В 2022 году криптовалютные проекты пережили серию разрушительных взломов и эксплойтов, и этот год считается худшим в истории, когда речь идет о защите цифровых активов.
В целом, ущерб от взломов криптовалют в этом году резко возрос, достигнув рекордной отметки в 3 миллиарда долларов США – по сравнению с 2 миллиардами долларов США, потерянными в результате взломов в 2021 году, – согласно отчету Chainalysis.
Этот год показал нам, как хакеры используют все более продвинутые тактики для использования уязвимостей для взлома децентрализованных приложений.
Среди самых заметных случаев криптовалют в 2022 году выделялись инциденты безопасности, связанные с кросс-чейн мостами и децентрализованными финансовыми протоколами, ущерб от отдельных атак которых составил сотни миллионов долларов. В ходе таких атак хакеры получали доступ к криптоактивам и похищали их без авторизации, используя уязвимости в смарт-контрактах.
В этой статье рассматриваются крупнейшие взломы криптовалютных проектов в 2022 году, а также то, что пошло не так, предшествовавшее каждой атаке.
Сеть Ronin – 625 миллионов долларов
29 марта сеть Ronin, сайдчейн, на котором размещалась игра Axie Infinity компании Sky Mavis, была взломана на 625 миллионов долларов в различных криптоактивах, что стало крупнейшей единоразовой кражей криптовалют, совершенной хакерами, на сегодняшний день. Компания Sky Mavis разработала Ronin для размещения своей популярной блокчейн-игры Axie Infinity, но не смогла защитить сеть от злоумышленников, которые впоследствии были идентифицированы как северокорейская хакерская группа Lazarus.
С помощью фишинговой атаки по электронной почте в адрес бывшего сотрудника хакерская группа получила доступ к IT-инфраструктуре Sky Mavis. Там хакеры нашли и похитили закрытые ключи от узлов валидатора блокчейна Ronin, которые компания хранила на своих внутренних серверах. Получив доступ к ключам валидаторов, хакеры взяли под контроль всю сеть Ronin и вывели более 173 600 Ethereum (ETH) и 25,5 миллионов стейблкоинов USDC на общую сумму более 625 миллионов долларов США.
Большинство пользователей, чьи средства были похищены во время этого инцидента, получили полную компенсацию, заявила компания. Через неделю после взлома SkyMavis привлекла 150 миллионов долларов в рамках раунда финансирования, возглавляемого Binance, и объединила эти средства со своими собственными активами для выплаты компенсации всем, кто пострадал от взлома.
FTX – 370-400 миллионов долларов
В отличие от других крупных взломов этого года, например, тех, которые затрагивали децентрализованные блокчейн-приложения, работающие на смарт-контрактах, ныне обанкротившаяся централизованная биржа FTX стала жертвой одного из крупнейших взломов 2022 года. О взломе FTX стало известно в ноябре, после того как официальные администраторы биржи в Telegram сообщили о «несанкционированном доступе».
Данные показали, что с кошельков биржи было выведено от 370 до 400 миллионов долларов вскоре после того, как ее бывший генеральный директор Сэм Бэнкман-Фрид подал заявление о защите от банкротства по главе 11 Кодекса США о банкротстве.
Некоторые СМИ спутали этот взлом с другим подозрительным переводом 400 миллионов долларов, осуществленным с FTX по распоряжению Комиссии по ценным бумагам Багамских островов за хранение активов, что вызвало путаницу. Однако это были отдельные инциденты.
Новый глава FTX Джон Дж. Рэй III заявил, что взлом и другой крупный перевод активов по распоряжению регулирующих органов Багамских островов были разными случаями. Это подтверждает аналитическая компания Chainalysis, которая сотрудничает с FTX в поисках активов.
«400 миллионов долларов, украденные и взломанные у FTX, полностью отделены от 400 миллионов долларов, хранящихся в Комиссии по ценным бумагам Багамских островов. Совершенно понятно, что людей это смутило», — сказал изданию The Block представитель Chainalysis.
