Halos $600 milyon ang ninakaw: mula Uptober tungo sa Hacktober

Naging tampok ang malalaking pagnanakaw ng crypto noong 2022. Noong Oktubre 12 pa lamang, tinukoy na ng kompanyang pang-analisis na Chainalysis ang Oktubre bilang buwang may pinakamalaking halagang ninakaw sa taong iyon hanggang sa petsang iyon. Ang pansamantalang tala ay higit $3 bilyon mula simula ng taon at $718 milyon sa 11 pag-atake sa mga DeFi protocol noong Oktubre. Hindi pa ito ang kabuuan para sa buong buwan.

Noong mga naunang taon, madalas na tinatarget ng malalaking pag-atake ang mga centralized exchange (CEX). Pagsapit ng 2022, naging pangunahing target ang mga DeFi platform at mga bridge na nag-uugnay ng magkakaibang blockchain. Kasama sa nabanggit na tala para sa Oktubre ang tatlong pag-atake sa mga bridge, na may halos $600 milyong kabuuang halaga. Isa sa mahahalagang insidente ang pag-atake sa Mango Markets, isang DeFi platform sa Solana.

Mga pag-atake sa ekosistema ng Solana

Hindi na bago ang mga pag-atake sa crypto, kabilang ang mga serbisyong nasa ekosistema ng Solana. Noong Oktubre 11, 2022, mahigit $100 milyon ang nailabas mula sa Mango Markets. Pinaangat ng umaatake ang presyo sa merkado ng governance token na MNGO, na binabasa ng isang price oracle, at ginamit ang lumobong halaga ng sarili niyang mga posisyon upang kumuha ng mga pautang na walang sapat na tunay na kolateral. Ang problema ay nasa pagtataya ng halaga at pamamahala ng panganib ng aplikasyon; hindi ito patunay na nabutas ang mismong batayang protocol ng Solana.

Pagkaraan ng humigit-kumulang 24 na oras, may mga ulat na bumaba ang kabuuang halaga ng mga asset na nakadeposito (TVL) sa DeFi ecosystem ng Solana mula $1.32 bilyon tungo sa humigit-kumulang $1 bilyon. Nabanggit sa artikulo ang isang pagtatayang nasa $985 milyon. Tumutukoy ang sukat na ito sa buong ekosistema, hindi sa Mango Markets lamang.

Naglatag din ang umaatake ng ultimatum sa komunidad ng Mango. Nagharap siya ng panukala sa DAO na pinamagatang “Repay bad debt”, na gagamit ng humigit-kumulang 70 milyong USDC mula sa pondo ng Mango upang takpan ang utang na hindi na mabawi. Nangako siyang ibabalik ang mga token, kabilang ang MNGO at SOL, sa mga itinakdang wallet kapag nasunod ang mga kondisyon. Inilarawan ng artikulo ang unang alok bilang tinanggihan; hiwalay ito sa kasunduang kalaunang napag-usapan para sa pagbabalik ng bahagi ng mga pondo.

Noong Agosto 2022, milyon-milyong dolyar na rin ang nawala mula sa libu-libong wallet sa Solana. Sa mga unang tala, humigit-kumulang 8,000 wallet ang naapektuhan, kabilang ang mga Phantom wallet. Iniugnay ng Solana Foundation ang insidente sa pagtagas ng mga private key mula sa Slope app at sa muling paggamit o pag-import ng parehong recovery phrase sa ibang wallet. Walang natukoy na kahinaan sa mismong Solana protocol; hindi sapat na paliwanag ang karaniwang pag-import lamang ng wallet.

Inatake rin ang BNB Chain

Noong Oktubre 2022, inatake rin ang BNB Chain, na kaugnay ng ekosistema ng Binance. Dahil sa isang kahinaan ng BSC Token Hub bridge, nakalikha ang umaatake ng 2 milyong BNB na walang pahintulot, na nagkakahalaga noon ng higit $500 milyon. Hindi lahat ng halagang iyon ay nailipat palabas ng network, at hindi ito katumbas na pagnanakaw mula sa centralized exchange ng Binance. Ayon sa sariling ulat ng BNB Chain, may kabuuang 44 validator ang network, at 26 sa mga ito ang aktibo. Kinausap ang mga aktibong validator upang pansamantalang ihinto ang BNB Smart Chain. Ang kakayahang pagkaisahan ang paghinto ay nagbunsod ng mga tanong tungkol sa sentralisasyon.

Iba-iba ang paraan ng mga malisyosong umaatake. Ang ilan ay gumagamit ng social engineering upang linlangin ang mga gumagamit at makuha ang kanilang kumpidensyal na impormasyon. Kahit ang gumagamit mismo ang maglagay ng datos, hindi nangangahulugang alam at tinanggap niya ang panganib. Ang ibang pag-atake ay masalimuot sa teknolohiya at nangangailangan ng masusing paghahanda.

Paano bawasan ang panganib ng pag-atake sa crypto

Malaki ang maaaring maging pinsala ng mga pag-atake sa mga pangkat na nagpapatakbo ng proyekto at sa kanilang mga gumagamit. Patuloy na pinahuhusay ng mga umaatake ang kanilang mga kagamitan at naghahanap ng mga bagong kahinaan.

Makakatulong ang masusi at independiyenteng pagsusuri sa seguridad ng code, lalo na ng mga smart contract, upang makita at maitama ng mga developer ang mga kahinaan bago pa samantalahin ang mga ito. Makakatulong din ang mga batayan at mas mataas na antas ng pagsasanay sa seguridad ng crypto upang makilala ng mga gumagamit ang social engineering at mabawasan ang ilang panganib. Gayunman, hindi garantiya laban sa lahat ng pag-atake ang audit o pagsasanay.

Mahalaga rin ang pagprotekta sa mga API key, panlabas na datos at blockchain oracle. Ang mga pagkalugi ng mga gumagamit ng FTX na iniulat noon ay kaugnay ng phishing sa impormasyon ng API, na iba sa manipulasyon ng presyo sa Mango Markets. Sa Mango, sinamantala ang presyo sa merkado, ang pagtatayang gumagamit ng price oracle at ang mga kontrol sa panganib ng pautang. Maaaring mabawasan ng mas desentralisadong pinagmumulan at pagpapatunay ng datos ang pag-asa sa iisang puntong maaaring pumalya. Ngunit ang paglalagay ng datos on-chain ay hindi awtomatikong ginagawang tama o ligtas ang mga ito laban sa pag-atake. Kailangan pa rin ng Web3 infrastructure ang matatag na mga oracle, kontrol sa pag-access at maayos na pamamahala ng panganib.