С начала года преступники похитили около $36,7 млн из 5 больших протоколов децентрализованных денег (DeFi). Причина — незащищенности смарт-договоров, чей начальный код никогда не проходил публичную проверку, сказали специалисты компании Chainalysis.
Атаки взломщиков упростились благодаря развитию искусственного ума и инструментов декомпиляции смарт‑договоров. ИИ-модели могут просто читать коды в блокчейне и выявлять обычные незащищенности — трудности последующего входа (reentrancy), нарушения в контроле доступа и арифметические ошибки, поведали спецы по безопасности.
Преступники делают особые автоматические сборочные потоки — эти системы способны сразу исследовать тысячи договоров и выбирать цели, отталкиваясь от возможности взлома и возможной дохода, рассказывает Chainalysis. Как считают специалисты, то, что ранее добивалось много дней ручного изучения, сейчас отчасти автоматизируется в огромных масштабах и занимает несколько часов. В конечном итоге у преступников просто нет соперников: спецы по безопасности не инспектируют договоры годами, и у взломщиков образовалось обширное поле для работе.
Chainalysis зафиксировала с начала года 4 варианта больших нападений на непроверенные договоры протоколов. Наикрупнейшая атака произошла 8 января на протокол Truebit — вред составил около $26,2 млн. Последующий происшествие коснулся Trusted Volumes: преступники похитили $5,9 млн из‑за недочетов системы контроля доступа. Нападение на Aperture Finance привела к потере $3,2 млн — трудность появилась из‑за обхода проверки входных данных. В конце концов, в мае в рамках нападения на Ekubo было похищено $1,4 млн — после того, как функция оборотного вызова не смогла удостоверить личность плательщика. Во всех вариантах взломанные договоры не были испытаны в корреспондентах блокчейна и не имели на публике доступного начального кода на момент атаки, сказали специалисты Chainalysis
Касательно нападения на протокол Truebit — уязвимый договор был развернут еще в 2021 году и все это время оставался непроверенным на Etherscan. Преступники употребляли ошибку переполнения целых чисел в механизме ценообразования протокола. Это дало возможность выпустить сотни миллионов необеспеченных токенов практически безвозмездно, а потом поменять на настоящие эфиры. Спецы Chainalysis также обнаружили подтверждения того, что взломщик постоянно находил уязвимые договоры, до того как перейти к нападении на Truebit. Согласно мнению профессионалов по безопасности, злодей тестировал незащищенности сходу в нескольких протоколах, до того как выполнить атаку.
Команда Chainalysis сделала вывод: протоколы должны изучать проверку начального кода как малый эталон безопасности, но не как необязательную функцию. Специалисты компании советуют криптопредпринимателям инспектировать все рабочие договоры, расширять программы вознаграждения за обнаружение просчетов, проводить аудит развернутого кода и внедрять мониторинг в настоящем времени.
Накануне децентрализованный проект идентификации Humanity Protocol, использующий сканирование ладошки для доказательства личности, был атакован, в итоге которой вред составил $32 млн.