การสูญเสียนับล้าน: การแฮ็ก DeFi Cryptocurrency 19 อันดับแรกของปี 2020
DeFi ไม่ใช่การปฏิวัติ พื้นฐานทางการเงินแบบอัตโนมัติบน blockchain เปิดโลกแห่งความเป็นไปได้ที่จะขัดขวางการเงินแบบดั้งเดิมและทำให้สามารถเข้าถึงได้มากขึ้น
ศักยภาพมหาศาลนี้ดึงดูดผู้ใช้และนักลงทุนจำนวนมากเข้ามาในพื้นที่ ในเรื่องของเดือนมูลค่ารวมล็อค (TVL) ในโปรโตคอล DEFI ถึงกว่ามากกว่า $ 13 พันล้าน
ขณะที่กิจกรรมบน blockchain DEFI ศูนย์กลาง, Ethereum, พุ่งสูงขึ้น ผลประโยชน์ดูเหมือนจะไม่มีที่สิ้นสุดเช่นกัน
การนำกิจกรรมทางการเงินมาใช้ในระบบอัตโนมัติ การติดตั้งที่ไม่น่าเชื่อถือ และความโปร่งใส
อย่างไรก็ตาม มันยังสร้างเวกเตอร์การโจมตีจำนวนมาก ซึ่งเป็นไปไม่ได้ในด้านการเงินแบบดั้งเดิม
DeFi Hacks
โครงการ DeFi ส่วนใหญ่เป็นโอเพ่นซอร์ส ซึ่งหมายความว่าโค้ดสามารถเข้าถึงได้ง่ายผ่าน GitHub เพื่อตรวจสอบทั้งโดยผู้ใช้ที่มีเจตนาดีและเป็นอันตราย หากผู้กระทำผิดพบข้อบกพร่องก่อน พวกเขาสามารถขโมยเงินของผู้ใช้รายอื่นได้
นอกจากข้อบกพร่องในโค้ดแล้ว แอปพลิเคชัน DeFi ยังเสี่ยงต่อการถูกโจมตีจากภายนอกอีกด้วย ประสิทธิภาพของ DeFi ส่วนใหญ่ขึ้นอยู่กับความสามารถในการปรับแต่งได้ ซึ่งหมายความว่ายิ่งโปรเจ็กต์เชื่อมต่อถึงกันมากเท่าไร ก็ยิ่งมีมูลค่ามากขึ้นเท่านั้น ดังนั้น ผู้โจมตีสามารถเล่นเกมระบบและทำให้โปรโตคอลทำงานในลักษณะที่นักพัฒนาไม่ได้เจตนา
การย้อนกลับไม่ได้ของธุรกรรมบล็อคเชนทำให้สถานการณ์เลวร้ายลง หากเกิดการแฮ็ก เงินทุนอาจสูญหายไป แม้ว่าบางโครงการจะคืนเงินให้ผู้ใช้จากกระเป๋าของพวกเขา
ต่อไปนี้คือคอลเล็กชันการแฮ็กและการเจาะระบบมากกว่าโหลภายใน DeFi ในปี 2020
การแฮ็ก DeFi 19 อันดับแรกของปี 2020
- bZx – $954,000
แม้ว่า DeFi จะมีการเติบโตอย่างรวดเร็วหลังจากเปิดตัวโปรแกรมการขุดสภาพคล่องแบบผสมพื้นที่ดังกล่าวเริ่มมีการต้มเบียร์ตั้งแต่ปี 2014 มีหลายแพลตฟอร์มที่มีอยู่และประสบปัญหาจากการถูกแฮ็กก่อนฤดูร้อนปี 2020 ของ DeFi
bZx ซึ่งเป็นโครงการ DeFi ที่เน้นไปที่การซื้อขายมาร์จิ้นและการปล่อยสินเชื่อ เริ่มต้นปี 2020 อย่างมีปัญหาด้วยการแฮ็กสองครั้งติดต่อกันส่งผลให้ขาดทุนเกือบหนึ่งล้านดอลลาร์ การโจมตีที่เกิดขึ้นใน14 กุมภาพันธ์และ18 กุมภาพันธ์
แฮกเกอร์ไม่พบข้อบกพร่องในสัญญาอัจฉริยะ bZx พวกเขาใช้ประโยชน์จากการเชื่อมต่อระหว่างกันของโปรโตคอล DeFi การเอารัดเอาเปรียบเกี่ยวข้องกับการออกแฟลชเงินกู้ (ยืมและชำระคืนในธุรกรรมเดียว) และจัดการราคาสินทรัพย์เพื่อระบายเงินจากแหล่งเงินกู้โดยรับเงินกู้ที่มากกว่าที่เป็นไปได้ภายใต้สถานการณ์ปกติ
