiso ang mga server ng Vulcan Forged; inabuso ang mga PIN at impormasyon sa pag-login ng kumpanya upang mailabas ang hindi bababa sa 96 na pitaka. Sinabi ng Venly na hindi nahack ang sariling server nito. Tinatayang US$140 milyon noon ang PYR na ninakaw. Noong Disyembre 13, iniulat ng Venly na napalitan ng Vulcan Forged ang karamihan mula sa sariling pondo, hindi na agad nabayaran ang lahat ng pagkalugi.

9. BadgerDAO — humigit-kumulang US$120 milyon

Ang pag-atake noong Disyembre 2, 2021 ay nagdulot ng tinatayang US$120 milyong pagkawala noon, kabilang ang token na kumakatawan sa Bitcoin at ETH. Binanggit ng orihinal na listahan ang humigit-kumulang 2,100 BTC at 151 ETH. Ang bilang ng Bitcoin ay kinatawang token o halaga, hindi katutubong BTC sa kontrata ng Ethereum. Nagbibigay ang BadgerDAO ng DeFi na produktong nakatuon sa Bitcoin; sa website nakatuon ang pag-atake.

Pinapirma ng mapaminsalang kodigo sa website ang mga gumagamit ng di-nais na pahintulot sa token. Inilarawan ng teknikal na ulat ang pag-abuso sa Cloudflare API key para sa kapaligiran ng Badger, hindi napatunayang pagpasok sa buong Cloudflare. Kalaunan, ipinaliwanag ng website ng proyekto ang paghinto sa mga lumang produkto ng vault. Hiwalay na pagbabago iyon, hindi patunay na lahat ng kontrata ay nagwakas noong pag-atake.

10. Horizon Bridge — humigit-kumulang US$100 milyon

Ang pag-atake sa Horizon Bridge ay nangyari noong Hunyo 23, 2022 at ibinalita noong Hunyo 24. Humigit-kumulang US$100 milyon ang ninakaw sa Ethereum na panig ng tulay. Nilimitahan ng Harmony ang operasyon at nag-imbestiga kasama ang mga katuwang sa seguridad at awtoridad.

Nagbigay-daan ang nakompromisong pribadong susi sa di-awtorisadong paglagda. Dalawa sa limang lagda ang unang kailangan, hindi dalawa sa apat. Iniulat ng Harmony na itinaas ito sa apat sa lima pagkatapos. Naipahayag nang publiko ang pangamba sa mababang bilang bago ang pag-atake. Nakasalalay ang seguridad sa dami ng lagda at sa hiwalay at ligtas na pamamahala ng susi.

Mga aral mula sa mga insidente

Hindi inaalis ng bagong teknolohiya ang panganib ng panloloko at pag-atake. Ipinakikita ng mga kaso ang magkakaibang kahinaan sa hiniram na kapangyarihang bumoto, lohika ng kontrata, pamamahala ng susi, at mga website. Makatutulong ang imbestigasyon at pagbawi, ngunit hindi ginagarantiya ng dating pag-atake ang pag-iwas sa ibang plataporma o pagbabalik ng pera sa mga biktima.