Рэй также показал в подготовленном свидетельском документе, что FTX хранила закрытые ключи от своих кошельков в незашифрованном виде и применяла очень слабые средства контроля безопасности – факторы, которые могли легко позволить взлому случиться.
Wormhole – 325 млн долларов
В феврале был взломан Wormhole, протокол кросс-чейн моста. Wormhole позволяет пользователям блокировать свои ETH и получать привязанный актив под названием Wormhole ETH (wETH) в сети Solana.
2 февраля Wormhole стал целью хакера, который подделал определенные подписи безопасности на мосту и получил из воздуха 120 000 wETH на сумму 325 млн долл. США. Хакер обменял незаконно добытые wETH на реальные ETH в сети Ethereum, тем самым опустошив все активы Wormhole.
Инцидент остановил работу моста, и некоторое время казалось, что конец для Wormhole близок. Восстановить потери было бы невероятно сложно, но, к всеобщему удивлению, через несколько дней после взлома Wormhole заявила, что восстановила все украденные ETH и открыла мост.
Jump Crypto, торговая и венчурная фирма, которая создала Wormhole, подтвердила, что она восполнила украденные 120 000 ETH из собственных средств, чтобы помочь поддержать проект.
Nomad - 190 миллионов долларов
7 августа Nomad, мост, соединяющий блокчейны Ethereum, Avalanche, Moonbeam и Evmos, подвергся взлому, в ходе которого было похищено активов на сумму 190 миллионов долларов. Взлом произошел в результате ошибки обновления, в котором разработчики Nomad ошибочно указали 0x00 (нулевой адрес) в качестве доверенного корня.
Эта функция означала, что любой мог вывести средства с моста без прохождения проверки доверительного контракта и легко обойти его защиту. Когда проблема обновления стала достоянием общественности, более 300 адресов бросились похищать средства из Nomad. К счастью, некоторые из этих адресов принадлежали «белым» хакерам, которые позже вернули Nomad 22 миллиона долларов.
Beanstalk Farms – 182 млн долларов
Beanstalk Farms, стейблкоин-протокол, был атакован в апреле. Неизвестный хакер воспользовался уязвимостью в системе безопасности децентрализованной автономной организации (DAO) Beanstalk, которая контролирует процесс принятия решений для проекта.
Атакующий создал предложение по управлению BIP-18, предусматривающее пожертвование в пользу Украины в размере 250 000 долл. США, которое сфальсифицировал перед исполнением. Затем, используя механизм мгновенных займов, он получил свыше 1 млрд долл. США на Uniswap, SushiSwap и Aave в различных токенах, включая, но не ограничиваясь: USDC, USDT, DAI.
Затем он внёс эти средства в пул ликвидности BEAN, благодаря чему получил токены управления Stalk, с помощью которых проводится голосование внутри сети.
Затем он развернул и одобрил вредоносное BIP-18, которое перевело все активы из протокола на сторонний кошелек.
С помощью этого трюка хакеру удалось вывести из казначейства проекта около 80 миллионов долларов в токенах bean без ведома основных разработчиков Beanstalk. После этого хакер продал эти токены на платформе, в результате чего окончательные потери Beanstalk оказались значительно выше. По оценкам компании по кибербезопасности PeckShield, этот инцидент обошелся Beanstalk в 182 млн долл. США.
Mango Markets - $114 млн.
Хотя технически это не хакерская атака, кредитная платформа на базе Solana пострадала в октябре от масштабного манипулирования рынком.
Злоумышленник, как позже выяснилось, DeFi-трейдер Авраам Айзенберг, возглавил команду для атаки на Mango Markets, чтобы вывести с платформы депозиты клиентов на сумму 114 миллионов долларов. Позже он признал свою причастность.
Атака была двойной. Во-первых, Айзенберг якобы купил десятки миллионов неликвидных токенов Mango, которые он внес в протокол в качестве кредитного залога.