แพลตฟอร์มครอบคลุมการขาดทุนจากกองทุนประกัน ซึ่งได้รับ 10% ของดอกเบี้ยที่ผู้ให้กู้ได้รับทั้งหมด - dForce และ Lendf.me – $25 ล้าน
เมื่อวันที่19 เม.ย.แฮ็กเกอร์รายหนึ่งได้รับเงิน 25 ล้านดอลลาร์จาก Lendf.me ซึ่งเป็นแพลตฟอร์มการให้กู้ยืมแบบกระจายอำนาจ ซึ่งทำงานภายใต้แพลตฟอร์ม dForce ของ DeFi ของจีน แฮ็คใช้ช่องโหว่ที่รู้จักกันดีของ Ethereum ซึ่งถูกใช้ใน DAO Hack ที่น่าอับอายในปี 2559
มาตรฐานโทเค็น ERC-777 ของ Ethereum มีช่องโหว่ทำให้ผู้โจมตีสามารถระบายเงินจากสัญญาอัจฉริยะบางสัญญาที่ถือครองไว้ได้ โทเค็น imBTC ที่เป็นตัวแทนของ BTC บน Ethereum คือมาตรฐาน ERC-777 ซึ่งอนุญาตให้เวกเตอร์โจมตี
โดยเฉพาะอย่างยิ่งแฮ็กเกอร์คืนเงินที่ขโมยมาให้กับผู้ดูแลระบบ Lendf.Me ซึ่งไม่ได้ช่วย dForce จากการวิพากษ์วิจารณ์
การโจมตีแบบเดียวกันที่เกี่ยวข้องกับ imToken เกิดขึ้นบน Uniswap ในช่วงเวลาเดียวกับบน dForce แต่แฮกเกอร์สามารถระบายน้ำได้น้อยกว่ามาก – $300,000 - เฮจิก – $48,000
แพลตฟอร์มตัวเลือกHegicไม่ได้ถูกโจมตีโดยใครก็ตาม แต่การพิมพ์ผิดในรหัสของโครงการนำไปสู่การแช่แข็งทรัพย์สินของผู้ใช้
ผู้ค้าและผู้ถือสามารถใช้ตัวเลือกใน Hegic เพื่อประกันความผันผวนของราคา พิจารณาว่า ETH มีมูลค่า $500 และผู้ใช้ซื้อสัญญาออปชั่น ซึ่งช่วยให้พวกเขาสามารถขาย ETH หนึ่งรายการในราคา 500 DAI ภายในกรอบเวลาหนึ่ง หากราคา ETH เพิ่มขึ้นถึง 400 ดอลลาร์ ผู้ใช้สามารถใช้สัญญาได้อย่างปลอดภัย โดยจะชำระสถานะของตนเป็นเงิน 500 DAI
เมื่อวันที่ 25 เมษายน Hegic ได้เผยแพร่คำเตือนเกี่ยวกับการพิมพ์ผิดในสัญญาอัจฉริยะ ซึ่งนำไปสู่การแช่แข็งเงินทุนในสัญญาที่ไม่ได้ใช้งาน หากผู้ใช้ไม่ได้ใช้ตัวเลือกของตน อาจมีบางคนปลดล็อกเนื้อหา แต่ทำไม่ได้เนื่องจากการพิมพ์ผิด
ผู้ก่อตั้ง Hegic จ่ายเงินคืนให้กับทุกคนที่ได้รับความเดือดร้อน
- ผู้ผลิต – $8 ล้าน
เครื่องชงพบว่าตัวเองอยู่ในสถานการณ์หลังจากที่ตลาดการเข้ารหัสลับฟาดมีนาคม 12 แพลตฟอร์มจบลงในกว่า $ 8 ล้านในตราสารหนี้เป็นบางส่วนของเงินให้สินเชื่อที่ถูกชำระบัญชีฟรี
เนื่องจาก Maker มีการกระจายอำนาจ จึงไม่สามารถใช้คะแนนเครดิตเพื่อตรวจสอบความน่าเชื่อถือของผู้กู้ได้ ดังนั้น เงินกู้บนแพลตฟอร์มจึงมีหลักประกันมากเกินไปซึ่งหมายความว่าผู้กู้จัดหาสินทรัพย์เพิ่มเติมที่พวกเขาสามารถนำไปใช้ได้
