I 10 migliori hack Web3 del 2022

Tempo per leggere: 6 verbale

È probabile che le risorse crittografiche compromesse nel 2022 superino i 2021 miliardi di dollari del 3.2 in fondi rubati, afferma la società di sicurezza crittografica Chainalysis. 

Fonte immagine: Chainalysis.

Le violazioni della sicurezza e gli exploit del codice sono al centro dell'interesse degli aggressori che cercano di rubare la criptovaluta. Per non parlare del fatto che i protocolli DeFi si stanno trasformando in bersagli irresistibili per l'assalto. 

Soprattutto nel 2022, i ponti a catena incrociata stanno preparando il terreno per la più recente tendenza degli hacker, rappresentando il 64% dei furti di fondi quest'anno. 
Esaminiamo cosa è andato storto dietro i più grandi hack crittografici del 2022 e abbiamo un assaggio di come affrontare la sicurezza web3.

Scoprire i più grandi hack del 2022

Axie Infinity Ronin Bridge

Fondi rubati: $ 62,40,00,000
Data: 23 marzo '22

La rete Ronin ha lavorato sul modello Proof-of-Authority con nove nodi validatori. Su nove, cinque nodi devono approvare il passaggio delle transazioni nel bridge. Quattro nodi validatori sono i membri del team interno di Sky Mavis e richiede solo un'altra firma per convalidare una transazione. 

Nell'exploit Ronin, l'hacker è riuscito ad ottenere l'accesso al quinto nodo validatore sfruttando il nodo RPC. Il nodo RPC senza gas è stato istituito un anno prima per ridurre i costi per gli utenti durante il traffico di rete intenso.

Pertanto, l'hacker ha effettuato prelievi in ​​due transazioni comprendendo i nodi. 173,600 ETH drenati nella prima transazione e 25.5 milioni di USDC nella seconda dal contratto ponte Ronin. Il più grande furto di fondi nella storia delle criptovalute è stato identificato solo sei giorni dopo l'hacking.

Ponte BNB 

Fondi rubati: $ 58,60,00,000
Data: 6 ottobre '22

Il bridge BNB collega la vecchia catena Binance Beacon e la catena Binance Smart. L'hacker ha sfruttato una vulnerabilità ed è stato in grado di coniare due lotti da 1 milione di BNB ciascuno, per un totale di 2 milioni di BNB del valore di circa $ 586 milioni al momento dell'hack. 

Ecco la trama dell'attacco. 

L'attaccante ha mostrato false prove per i depositi nella catena Binance Beacon. Il bridge Binance ha utilizzato una verifica IAVL vulnerabile per verificare le prove che l'hacker è riuscito a falsificare e procedere con il ritiro. 
L'hacker ha quindi indirizzato i fondi al suo portafoglio depositandoli sul protocollo Venus, una piattaforma di prestito BSC, come garanzia invece di scaricare direttamente BNB.  

wormhole

Fondi rubati: $ 32,60,00,000
Data: 2 febbraio '22

Wormhole, il ponte tra Ethereum e Solana, ha subito una perdita di 120,000 Ether avvolto, che all'epoca ammontava a 321 milioni di dollari a causa di un exploit del codice. 

L'hacking è avvenuto a Solana manipolando il bridge con informazioni che mostrano che 120k ETH sono stati inviati sulla catena Ethereum. Di conseguenza, l'hacker potrebbe coniare un equivalente di 120k in wETH da Solana. 

L'attaccante ha utilizzato il "SignatureSet" della transazione precedente per ostacolare il meccanismo di verifica del bridge Wormhole e ha sfruttato la funzione "Verify-signatures" nel contratto bridge principale. Le discrepanze nel 'solana_program::sysvar::istruzioni' e 'solana_program' è stato sfruttato dall'utente per verificare un indirizzo che conteneva solo 0.1 ETH. 

In seguito a questo e attraverso il successivo exploit del codice, l'hacker ha coniato fraudolentemente 120k whETH su Solana. 

Ponte Nomade

Fondi rubati: $ 19,00,00,000
Data: 1 agosto '22

Il ponte Nomad ha subito un colpo fatale diventando un bersaglio succoso per chiunque si unisse alla squadra di hacker. 

Durante l'aggiornamento di routine del bridge, il contratto di replica è stato inizializzato con un difetto di codifica che ha avuto un grave impatto sulle risorse. Nel contratto, l'indirizzo 0x00 era impostato come radice attendibile, il che significava che tutti i messaggi erano validi per impostazione predefinita. 

La transazione di exploit dell'hacker è fallita al primo tentativo. Tuttavia, l'indirizzo Tx è stato copiato da hacker successivi che hanno richiamato direttamente la funzione process() poiché la validità è contrassegnata come "dimostrata".

L'aggiornamento ha letto il valore "messaggi" di 0 (non valido) come 0x00 e quindi ha superato la convalida come "provato". Ciò significava che qualsiasi funzione process() veniva passata per essere valida. 

Così gli hacker sono riusciti a riciclare fondi facendo il copia/incolla della stessa funzione process() e sostituendo il precedente indirizzo dello sfruttatore con il loro. 

Questo caos ha portato a un drenaggio di 190 milioni di dollari di liquidità dal protocollo del ponte. 

