Top 10 des piratages Web3 de 2022

Temps de lecture: 6 minutes

Les actifs cryptographiques piratés en 2022 devraient dépasser les 2021 milliards de dollars de fonds volés en 3.2, déclare la société de sécurité cryptographique Chainalysis. 

Source de l'image : Analyse de la chaîne.

Les failles de sécurité et les exploits de code sont le centre d'intérêt des attaquants qui tentent de voler la crypto-monnaie. Sans oublier que les protocoles DeFi deviennent des cibles irrésistibles pour les agressions. 

Surtout en 2022, les ponts inter-chaînes préparent le terrain pour la nouvelle tendance de piratage, représentant 64 % des vols de fonds cette année. 
Examinons ce qui n'a pas fonctionné derrière les plus grands piratages cryptographiques de 2022 et avons un avant-goût de la façon d'aborder la sécurité Web3.

Dévoilement des plus grands hacks de 2022

Pont Axie Infinity Ronin

Fonds volés : 62,40,00,000 XNUMX XNUMX XNUMX $
Date : 23 mars 22

Le réseau Ronin a travaillé sur le modèle de preuve d'autorité avec neuf nœuds de validation. Sur neuf, cinq nœuds doivent approuver le passage des transactions dans le pont. Quatre nœuds de validation sont les membres de l'équipe interne de Sky Mavis, et il suffit d'une signature supplémentaire pour valider une transaction. 

Dans l'exploit Ronin, le pirate a réussi à accéder au cinquième nœud de validation en exploitant le nœud RPC. Le nœud RPC sans gaz a été créé un an auparavant pour réduire les coûts pour les utilisateurs lors d'un trafic réseau intense.

Ainsi, le pirate a effectué des retraits en deux transactions en comprenant les nœuds. 173,600 25.5 ETH drainés lors de la première transaction et XNUMX millions USDC lors de la seconde du contrat du pont Ronin. Le plus grand vol de fonds de l'histoire de la cryptographie n'a été identifié que six jours après le piratage.

Pont BNB 

Fonds volés : 58,60,00,000 XNUMX XNUMX XNUMX $
Date : 6 octobre 22

Le pont BNB relie l'ancienne chaîne Binance Beacon et la chaîne Binance Smart. Le pirate a exploité une vulnérabilité et a pu frapper deux lots de 1 million de BNB chacun, soit un total de 2 millions de BNB d'une valeur d'environ 586 millions de dollars au moment du piratage. 

Voici le plan d'attaque. 

L'attaquant a montré de fausses preuves de dépôts dans la chaîne Binance Beacon. Le pont Binance a utilisé une vérification IAVL vulnérable pour vérifier les preuves que le pirate a réussi à falsifier et procéder au retrait. 
Le pirate a ensuite acheminé les fonds vers son portefeuille en les déposant sur le protocole Venus, une plate-forme de prêt BSC, en garantie au lieu de jeter directement des BNB.  

Wormhole

Fonds volés : 32,60,00,000 XNUMX XNUMX XNUMX $
Date : 2 février 22

Wormhole, le pont entre Ethereum et Solana, a subi une perte de 120,000 321 Ether enveloppé qui totalisait XNUMX millions de dollars à l'époque en raison d'un exploit de code. 

Le piratage a eu lieu à Solana en manipulant le pont avec des informations montrant que 120k ETH sont soumis sur la chaîne Ethereum. En conséquence, le pirate pourrait frapper l'équivalent de 120k en wETH de Solana. 

L'attaquant a utilisé le 'SignatureSet' de la transaction précédente pour entraver le mécanisme de vérification du pont Wormhole et a exploité la fonction 'Verify-signatures' dans le contrat de pont principal. Les écarts dans le 'solana_program::sysvar::instructions' et 'solana_program' a été exploité par l'utilisateur pour vérifier une adresse qui ne contenait que 0.1 ETH. 

Suite à cela et grâce à un exploit de code ultérieur, le pirate a frauduleusement frappé 120k whETH sur Solana. 

Pont nomade

Fonds volés : 19,00,00,000 XNUMX XNUMX XNUMX $
Date : 1er août 22

Nomad Bridge a subi un coup fatal en devenant une cible juteuse pour quiconque souhaitant rejoindre l'escouade de hackers. 

Lors de la mise à niveau de routine du pont, le contrat Replica a été initialisé avec un défaut de codage qui a gravement affecté les actifs. Dans le contrat, l'adresse 0x00 était définie comme racine de confiance, ce qui signifiait que tous les messages étaient valides par défaut. 

La transaction d'exploitation par le pirate a échoué lors de la première tentative. Cependant, l'adresse Tx a été copiée par des pirates ultérieurs qui ont appelé la fonction process() directement car la validité est marquée comme étant "prouvée".

La mise à niveau a lu la valeur 'messages' de 0 (invalide) comme 0x00 et a donc passé la validation comme 'prouvée'. Cela signifiait que toute fonction process() était passée pour être valide. 

Ainsi les hackers ont pu blanchir des fonds en faisant le copier/coller de la même fonction process() et en remplaçant l'ancienne adresse de l'exploiteur par la leur. 