หากมูลค่าหลักประกันต่ำกว่าเกณฑ์ที่กำหนด เงินกู้จะถูกทำเครื่องหมายว่าไม่มีหลักประกัน และผู้ชำระบัญชีสามารถเข้าร่วมในการประมูลเพื่อชำระบัญชีเงินกู้เพื่อรับรางวัล 13%
เมื่อตลาดพัง กิจกรรมบน Ethereum ก็เพิ่มสูงขึ้นเมื่อผู้ใช้ตื่นตระหนก
ปริมาณงานต่ำของเครือข่ายทำให้เกิดความแออัด และผู้ชำระบัญชีจำนวนมากใน Maker หยุดทำงาน ดังนั้นผู้ชำระบัญชีจำนวนหนึ่งจึงชนะการประมูลฟรีเพราะไม่มีการแข่งขัน
Blocknativeซึ่งเป็นบริษัทนิติวิทยาศาสตร์ ได้เผยแพร่รายงานในเวลาต่อมาโดยกล่าวว่าความตื่นตระหนกของผู้ใช้ไม่เพียงแต่มีส่วนทำให้เกิดความแออัด แต่ยังรวมถึงกิจกรรมบอทที่เป็นอันตรายด้วย
บอทสแปม Ethereum ด้วยธุรกรรมขยะที่แทนที่ธุรกรรมที่มีอยู่ซ้ำๆ เพื่อชะลอผู้ชำระบัญชีรายอื่น ๆ และใช้ประโยชน์จากการแข่งขันที่ลดลง - เงิน – $0
แฮกเกอร์หมวกขาวพบช่องโหว่รุนแรงใน DEFI ที่มุ่งเน้นมือถือกระเป๋าสตางค์เงินใน OpenZeppelin บน18 มิถุนายน
Argent จำลองประสบการณ์การใช้กระเป๋าเงินเข้ารหัสลับเป็นบัตร CC ด้วยแนวคิดของ Guardians Guardians เป็นอุปกรณ์ที่เชื่อถือได้และมีการอนุญาตที่จำกัดในกระเป๋าเงินของผู้ใช้ ช่วยกู้คืนการเข้าถึงกระเป๋าเงินหากเจ้าของเดิมไม่สามารถเข้าถึง
ช่องโหว่ที่เปิดเผยออกมาจะทำให้แฮกเกอร์สามารถตรึงเงินในกระเป๋าเงินได้โดยไม่มีผู้พิทักษ์ เมื่อถึงเวลาที่มีการค้นพบช่องโหว่ กระเป๋าเงินกว่า 300 แห่งที่มี ETH มากกว่า 160 แห่งตกอยู่ในความเสี่ยง
โชคดีที่ไม่มีใครประสบความสูญเสียในขณะที่ทีมดำเนินการแก้ไขทันเวลา - บังกอร์ – $0
Bancorแอปที่เน้นการแลกเปลี่ยนสินทรัพย์และดำเนินการ ICO ที่ใหญ่ที่สุดแห่งหนึ่งในปี 2017 แฮ็กตัวเองเพื่อแก้ไขจุดอ่อนที่สำคัญ
อันเป็นผลมาจากหนึ่งในการอัปเดตของระบบ ผู้ใช้ที่โต้ตอบกับสัญญาอัจฉริยะที่อัปเกรดอาจสูญเสียเงินทุน 545,000 ดอลลาร์ตกอยู่ในความเสี่ยง แต่ทีม Bancor ได้เริ่มแฮ็คตัวเองเพื่อปกป้องทรัพย์สิน
อย่างไรก็ตาม นอกจากทีมแล้ว แฮ็กเกอร์หมวกขาวคนอื่น ๆ ยังทำเงินได้มากกว่า 130,000 ดอลลาร์ Bancor โชคดีเพราะอาจเป็นนักแสดงที่มุ่งร้าย
Bancor ได้รับความเดือดร้อนจากการถูกแฮ็กขนาดใหญ่ในปี 2018และคำเตือนเกี่ยวกับการหาประโยชน์ครั้งใหม่นี้เริ่มแพร่กระจายไปทั่วตั้งแต่มี.ค. 2020
- บาลานเซอร์ – $500,000
การแลกเปลี่ยนแบบกระจายศูนย์กับกลุ่มสภาพคล่องที่ปรับแต่งได้Balancerเห็นการโจมตีคล้ายกับที่ bZx ได้รับความทุกข์ทรมาน เหตุเกิดเมื่อวันที่ 28 มิ.ย.
