Õppetunnid rünnakust Tinymani vastu, Algorandi suurim DEX

Lugemise aeg: 5 protokoll

Krüptohäkkimised jätkuvad ka 2022. aastal, kuna häkkerid ründavad erinevate võrkude turvaauke, lisades miljoneid varastatud varasid. Algorandi kogukond alustas aastat hapu noodiga pärast rünnakut nende detsentraliseeritud börsi vastu, mis viis umbes 3 miljoni dollari väärtuses varade kaotuseni.

Aruannete kohaselt on Jaanuar 1, 2022, rünnati volitamata kasutajaid Väikemees, Algorandile ehitatud detsentraliseeritud finantsplatvorm. Sündmus viidi läbi nelja eraldi rünnakuna, mis võimaldas häkkeritel varastada $ 3 miljonit protokolli piires olevatest basseinidest.

Tinymani aruanne näitas, et ohtu sattus neli kontot, mis mõjutas umbes 250 kasutajat, kellel on goBTC ja goETH osalus. 360 basseini mõjutas 13 pahatahtlikku tegevust XNUMX unikaalse aadressi kaudu.

Eelkõige aktiveerisid ründajad oma rahakoti aadressid, mis võimaldas neil rünnaku jaoks algfondi hoiustada. Lisaks rikkusid need isikud väidetavalt Tinymani nutika lepingu senitundmatuid turvaauke. See võimaldas neil saada kaks sama žetoonit, mida nad seejärel vahetasid osa varasid ja vermisid basseinimärke.

Väidetavalt eelistasid rünnakud volitamata kasutajaid, kuna goBTC vara oli väärtuslikum kui ALGO žetoon, mille vastu nad rohkem raha saamiseks vahetasid. Lisaks vahetasid ründajad ka pooli stabiilsete müntide vastu, enne kui varad teistesse rahakottidesse ja tsentraliseeritud börsidele viisid.

Usaldusväärse ja lubadeta protokollina kasutab Tinyman eelkõige muutumatuid lepinguid, mis muudab vahetusel võimatuks haavatavuste parandamise ja rünnaku kiire peatamise. Selle tulemusel said nad aga oma kasutajatele ainult soovitada platvormi mitte kasutada, kui nad probleemi lahendamise kallal töötasid.

Kuna Tinymani meeskond jätkab esinemissageduse uurimist, tuleb tegeleda mõne võtmevaldkonnaga. Need sisaldavad:

Auditite tähtsus

Arvestades pettusejuhtumite ja krüptoga seotud rünnakute arvu suurenemist DeFis ja üldisel krüptovaluutaturul, ei saa kontrollisüsteemide ja vastutuse vajadust piisavalt rõhutada. 

Eelmise aasta novembris Elliptiline, ülemaailmne krüptohaldusriskiga ettevõte, viis läbi uuringu, mis näitas, et see on möödas $ 10.5 miljardit DeFi kaotas 2021. aastal häkkimiste ja muude võrkude ja protokollide vastu suunatud rünnakute tõttu vara väärtuses. 

Veelgi enam, DeFiga seotud häkkimised 76% 2021. aasta kõigist suurematest häkkidest. Aruande kohaselt on DeFi detsentraliseeritud rakenduste (DApps) usaldamatu olemus nii õnnistus kui ka needus. Usaldamatu olemine välistab igasuguse kolmanda osapoole kontrolli kasutajate raha üle. Kasutajad on aga sunnitud usaldama, et kõnealuste protokollide loojad ei teinud kodeerimisel ega kujunduses vigu, mis võimaldaksid süsteemi rünnata.

Auditid võimaldavad usaldusväärsetel üksustel projekti koodide ja struktuurilise ülesehitusega turvaauke kontrollida, suurendades üldist turvalisust. Auditeid tuleks pidevalt läbi viia, et olla kursis keerukate ja uute tehnikatega, mida häkkerid süsteemide ründamiseks kasutavad. Kuigi Tinyman oli väidetavalt läbinud auditi, oleks hiljutine auditikontroll aidanud vead või haavatavused parandada ja võimalikke kahjusid ära hoida.

Pead lugema: Neli suurt tööd plokiahela auditeerimise suunas

Ideaalis tuleks targad lepingute auditid teha enne lepingute kasutuselevõttu. Nende auditite eesmärk on kontrollida levinud vigu, nagu virnaprobleemid, taassisenemisvead ja muud võimalikud tüsistused. Auditiprotsess kontrollib ka hostplatvormide teadaolevaid vigu ja turvavigu, võimaldades samal ajal arendajatel nutikat lepingut testida.