Ce chaos a entraîné une fuite de 190 millions de dollars de liquidités du protocole du pont. 

tige d'haricot

Fonds volés : 18,10,00,000 XNUMX XNUMX XNUMX $
Date : 17 avril 22

C'était essentiellement une attaque de gouvernance qui a conduit le pirate informatique à fouetter 181 millions de dollars. 

Le pirate a pu contracter un prêt flash suffisant pour voter et pousser une proposition malveillante. 

Le flux d'attaque est le suivant. 

Les attaquants ont acquis le pouvoir de vote en prenant un prêt éclair et ont immédiatement agi pour exécuter une proposition de gouvernance malveillante d'urgence. L'absence de retard dans l'exécution de la proposition était en faveur de l'attaque. 

Le hacker a fait deux propositions. La première consiste à transférer les fonds du contrat à eux-mêmes, et la proposition suivante consiste à transférer une valeur de 250 XNUMX $ de $ BEAN à l'adresse de don en Ukraine. 

Les fonds volés ont ensuite été utilisés pour rembourser le prêt et ont dirigé le reste vers Argent Tornado.

Mute d'Hiver

Fonds volés : 16,23,00,000 XNUMX XNUMX XNUMX $
Date : 20 septembre 22

Le compromis du portefeuille chaud a entraîné une perte de 160 millions de dollars pour Wintermute. 

L'outil de blasphème utilisé pour créer des adresses personnalisées présentait une vulnérabilité. Le portefeuille chaud de Wintermute et le contrat de coffre-fort DeFi avaient tous deux des adresses de vanité. La faiblesse de l'outil Profanity a conduit à la compromission des clés privées du hot wallet, suivie d'un vol de fonds. 

Marchés de la mangue

Fonds volés : 11,50,00,000 XNUMX XNUMX XNUMX $
Date : 11 octobre 22

Les marchés de la mangue ont chuté suite à une attaque de manipulation des prix, perdant neuf chiffres à la volée. 

Comment est-ce arrivé?

L'attaquant a déposé plus de 5 millions de dollars sur Mango Markets et a effectué une contre-échange à partir d'un autre compte contre sa position. Cela a entraîné une flambée massive du prix des jetons MNGO de 0.03 $ à 0.91 $. 

L'attaquant a ensuite utilisé sa position comme garantie et a vidé des fonds des pools de liquidités. En bref, la manipulation et le pompage du prix symbolique ont conduit à l'effondrement du protocole.

Pont de l'harmonie

Fonds volés : 10,00,00,000 XNUMX XNUMX XNUMX $
Date: 23juin'22

Le pont Harmony est tombé sous le coup d'un compromis de clé privée, suivi d'une perte de 100 millions de dollars. Suivons le flux d'attaque. 

Le pont Harmony a utilisé 2 des 5 adresses multisig pour transmettre les transactions. L'attaquant a réussi à prendre le contrôle de ces adresses en compromettant les clés privées. Après avoir pris le contrôle de deux adresses, le pirate a pu exécuter une transaction qui a drainé 100 millions de dollars. 

Fei Rari

Fonds volés : 8,00,00,000 XNUMX XNUMX XNUMX $ 
Date : 1er mai 22

Rari utilise un code fork composé qui ne suit pas le modèle check-effect-interaction. Ne pas vérifier le modèle conduit à des attaques de réentrance. 

Dans ce modèle de réentrance, l'attaquant a joué avec le code en utilisant 'call.value' ainsi que 'sortir du marché' les fonctions. L'attaquant a contracté un prêt flash pour emprunter des ETH, entré à nouveau via 'call.value' et appelé 'sortir du marché' de retirer les fonds placés en garantie. 

Ainsi, le pirate a obtenu les fonds grâce à un prêt flash et a conservé la garantie placée pour l'emprunt. 

Financement Qubit

Fonds volés : 8,00,00,000 XNUMX XNUMX XNUMX $
Date : 28 janvier 22

Qubit permet de verrouiller des fonds dans Ethereum et d'emprunter l'équivalent sur BSC. Le contrat est 'tokenAddress.safeTransferFrom()'  fonction a été exploitée dans le hack Qubit.

Cela a permis au pirate d'emprunter 77,162 80 qXETH au BSC sans effectuer de dépôt ETH sur Ethereum. Et puis, en l'utilisant comme garantie pour emprunter WETH, BTC-B, stablecoins USD, etc., le pirate a réalisé environ XNUMX millions de dollars de bénéfices. 

Comment jouer intelligemment avec la sécurité Web3 ?

Le TVL dans DeFi a atteint son niveau record de 303 millions de dollars en 2021. Mais les exploits sans cesse croissants dans l'espace DeFi entraînent une baisse de la valeur TVL en 2022. Cela envoie une alarme d'avertissement pour prendre au sérieux la sécurité Web3. 

Le plus grand vol de protocoles DeFi était dû à un code défectueux. Heureusement, une approche plus rigoureuse pour tester le code avant le déploiement peut limiter considérablement ces types d'attaques. 
Avec de nombreux nouveaux projets en cours de construction dans l'espace web3, Audits de plume ont l'intention d'assurer une sécurité maximale pour le projet et de travailler dans le meilleur intérêt de sécuriser et de renforcer web3 dans son ensemble. De cette manière, nous avons réussi à sécuriser plus de 700 projets Web3 et continuons à étendre la portée de la protection de l'espace Web3 grâce à une large gamme d'offres de services.

11 Vues