Lekcje z ataku na Tinymana, największy DEX na Algoranda

Czas czytania: 5 minuty

Haki kryptograficzne będą kontynuowane w 2022 roku, ponieważ hakerzy atakują luki w różnych sieciach, zwiększając liczbę skradzionych aktywów. Społeczność Algorand rozpoczęła rok z kwaśną nutą po ataku na ich zdecentralizowaną giełdę, który doprowadził do utraty aktywów o wartości około 3 milionów dolarów.

Według doniesień, w dniu 1 stycznia 2022 r., zaatakowano nieautoryzowanych użytkowników Maleńki, zdecentralizowana platforma finansowa zbudowana na Algorandzie. Wydarzenie odbyło się w czterech oddzielnych atakach, co pozwoliło hakerom na kradzież $ 3 mln z pul w ramach protokołu.

Raport Tinymana wykazał, że włamano się na cztery konta, co dotknęło około 250 użytkowników posiadających zasoby w goBTC i goETH. Czterdzieści trzy pule zostały objęte 360 ​​szkodliwymi działaniami przeprowadzonymi przez 13 unikalnych adresów.

Warto zauważyć, że atakujący aktywowali swoje adresy portfela, co pozwoliło im zdeponować fundusz zalążkowy na potrzeby ataku. Ponadto osoby te podobno naruszyły nieznane wcześniej luki w inteligentnym kontrakcie Tinymana. To pozwoliło im uzyskać dwa takie same tokeny, które następnie przystąpili do wymiany niektórych aktywów i wybitych tokenów puli.

Ataki podobno faworyzowały nieautoryzowanych użytkowników, ponieważ: goBTC zasób był cenniejszy niż ALGO token, który wymienili, aby otrzymać więcej środków. Ponadto osoby atakujące wymieniały się również pulami na stablecoiny przed wycofaniem aktywów do innych portfeli i scentralizowanych giełd.

Jako protokół bez zaufania i bez uprawnień, Tinyman wykorzystuje w szczególności niezmienne kontrakty, co uniemożliwia giełdzie naprawienie luk w zabezpieczeniach i szybkie zatrzymanie ataku. Jednak w rezultacie mogli jedynie doradzić swoim użytkownikom, aby nie korzystali z platformy, ponieważ pracowali nad rozwiązaniem problemu.

Ponieważ zespół Tinymana kontynuuje badanie przypadków, należy zająć się kilkoma kluczowymi obszarami. Obejmują one:

Znaczenie audytów

Biorąc pod uwagę zwiększoną liczbę przypadków oszustw i ataków związanych z kryptowalutami w DeFi i na całym rynku kryptowalut, nie można wystarczająco podkreślić potrzeby systemów kontroli i odpowiedzialności. 

W zeszłym roku w listopadzie Eliptyczny, globalna firma zajmująca się zarządzaniem ryzykiem kryptowalut, przeprowadziła badania wykazujące, że ponad $ 10.5 mld Wartość aktywów została utracona z DeFi w 2021 r. z powodu włamań i innych ataków na sieci i protokoły. 

Ponadto uwzględniono hacki związane z DeFi 76% wszystkich głównych hacków w 2021 roku. Według raportu, nieufny charakter zdecentralizowanych aplikacji (DApps) w DeFi jest zarówno błogosławieństwem, jak i przekleństwem. Brak zaufania eliminuje jakąkolwiek kontrolę nad środkami użytkowników przez osoby trzecie. Użytkownicy są jednak zmuszeni ufać, że twórcy omawianych protokołów nie popełnili żadnych błędów w kodowaniu lub konstrukcji, które mogłyby umożliwić atak na system.

Audyty umożliwiają zaufanym podmiotom sprawdzanie podatności za pomocą kodów i projektu strukturalnego projektu, zwiększając ogólne bezpieczeństwo. Audyty należy przeprowadzać stale, aby nadążyć za zaawansowanymi i nowymi technikami wykorzystywanymi przez hakerów do atakowania systemów. Chociaż Tinyman podobno przeszedł audyt, ostatnie sprawdzenie mogło pomóc naprawić błędy lub luki w zabezpieczeniach i prawdopodobnie zapobiec stratom.

Musisz przeczytać: Wielka Czwórka pracuje nad audytem Blockchain

Najlepiej byłoby, gdyby audyty inteligentnych kontraktów były wykonywane przed wdrożeniem kontraktów. Audyty te mają na celu sprawdzenie typowych błędów, takich jak problemy ze stosem, błędy związane z ponownym wejściem i inne możliwe komplikacje. Proces audytu sprawdza również znane błędy platform hosta i luki w zabezpieczeniach, jednocześnie umożliwiając programistom testowanie inteligentnego kontraktu.

