Автор: Вишал Чавла, The Block. Составитель: Songxue, Golden Finance;
В течение многих лет криптоиндустрия сталкивалась с проблемами хакеров и уязвимостями протоколов.
Эта тенденция сохранится и в 2023 году. Однако есть и хорошие новости: количество хакеров сократилось более чем на 50% по сравнению с прошлым годом.
По данным TRM Labs, сумма криптовалютных средств, украденных хакерами в этом году, оценивается в $1,7 млрд, что меньше половины от $4 млрд, зафиксированных в 2022 году. Хотя общие потери уменьшились, крупные суммы денег по-прежнему украдены из отдельных проектов.
В этом году произошел ряд громких взломов, затронувших такие известные организации, как Multichain, Euler Finance, Mixin Network и Atomic Wallet.
Затем, в ноябре, три криптопроекта, связанные с основателем Tron Джастином Саном — Poloniex, HTX и Heco Bridge — в совокупности потеряли более 200 миллионов долларов в результате серии взломов.
Повторяющаяся проблема во многих из этих инцидентов связана с уязвимостями закрытых ключей, которые позволяют преступникам получить доступ к средствам пользователей. В течение года северокорейская хакерская группа Lazarus провела несколько атак, в результате которых общий ущерб составил более 300 миллионов долларов.
В этой статье подробно рассматриваются крупнейшие кражи криптовалюты за год, рассматриваются затронутые проекты и факторы, которые привели к каждой атаке.
Сеть Mixin – 200 миллионов долларов.
Криптопроект Mixin Network, базирующийся в Гонконге, пострадал от крупнейшего крипто-взлома года.
23 сентября компании пришлось внезапно прекратить свою деятельность после того, как хакеры украли ошеломляющую сумму в 200 миллионов долларов из горячих кошельков пользователей.
Mixin сообщает, что «база данных ее провайдера облачных услуг была взломана». Хотя компания не предоставила дополнительных объяснений, аналитики полагают, что затронутая база данных может содержать закрытые ключи от учетных записей пользователей — мнемонические фразы, которые разблокируют хранящиеся у них криптовалюты.
Эйлер Финанс — $197 млн.
Лишь немногие события так ярко продемонстрировали дерзость и уязвимость DeFi, как атака на кредитный протокол Euler в марте 2023 года. Именно тогда из-за странной уловки исчезла криптовалюта на сумму 197 миллионов долларов.
Кто виноват? Хакер воспользовался уязвимостью в протоколе кредитования, манипулируя обменным курсом между eDAI и dDAI, стейблкоинами, выпущенными Euler. Злоумышленник может завысить ставки eDAI/dDAI, неоднократно вызывая функцию donateToReserves с помощью DAI.
Они использовали быстрые кредиты, тип кредита, который погашается в одной и той же транзакции Ethereum, чтобы нарушить баланс пулов ликвидности, содержащих оба токена. Это спровоцировало ликвидацию позиций заемщиков, номинированных в dDAI, с целью вывода средств из протокола.
Но на этом история не заканчивается. Позже злоумышленник вернул украденные средства, сделав ход, известный как «белая шляпа». За исключением небольшой части добычи, почти вся награда возвращается команде, оказывая помощь жертвам.
Мультичейн — 125 миллионов долларов.
Сообщается, что в июле межсетевой мост Multichain увидел использование криптовалюты на сумму 125 миллионов долларов в различных поддерживаемых им блокчейнах, при этом Fantom получил наибольшую сумму финансирования. Это произошло вскоре после того, как мост был приостановлен из-за «множества проблем, вызванных непредвиденными обстоятельствами».
На сегодняшний день точная причина взлома остается неясной, поскольку окончательный отчет о вскрытии еще не предоставлен.
Как объясняет охранная фирма Халборн, один из возможных факторов предполагает, что закрытые ключи смарт-контракта моста были скомпрометированы из-за того, что хакеры воспользовались ошибкой в его коде.
Были опасения, что ответственность за инцидент могла нести сама команда; опасения усилились после исчезновения генерального директора Multichain Цзюня Чжао перед взломом.
Перед этим событием он был арестован китайскими властями, и выяснилось, что он имел исключительный контроль над средствами протокола, что противоречит предыдущим заявлениям Multichain о децентрализации. Мультичейн больше не работает.
Полоникс – 120 миллионов долларов.
В ноябре 2023 года хакеры, подозреваемые в причастности к северокорейской Lazarus Group, украли ошеломляющую сумму в 120 миллионов долларов из горячих кошельков Poloniex, скорее всего, путем получения закрытых ключей.
Непосредственные последствия были предсказуемы: торговля и вывод средств прекратились. Биржа заявила, что выплатит компенсацию пострадавшим пользователям. Poloniex работает как централизованная биржа с 2014 года. Основатель Tron Джастин Сан приобрел биржу в 2019 году.