Lisaks aitavad auditid projektidel oma nutikaid lepinguid pidevalt täiustada, tagades, et need on alati ajakohased. Näiteks pärast rünnakut oli Tinyman sunnitud uuendama oma nutikaid lepinguid, et selliseid rünnakuid tulevikus ära hoida.

DeFi kindlustus

Eelkõige peavad kasutajad enne DeFi turul mis tahes kokkuleppe tegemist mõistma turuga seotud riske täielikult. Lisaks nutikatele lepinguriskidele võivad kasutajad silmitsi seista ka oraakliriskide ja juhtimisriskidega. 

Sellegipoolest võimaldab turgude ja nende projektide põhjalik uurimine kasutajatel teha teadlikke otsuseid. Üks selline otsus on DeFi kindlustuse kaudu kaitse hankimine ettenägematute rünnakute eest.

DeFi kindlustus on protsess, mille käigus kindlustatakse ennast või ostetakse kindlustust kahjude vastu, mida DeFi tööstuse sündmused võivad kannatada. DeFi kahjude kasvav arv on tekitanud nõudluse DeFi kindlustustoodete järele, kuna uued projektid kasvavad iga päevaga. 

Tavaliselt maksavad paljud mõjutatud börsid oma ohvritele pärast rünnakut raha tagasi. Mõned häkitud projektid ei saa aga oma kasutajatele raha tagasi maksta.

Pange tähele, et Tinymani meeskond on avaldanud mõjutatud kasutajatele kinnitust, et neile hüvitatakse nende kahjud.

Tugevus kogukondades

Märkimisväärne on see, et pärast esimese rünnaku avalikuks saamist kasutasid paljud häkkerid võimalust häkkimist kopeerida. Nad kasutasid samu turvaauke, et sooritada börsil väiksemaid rünnakuid (teine ​​kuni neljas rünnak). Tinymanil õnnestus aga kogukonna abiga päästa suur osa nende varast.

Selle ja sarnaste rünnakute puhul on kogukonnad aidanud uudiseid kiiremini levitada, võimaldades kasutajatel võtta vajalikke turvameetmeid, et aidata oma varasid kaitsta. Lisaks on kogukonnad mingil määral aidanud luua paremat suhtlust ja koostööd arendajate ja kasutajate vahel kogu ökosüsteemi kasvu nimel.

Viimastel päevadel on krüptopõhised kogukonnad aidanud esile kutsuda revolutsioone, mis on toonud kaasa projektide kasvu tööstuses.

Pakke kuni

Kuigi plokiahel on teinud tohutuid läbimurdeid, eriti rahanduses, pole tehnoloogia kaugeltki täiuslik. Projektide omanikud, arendajad ja kasutajad saavad aga võtta asjakohaseid meetmeid, et tagada suurem turvalisus plokiahelapõhistes rakendustes.

Võttes auditite ja muude asjakohaste meetmete kaudu vastutusmeetmeid, saavad projektid kõrvaldada kõik vead või haavatavused, mida saaks rakenduse vastu kasutada. Samuti on selliste sündmuste leevendamisel oluline võtta muid ettevaatusabinõusid, nagu DeFi kindlustus ja hoida tihedat kogukonda. 

Võtke ühendust QuillAuditsiga

QuillAudits on turvaline nutikate lepingute auditi platvorm, mille on välja töötanud QuillHash
Tehnoloogiad.
See on auditeerimisplatvorm, mis analüüsib ja kontrollib hoolikalt nutikaid lepinguid, et kontrollida turvaauke, kasutades tõhusat käsitsi ülevaatust staatiliste ja dünaamiliste analüüsivahendite, gaasianalüsaatorite ja simulaatoritega. Lisaks hõlmab auditiprotsess ka ulatuslikku üksuse testimist ja struktuurianalüüsi.
Potentsiaali leidmiseks viime läbi nii nutikaid lepinguauditeid kui ka läbitungimisteste
turvanõrkused, mis võivad kahjustada platvormi terviklikkust.

Kui vajate nutikate lepingute auditeerimisel abi, võtke julgelt ühendust meie ekspertidega leiad siit!

Et olla meie tööga kursis, liituge meie kogukonnaga: -

puperdama | LinkedIn | Facebook | Telegramm

Postitus Õppetunnid rünnakust Tinymani vastu, Algorandi suurim DEX ilmus esmalt Blog.quillhash.

Allikas: https://blog.quillhash.com/2022/01/lesssons-from-the-attack-on-tinyman-largest-dex-on-algorand