Ponadto audyty pomagają projektom stale ulepszać inteligentne kontrakty, zapewniając, że są one zawsze aktualne. Na przykład po ataku Tinyman został zmuszony do aktualizacji swoich inteligentnych kontraktów, aby zapobiec takim atakom w przyszłości.

Ubezpieczenie DeFi

W szczególności przed dokonaniem jakichkolwiek ustaleń na rynku DeFi użytkownicy muszą w pełni zrozumieć ryzyko związane z rynkiem. Oprócz ryzyka związanego z inteligentnymi kontraktami, użytkownicy mogą również zmierzyć się z ryzykiem związanym z wyrocznią i ryzykiem związanym z zarządzaniem. 

To powiedziawszy, prowadzenie odpowiednich badań rynków i projektów na nich pozwala użytkownikom podejmować świadome decyzje. Jedną z takich decyzji jest uzyskanie ochrony przed nieprzewidzianymi atakami poprzez ubezpieczenie DeFi.

Ubezpieczenie DeFi to proces ubezpieczania się lub wykupywania ubezpieczenia od strat, jakie mogą ponieść wydarzenia w branży DeFi. Rosnąca liczba strat w DeFi stworzyła popyt na produkty ubezpieczeniowe DeFi, ponieważ nowe projekty rosną z dnia na dzień. 

Zazwyczaj wiele giełd, których dotyczy atak, zwraca pieniądze ofiarom po ataku. Jednak niektóre z zhakowanych projektów nie mogą zwracać kosztów swoim użytkownikom.

Pamiętaj, że zespół Tinyman wystąpił, aby zapewnić poszkodowanych użytkowników, że otrzymają zwrot poniesionych strat.

Siła w społecznościach

Warto zauważyć, że po tym, jak pierwszy atak został upubliczniony, o wiele więcej hakerów skorzystało z okazji, aby skopiować hack. Wykorzystali te same luki w zabezpieczeniach do przeprowadzania mniejszych ataków (atak od drugiego do czwartego) na giełdzie. Jednak dzięki pomocy społeczności Tinymanowi udało się uratować sporą część swojego majątku.

W przypadku tego i podobnych ataków społeczności pomogły szybciej rozpowszechniać wiadomości, umożliwiając użytkownikom podjęcie niezbędnych działań w zakresie bezpieczeństwa, aby chronić ich zasoby. Ponadto społeczności w pewnym stopniu pomogły w budowaniu lepszej komunikacji i współpracy między programistami a użytkownikami w celu rozwoju całego ekosystemu.

W ostatnich dniach społeczności oparte na kryptowalutach pomogły wywołać rewolucje, które doprowadziły do ​​rozwoju projektów w branży.

Zamykając

Chociaż blockchain dokonał ogromnych przełomów, zwłaszcza w finansach, technologia ta jest daleka od doskonałości. Jednak właściciele projektów, programiści i użytkownicy mogą podjąć odpowiednie środki, aby zapewnić większe bezpieczeństwo w aplikacjach opartych na blockchain.

Podejmując środki rozliczalności poprzez audyty i inne odpowiednie środki, projekty mogą wyeliminować wszelkie błędy lub luki, które mogą być wykorzystane w aplikacji. Również podjęcie innych środków ostrożności, takich jak ubezpieczenie DeFi i utrzymywanie ścisłej społeczności, jest ważne w łagodzeniu takich zdarzeń. 

Skontaktuj się z QuillAudits

QuillAudits to bezpieczna platforma audytów inteligentnych kontraktów zaprojektowana przez QuillHash
Technologie.
Jest to platforma audytowa, która rygorystycznie analizuje i weryfikuje inteligentne kontrakty w celu sprawdzenia luk w zabezpieczeniach poprzez skuteczny przegląd ręczny za pomocą narzędzi do analizy statycznej i dynamicznej, analizatorów gazów oraz asymulatorów. Ponadto proces audytu obejmuje również szeroko zakrojone testy jednostkowe oraz analizę strukturalną.
Przeprowadzamy zarówno audyty smart kontraktów, jak i testy penetracyjne w celu znalezienia potencjału
luki w zabezpieczeniach, które mogą zaszkodzić integralności platformy.

Jeśli potrzebujesz pomocy w audycie inteligentnych kontraktów, skontaktuj się z naszymi ekspertami tutaj!

Aby być na bieżąco z naszą pracą, dołącz do naszej społeczności:-

Twitter | LinkedIn | Facebook | Telegram

Post Lekcje z ataku na Tinymana, największy DEX na Algoranda pojawiła się najpierw na Blog.

Źródło: https://blog.quillhash.com/2022/01/lessons-from-the-attack-on-tinyman-largest-dex-on-algorand