Chainalysis rapporterer 2 milliarder dollar tapt i brohack på tvers av kjeder

Forskning utført av blockchain dataplattform Chainalysis estimerte at 2 milliarder dollar gikk tapt fra brohack på tvers av kjeder så langt i 2022.

Chainalysis uttalte i rapporten at problemet nå "representerer en betydelig trussel mot å bygge tillit til blockchain-teknologi."

Videre sa forskere at bridge-hack foretrekkes av nordkoreanske hackere, som anslås å stå for halvparten av de 2 milliarder dollar som er stjålet til dags dato.

Rapporten kommer varmt i hælene på Nomad bridge hack, hvor 191 millioner dollar ble stjålet. Nomad forbinder blokkkjedene Ethereum, Avalanche, Evmos, Moonbeam og Milkomeda.

Tverrkjedebroer har flere sårbarhetspunkter

Broer på tvers av kjeder forbinder forskjellige blokkkjeder, noe som muliggjør overføring av data eller tokens mellom ellers inkompatible kjeder. Teknologien er en del av et forsøk på å gjøre hele kryptoøkosystemet interoperabelt.

Broer gjør det mulig å bruke eiendeler på en annen blokkjede uten å gå utenfor kjeden for å handle for det nødvendige tokenet på en børs. Vanligvis opererer de ved en aktivumkonverteringsprosess ved hjelp av en lås-mynt-brenn-mekanisme.

Imidlertid er bruer mottakelige for flere sårbarheter, inkludert et enkelt punkt for feil/sentralisering, lav likviditet ettersom den sentraliserte enheten må beholde en pool av eiendeler, tekniske sårbarheter ettersom låsemekanismen styres av smarte kontrakter, og sensur.

Anbefalinger for kjedeanalyse

Chainalysis-rapporten sa at det har skjedd 13 separate brohakk til dags dato i år, som representerer 69 % av alle stjålne midler.

Forskere kartla en sammenbrudd av andre hacks kontra bridge hacks som ikke viser noe merkbart mønster. Før 3. kvartal 2021 fantes brohakk ikke. Men Q1 2022 så en topp i midler stjålet fra broer; dette falt sammen med en topp i totale stjålne midler.

Chainalysis sa i rapporten at tidligere utvekslinger var det primære målet for hackere. Men økt sikkerhet ved børser har tvunget hackere til å oppsøke nyere, mer sårbare mål for angrep.

For å motvirke problemet etterlyste forskere strenge revisjoner av smart kontraktskode og at påviste kontrakter skulle brukes som en mal for utviklere å bygge videre på. Chainalysis ga også råd i rapporten om «uforsiktighet i menneskets natur», og sa at team krever opplæring for å oppdage «sofistikert sosial ingeniør-taktikk».

Selv om det ikke er nevnt med navn i rapporten, var kommentaren ovenfor en henvisning til Ronin bridge-hacket, der Axie Infinity-brukere tapte 615 millioner dollar – plattformen senere refundert dette.

Det kom nylig frem at Ronin bridge hack ble orkestrert av nordkoreanske hackere rettet mot en senioringeniør med en falsk jobb. Prosessen innebar falske intervjuer som kulminerte med et jobbtilbud sendt via en infisert fil. Åpning av filen tillot hackere å ta kontroll over flere nettverksnoder.