Во-вторых, имея около 5 миллионов долларов в стейблкоинах USDC, он якобы в несколько раз повысил цену токенов Mango, тем самым искусственно увеличив долларовую стоимость своих кредитных залоговых депозитов на Mango. Он смог это сделать, потому что токены Mango имеют очень низкую ликвидность на многих биржах.
Повышение рыночной стоимости токенов Mango исказило информацию для ценовых оракулов, заставив их думать, что активы, размещенные Айзенбергом, стоят более 400 миллионов долларов.
Затем он занял 114 миллионов долларов в криптоактивах с намерением не возвращать их, получив огромную прибыль. Днем позже он заставил руководство Mango провести голосование, согласившись вернуть 47 миллионов долларов в качестве, оставив себе остальное как награду за обнаружение уязвимости. К этому времени личность злоумышленника была неизвестна.
Затем Айзенберг признал свою причастность, заявив, что не сделали ничего противозаконного, утверждая, что «использовал протокол так, как было задумано». Очевидно, что власти не купились на аргумент Айзенберга «код – это закон».
В декабре Айзенберг был взят под стражу и обвинен Министерством юстиции США в преступлениях, связанных с манипулированием рынком. Минюст арестовал его по обвинению в мошенничестве и манипуляциях в Пуэрто-Рико.
BNB Token Hub – 120 млн долларов
6 октября неизвестный осуществил масштабную атаку на BNB Token Hub, мост, работающий между BNB Chain, блокчейном, основанным криптобиржей Binance, и Ethereum.
Используя ошибку в системе криптографического доказательства, хакер смог взять под контроль 2 миллиона токенов BNB, заблокированных на мосту, стоимость которых на тот момент составляла 550 миллионов долларов.
Хакеру удалось перевести из цепочки BNB в другие цепочки активы только на 120-130 млн долл. США, прежде чем сеть была остановлена. Как только атака была обнаружена, валидаторы BNB Chain согласились заморозить сеть, чтобы получить 430 миллионов долларов, хранящихся на адресе хакера. Сеть не работала в течение нескольких часов, но через день была восстановлена.
Horizon – 100 миллионов долларов
Еще одним протоколом, ставшим жертвой масштабного взлома, был Horizon - мост, соединяющий Ethereum с блокчейном Harmony. В июне злоумышленник украл 100 миллионов долларов, заблокированных на Horizon, скомпрометировав пару закрытых ключей, принадлежащих учетным записям администраторов безопасности, которые контролировали мост.
Процесс перевода активов из контракта развертывания Horizon в Ethereum включал схему с несколькими подписями, которая требовала одобрения только двух из пяти учетных записей администраторов. Это означало, что злоумышленнику нужно было украсть два закрытых ключа, чтобы одобрить несанкционированные переводы, что и произошло, как отметила компания Halborn, занимающаяся вопросами безопасности.
Хакер получил доступ к двум закрытым ключам администраторов моста, возможно, с помощью фишинговых атак на администраторов. Затем он смог одобрить транзакцию, которая вывела 100 миллионов долларов под его контроль.
Qubit – 80 миллионов долларов
Qubit, протокол кредитования и моста BNB Chain, стал первой крупной целью года для хакеров в январе. На Qubit пользователи могли вносить Эфир (ETH) из Ethereum, а мост выпускал привязанный актив «xETH» на BNC Chain. xETH можно было использовать в качестве залога на кредитной платформе Qubit.
27 января хакер использовал уязвимость программной логики в Qubit, которая сделала xETH доступным для использования на BNB Chain без депонирования ETH на Ethereum. Характер уязвимости был таков, что она позволяла злоумышленнику выпускать большое количество xETH без внесения реальных активов.
После того как хакеру удалось выпустить большое количество xETH, он взял несколько кредитов у Qubit, используя эти токены в качестве залога. В итоге злоумышленник вывел все 206 000 BNB, которые находились в стейкинге на Qubit Finance, что было эквивалентно около 80 миллионов долларов США на тот момент.
Автор: Vishal Chawla. Источник: The Block.