แฮ็คใช้ประโยชน์จากฟังก์ชันภาวะเงินฝืดของโทเค็น Statera (STA) ซึ่งเผาผลาญ 1% ของแต่ละธุรกรรม ผู้โจมตีใช้แฟลชเงินกู้เพื่อยืม ETH จำนวนมาก และแลกเปลี่ยน ETH กับ STA เพื่อลดจำนวนโทเค็น STA ในพูล
เมื่อจำนวน STA มีขนาดเล็กมาก ราคาของมันในสินทรัพย์อื่นในกลุ่มก็เพิ่มขึ้นเพื่อให้ผู้โจมตีสามารถแลกเปลี่ยน STA กับสินทรัพย์อื่นในราคาถูก
ทีมเตือนชุมชนเกี่ยวกับอันตรายของโทเค็นภาวะเงินฝืดก่อนการแฮ็กเกิดขึ้น อย่างไรก็ตาม เนื่องจากโปรโตคอลไม่มีสิทธิ์ จึงไม่สามารถป้องกันผู้ใช้จากการเพิ่มสินทรัพย์ที่ไม่ปลอดภัยได้ - Uniswap – 530,000 เหรียญสหรัฐ
ข้อเสนอการแลกเปลี่ยนแบบกระจายอำนาจเริ่มต้น ( IDO ) ของโทเค็นBZRXของโปรโตคอลbZxบน Uniswap เน้นถึงความไม่สมบูรณ์ของโมเดล IDO
ระหว่างการทำ IDO ผู้ใช้จะส่งเงินไปที่ทีมโดยตรง และราคาของสินทรัพย์ก็เพิ่มขึ้นตามหน้าที่ของกิจกรรมการซื้อ
น้อยกว่าหนึ่งนาทีนับตั้งแต่ BZRX IDO เริ่มในวันที่ 13 กรกฎาคม ราคาพุ่งขึ้น 12 เท่าเนื่องจากกิจกรรมบอทที่ทำงานอยู่ด้านหน้า บอทวางคำสั่งซื้อในบล็อกเดียวกันกับที่เป็นจุดเริ่มต้นของ IDO
นอกจากผู้ซื้อที่รับผิดชอบโดยตรงแล้ว บอทยังสแปมเครือข่ายเพื่อให้ผู้ใช้ไม่สามารถผลักดันธุรกรรมของตนได้
เมื่อผู้ซื้อรายอื่นเข้ามาขายในที่สุด ราคาก็สูงอยู่แล้ว และเจ้าของบอทก็ทำกำไรได้มหาศาล ผู้ซื้อรายแรกรายหนึ่งทำเงินได้ 500,000 เหรียญ
แม้ว่าเหตุการณ์จะไม่ใช่การแฮ็ก แต่ก็ทำให้เกิดความกังวลเกี่ยวกับความอยู่รอดและความเป็นธรรมของโมเดล IDO - Opyn – $370,000
ข้อผิดพลาดการทำสัญญาสมาร์ทได้รับอนุญาตให้มีการโจมตีสองครั้งที่ใช้จ่ายทำให้ตัวเลือกโปรโตคอล Opyn ที่จะสูญเสีย $ 370,000 ใน4 สิงหาคม
ช่องโหว่ดังกล่าวเชื่อมต่อกับโทเค็นดั้งเดิมของโปรโตคอลที่เรียกว่า oTokens ซึ่งผู้ใช้จะเบิร์นเมื่อใช้งานสัญญาออปชั่น สัญญาไม่สามารถใช้ชุดตัวเลือกได้อย่างถูกต้อง ไม่มีการเผา oTokens ทุกครั้งที่ปิด
ดังนั้น ผู้โจมตีสามารถใช้ยอดคงเหลือ oTokens ซ้ำและระบายเงินด้วยการใช้ตัวเลือกฟรี
จากข้อมูลของPeckShieldบริษัทรักษาความปลอดภัยบล็อคเชนผู้ที่มีประสบการณ์การเขียนโปรแกรมสัญญาอัจฉริยะสามารถตรวจพบจุดบกพร่องได้อย่างง่ายดาย
แม้ว่าทีม Opyn จะไม่สามารถถอดหรือเปลี่ยนสัญญาอัจฉริยะได้ แต่ก็สามารถระงับโปรโตคอลและประหยัดเงินของผู้ใช้บางส่วนได้ ยิ่งไปกว่านั้น ยังประกาศการชำระเงินคืนพร้อมกับการตรวจสอบสัญญาอัจฉริยะ
[NPC5]10. ยำ – $750,000
DeFi Stablecoin ที่นำโดยชุมชน YAM สามารถดึงดูดเงินหลายร้อยล้านดอลลาร์ภายในเวลาไม่กี่ชั่วโมงหลังจากเปิดตัวในวันที่ 11 ส.ค.และจะตายในอีกไม่กี่วันต่อมาเนื่องจากบั๊กการรีเบสที่สำคัญ
YAM เป็นโคลนดัดแปลงของAmpleforthซึ่งเป็นเหรียญที่มีเสถียรภาพพร้อมอุปทานแบบไดนามิก ขึ้นอยู่กับความต้องการ YAM และ Ampleforth สามารถเพิ่มหรือลดอุปทานทั้งหมดเพื่อรักษาตรึง $1 อุปทานมีการเปลี่ยนแปลงโดยการเรียกใช้ฟังก์ชัน “rebase” โดยเฉพาะ