Вспышка скама: атаки на криптовалюту
По мере того, как расширяется экосистема децентрализованных финансов, хакеры и мошенники становятся все более изощренными, изобретая новые способы атак. Есть и проверенные временем схемы, актуальные и в 2023 году. Количество мошеннических действий с криптовалютой растет. Обо всех актуальных способах изъятия денег у граждан в сфере DeFi расскажем кратко и по-существу:
Мгновенные займы
При проведении атак с использованием Flash Loans злоумышленники обращаются к возможности мгновенного займа. Эта опция, доступная в ряде DeFi-протоколов, позволяет брать активы в долг без залога. Злоумышленники занимают средства, манипулируют рынком и возвращают кредит в рамках одной транзакции, получив прибыль от расхождений цен.
В апреле 2023 года атаке с использованием Flash Loans подвергся протокол 0VIX, из которого неизвестный вывел различные активы на сумму свыше $2 млн. Аналитики пришли к выводу, что манипулировать ценами удалось благодаря уязвимостям оракула GHST.
В мае злоумышленники успешно атаковали проект Jimbos Protocol. Для этого они взяли мгновенный займ, который использовали для манипулирования курсом собственного токена протокола с последующим опустошением пулов ликвидности.
Атака повторного входа
Для этого типа эксплойта хакеры многократно вызывают уязвимый контракт до завершения предыдущего выполнения. Так, для эксплойта децентрализованного протокола Cream Finance злоумышленники использовал следующий алгоритм: оформили мгновенный заем в размере 500 ETH; эту сумму они использовал в качестве залога, чтобы получить кредит в размере 19 млн токенов AMP; использовали уязвимость повторного входа для заимствования 355 ETH внутри передачи токенов; самоликвидация займа.
Таким образом хакеры провели 17 транзакций. Потери платформы от действий преступников составили более $18 млн. Широкую известность эксплойты повторного входа приобрели в 2016 году, когда злоумышленники вывели Ethereum из фонда The DAO на сумму $70 млн. Такой же тип атаки был использован в ходе недавнего взлома DEX Curve Finance.
Фронтраннинг
Эта тактика предполагает манипулирование порядком транзакций в мемпуле для получения выгоды от изменения цен до их выполнения. Прибегающие к фронтраннингу отслеживают крупные ожидающие транзакции и быстро включают свои сделки в блок, опережая выгодные предложения. Такие действия увеличивают прибыль игрока, но приводят к финансовым потерям для других трейдеров.
Схрема работает следующим образом: рейдер А размещает крупный ордер на покупку криптовалюты; фронтраннер B мониторит сеть и обнаруживает этот ордер; трейдер B добавляет своей транзакции газа и получает приоритет в исполнении; из-за крупного ордера A цена криптовалюты начинает расти; злоумышленник B получает криптовалюту по более низкой цене;
таким образом недобросовестный трейдер может извлечь прибыль, купив активы по низкой цене сразу перед выполнением крупного ордера, чтобы затем продать их по выросшей стоимости. В апреле подобные действия мошеннического валидатора нанесли трейдерам ущерб на общую сумму ~$25,4 млн.
Смежной проблемой является MEV. Это практика майнеров и стейкеров, которые используют информацию о предстоящих транзакциях для извлечения дополнительной прибыли. Злоумышленники могут манипулировать порядком операций, чтобы получить нечестное преимущество и использовать различия в ценах. Весной этого года более 30 Ethereum-проектов представили инструмент MEV Blocker, предназначенный для защиты пользователей от подобных махинаций и «сэндвич-атак». О том, как вообще в DeFi образовалась эта лазейка, читайте в статье Алекса Кондратюка.
Манипулирование оракулами
Чтобы получать информацию о ценах активов, DeFi-протоколы полагаются на внешние источники данных — оракулы. Манипулирование этими инструментами предполагает использование уязвимостей для предоставления ложных данных.
Это очень распространенный тип эксплойта. В июле так был взломан протокол Conic Finance, из которого вывели 1700 ETH (~$3,26 млн на момент атаки). Ранее в том же месяце аналогичному эксплойту подвергся Rodeo Finance в сети Arbitrum. Ущерб составил 810,1 ETH (~$1,5 млн).
Недостатки системы голосования
Злоумышленники обращаются к различным уязвимостям для изменения правил, перенаправления средств или совершения других злонамеренных действий. В частности, они могут накапливать токены или использовать технические лазейки для изменения параметров и решений протокола, что приводит к финансовым потерям.
Эксплуатация токенов управления заключается в использовании уязвимостей в механизмах делегирования. Злоумышленники могут манипулировать их распределением, создавать искусственную голосовую мощность или влиять на решения управления в свою пользу.
Виталик Бутерин в статье «Управление: не только голосование монетами» также обращает внимание на то, что одной из угроз для децентрализованных автономных организацией является возможная коррумпированность сообщества. По мнению основателя Ethereum, при неправильно прописанных правилах функционирования человеческий фактор позволяет злоумышленникам манипулировать даже самыми добросовестными участниками комьюнити.
Кроссчейн-атаки
Хакеры могут использовать уязвимости в кроссчейн-мостах, позволяющие активам перемещаться между различными блокчейнами. Злоумышленники манипулируют транзакциями, крадут активы или эксплуатируют несоответствия между сетями в своих интересах.
Согласно отчету Beosin, в 2022 году было зафиксировано 12 атак на кроссчейн-мосты. Потери от действий хакеров составили $1,89 млрд — это больше половины всего ущерба, причиненного криптоиндустрии за указанный период.
Будьте внимательны, на попадайтесь!