В июне 2023 года учетные записи пользователей приложения криптокошелька Atomic были уничтожены. Хакеры украли активы на сумму более 100 миллионов долларов примерно у 5500 пользователей. Основная причина инцидента остается неясной, поскольку Atomic пока не предоставила объяснений.
Предполагается, что уязвимость могла быть вызвана ошибкой в коде, отмеченной аналитиками безопасности компании Least Authority за год до инцидента. Аналитики SlowMist также обнаружили потенциальные проблемы.
Аналитическая компания Elliptic отследила более 5500 атакованных кошельков и заявила, что за атакой стояла северокорейская хакерская ассоциация Lazarus Group.
В августе группа пострадавших в России подала коллективный иск против компании, стоящей за Atomic, заявив, что она не смогла защитить активы пользователей. Несколько месяцев спустя компания ответила на ходатайство суда США об отклонении иска.
Heco Bridge, HTX — 99 миллионов долларов.
В ноябре в главном кросс-чейн мосте Heco, блокчейна, созданного биржей HTX, возникла серьезная уязвимость. Преступники взяли под контроль ключевые смарт-контракты или учетные записи операторов через мост, что привело к краже более 86 миллионов долларов США в различных криптовалютах.
Предварительный анализ предполагает, что злоумышленники манипулировали кодом смарт-контракта межцепочного моста и обошли его протоколы безопасности. Эта манипуляция позволила хакерам создавать несанкционированные токены (через контракт моста), которые затем обменивались на Ethereum и впоследствии выводились из моста кроссчейн.
HTX (ранее Huobi) также потеряла 12 миллионов долларов в своем горячем кошельке. Советник HTX и основатель Tron Джастин Сан сказал, что злоумышленникам были предложены вознаграждения в виде белых шляп. Предложение, похоже, было принято, и платформа вернула 8 миллионов долларов (из 12 миллионов украденных).
Кривая – 73 миллиона долларов
В июле атаке подверглась Curve Finance, одна из крупнейших децентрализованных бирж DeFi. Из-за уязвимости в языке программирования Vyper, который он использует, было использовано несколько пулов ликвидности на платформе, что позволило хакерам украсть около 73 миллионов долларов США в различных криптоактивах.
Уязвимость безопасности позволила злоумышленнику использовать логику смарт-контракта для злонамеренного хищения средств. Это включает в себя атаку с повторным входом, при которой хакеры манипулируют смарт-контрактами для быстрого вывода средств.
Атаке способствовало неисправное устройство защиты от повторного входа в Vyper. Это затрагивает проекты, созданные на базе заводского пула Curve, включая JPEG, Metronome и Alchemix.
Команда Curve быстро устранила уязвимость и в конечном итоге вернула около 50 миллионов долларов (70% украденных средств), сняв опасения многих пользователей и заинтересованных сторон. Возвращенные средства либо возвращаются непосредственно вовлеченными в процесс этическими хакерами, либо сохраняются с помощью операторов ботов MEV, таких как c0ffeebabe.eth.
CoinEx – 55 миллионов долларов.
В сентябре централизованная биржа криптовалют CoinEx, базирующаяся в Гонконге, сообщила о масштабном взломе. Хакеры проникли в горячий кошелек биржи, который был разработан для мгновенной торговли, и скрылись с более чем 55 миллионами долларов в различных криптовалютах.
В причастности к инциденту в очередной раз заподозрили северокорейскую группировку «Лазарь». Следователи обнаружили связь между взломом CoinEx и еще одной кражей с игровой платформы Stake.com, которая, по мнению ФБР, связана с хакерской группой Lazarus. Анализ показывает, что адрес кошелька, на который были получены украденные средства со Stake.com, напрямую взаимодействовал с кошельком хакера CoinEx.
Киберсвоп — $54 млн.
Агрегатор децентрализованной биржи (DEX) KyberSwap был использован в ходе атаки на его платформу Elastic, в результате которой было похищено около 54 миллионов долларов США в криптовалюте.
Атака 22 ноября была вызвана уязвимостью в границах тикового интервала централизованного пула ликвидности Kyber, что позволило злоумышленникам искусственно удвоить ликвидность и истощить ее стоимость.
Пытаясь договориться, Кибер предложил хакерам 10% вознаграждения в обмен на возврат средств. Однако хакер не был заинтересован в получении награды и в странном сообщении в сети выдвинул другие требования, в том числе попросил команду взять на себя полный контроль над проектом.
Только команда вернула 4,7 миллиона долларов средств, незаконно присвоенных сторонними роботами MEV.
Stake.com — 41 миллион юаней
Платформа ставок на основе криптовалюты Stake.com стала жертвой возможной эксплуатации закрытого ключа ее кошелька. 4 сентября 2023 года с платформы была украдена криптовалюта на сумму около 41 миллиона долларов.
ФБР обвинило в атаке Lazarus в отчете, основанном на анализе адресов в сетях Ethereum, BNB Chain и Polygon, на которые поступали украденные средства со Stake.com.