Beanstalk

Fondi rubati: $ 18,10,00,000
Data: 17 aprile '22

Fondamentalmente è stato un attacco alla governance che ha portato l'hacker a frustare $ 181 milioni. 

L'hacker è stato in grado di prendere un prestito lampo sufficiente per votare e spingere una proposta dannosa. 

Il flusso di attacco è il seguente. 

Gli aggressori hanno acquisito il potere di voto prendendo un prestito lampo e hanno immediatamente agito per eseguire una proposta di governance dannosa di emergenza. L'assenza del ritardo nell'esecuzione della proposta era a favore dell'attacco. 

L'hacker ha fatto due proposte. Il primo è trasferire i fondi nel contratto a se stessi, e la prossima proposta è trasferire $ 250 di $ BEAN all'indirizzo di donazione in Ucraina. 

I fondi rubati sono stati poi utilizzati per rimborsare il prestito e indirizzato il restante a Contanti tornado.

Invernomuto

Fondi rubati: $ 16,23,00,000
Data: 20 settembre '22

Il compromesso del portafoglio caldo ha comportato una perdita di $ 160 milioni per Wintermute. 

Lo strumento volgare utilizzato per creare vanity address presentava una vulnerabilità. Il portafoglio caldo di Wintermute e il contratto del caveau DeFi avevano entrambi indirizzi di vanità. La debolezza dello strumento Profanity ha portato alla compromissione delle chiavi private dell'hot wallet, seguita dal furto di fondi. 

Mercati di mango

Fondi rubati: $ 11,50,00,000
Data: 11 ottobre '22

I mercati del mango sono caduti per un attacco di manipolazione dei prezzi perdendo nove cifre in movimento. 

Come è successo?

L'aggressore ha depositato oltre 5 milioni di dollari in Mango Markets e ha effettuato un controscatto da un altro conto contro la sua posizione. Ciò ha comportato un massiccio aumento del prezzo dei token MNGO da $ 0.03 a $ 0.91. 

L'attaccante ha quindi utilizzato la sua posizione come garanzia e ha drenato fondi dai pool di liquidità. In breve, manipolare e pompare il prezzo del token ha portato al collasso del protocollo.

Ponte dell'armonia

Fondi rubati: $ 10,00,00,000
Data: 23 giugno '22

Il ponte Harmony è caduto per la presa di un compromesso sulla chiave privata, seguito da una perdita di $ 100 milioni. Seguiamo il flusso dell'attacco. 

Il bridge Harmony utilizzava 2 indirizzi multisig su 5 per passare le transazioni. L'aggressore è riuscito a ottenere il controllo di questi indirizzi compromettendo le chiavi private. Dopo aver ottenuto il controllo di due indirizzi, l'hacker è stato in grado di eseguire una transazione che ha drenato $ 100 milioni. 

Fei Rari

Fondi rubati: $ 8,00,00,000 
Data: 1 maggio'22

Rari utilizza un codice fork composto che non segue il modello di interazione check-effect. Il mancato controllo del modello porta ad attacchi di rientro. 

In questo modello di rientro, l'attaccante ha giocato con il codice utilizzando 'call.valore' ed 'exitMarket' funzioni. L'attaccante ha preso un prestito lampo per prendere in prestito ETH, è entrato di nuovo attraverso 'call.valore' e chiamato 'exitMarket' prelevare i fondi posti in garanzia. 

Pertanto, l'hacker ha ottenuto i fondi prelevati tramite un prestito flash e ha trattenuto le garanzie depositate per il prestito. 

Finanza Qubit

Fondi rubati: $ 8,00,00,000
Data: 28 gennaio '22

Qubit consente di bloccare fondi in Ethereum e prendere in prestito l'equivalente su BSC. Il contratto e'tokenAddress.safeTransferFrom()'  funzione è stata sfruttata nell'hack di Qubit.

Ha permesso all'hacker di prendere in prestito 77,162 qXETH dal BSC senza effettuare alcun deposito di ETH su Ethereum. E poi, usandolo come garanzia per prendere in prestito WETH, BTC-B, stablecoin USD, ecc., l'hacker ha realizzato profitti per circa $ 80 milioni. 

Come giocare in modo intelligente con Web3 Security?

Il TVL in DeFi ha raggiunto il suo massimo storico di $ 303 milioni nel 2021. Ma gli exploit in continua crescita nello spazio DeFi stanno causando un calo del valore TVL nel 2022. Questo lancia un allarme ammonitore per prendere sul serio la sicurezza Web3. 

Il più grande furto di protocolli DeFi è stato dovuto a codice difettoso. Fortunatamente, un approccio più rigoroso per testare il codice prima della distribuzione può frenare in larga misura questi tipi di attacchi. 
Con molti nuovi progetti in costruzione nello spazio web3, QuillAudit intendono garantire la massima sicurezza per il progetto e lavorare nel migliore interesse per proteggere e rafforzare web3 nel suo complesso. In questo modo, abbiamo assicurato con successo oltre 700 progetti Web3 e continuiamo ad estendere l'ambito della protezione dello spazio Web3 attraverso un'ampia gamma di offerte di servizi.

11 Visualizzazioni