Орталықтандырылмаған қаржы (DeFi) индустриясы соңғы екі айда хакерлерден миллиард доллардан астам шығынға ұшырады және жағдай бақылаудан шығып бара жатқан сияқты.
Соңғы статистикаға сәйкес, шамамен $1.6 млрд криптовалюталар DeFi платформаларынан ұрланған 2022 жылдың бірінші тоқсанында. Сонымен қатар, барлық ұрланған криптоның 90%-дан астамы бұзылған DeFi протоколдарынан.
Бұл сандар еленбесе, ұзақ мерзімді перспективада сақталуы мүмкін ауыр жағдайды көрсетеді.
Неліктен хакерлер DeFi платформаларын қалайды
Соңғы жылдары хакерлер DeFi жүйелеріне бағытталған операцияларды күшейтті. Бұл топтардың секторға тартылуының негізгі себептерінің бірі - орталықтандырылмаған қаржылық платформалар ұстайтын қаражаттың көптігі. Үздік DeFi платформалары ай сайын миллиардтаған доллар транзакцияларды өңдейді. Осылайша, сәтті шабуылдар жасай алатын хакерлер үшін сыйақы жоғары.
DeFi протокол кодтарының көпшілігінің ашық бастапқы коды болуы да оларды киберқауіпсіздік қатерлеріне көбірек бейім етеді.
Себебі, ашық бастапқы бағдарламалар жұртшылықтың қарауы үшін қолжетімді және интернет байланысы бар кез келген адам тексере алады. Осылайша, олар эксплуатация үшін оңай тексеріледі. Бұл тән сипат хакерлерге DeFi қолданбаларын тұтастық мәселелері бойынша талдауға және тонауды алдын ала жоспарлауға мүмкіндік береді.
Кейбір DeFi әзірлеушілері сертификатталған киберқауіпсіздік фирмалары жариялаған платформа қауіпсіздігі аудитінің есептерін әдейі елемеу арқылы жағдайға өз үлесін қосты. Кейбір әзірлеу топтары сонымен қатар DeFi жобаларын қауіпсіздіктің ауқымды талдауынсыз іске қосады. Бұл кодтау ақауларының ықтималдығын арттырады.
DeFi қауіпсіздігіне қатысты құрыштағы тағы бір кемшілік - бұл экожүйелердің өзара байланысы. DeFi платформалары әдетте ыңғайлылық пен әмбебаптылықты арттыратын кросс-көпірлер арқылы өзара байланысты.
Көлденең көпірлер кеңейтілген пайдаланушы тәжірибесін қамтамасыз еткенімен, кодтың бұл маңызды үзінділері әртүрлі қауіпсіздік деңгейлері бар таратылған кітаптардың үлкен желілерін қосады. Бұл мультиплекс конфигурациясы DeFi хакерлеріне белгілі платформалардағы шабуылдарды күшейту үшін бірнеше платформаның мүмкіндіктерін пайдалануға мүмкіндік береді. Бұл сондай-ақ оларға заңсыз жолмен алынған қаражатты бірнеше орталықтандырылмаған желілер арқылы жылдам аударуға мүмкіндік береді.
Жоғарыда аталған тәуекелдерден басқа, DeFi платформалары да инсайдерлік саботажға бейім.
Қауіпсіздікті бұзу
Хакерлер DeFi периметрінің осал жүйелеріне ену үшін кең ауқымды әдістерді қолданады.
Қауіпсіздікті бұзу - DeFi секторында жиі кездесетін жағдай. айтуынша 2022 тізбекті талдауға Есепке сәйкес, соңғы екі жылда ұрланған криптовалюталардың шамамен 35% қауіпсіздікті бұзумен байланысты.
Олардың көпшілігі қате кодқа байланысты пайда болады. Хакерлер әдетте осы шабуыл түрлерін жүзеге асыруға мүмкіндік беретін жүйелі кодтау қателерін табуға айтарлықтай ресурстарды арнайды және әдетте оларға көмектесу үшін қателерді бақылаудың жетілдірілген құралдарын пайдаланады.
Қауіп-қатер субъектілері осал платформаларды іздеу үшін қолданатын тағы бір кең таралған тактика - бұрыннан ашылған, бірақ әлі енгізілмеген қауіпсіздік мәселелері бар желілерді қадағалау.
Жақында жасалған Wormhole DeFi хакерлік шабуылының артында хакерлер тұр шамамен 325 миллион доллар шығын сандық таңбалауыштарда бұл стратегияны қолданғаны хабарланады. Кодтық міндеттемелерді талдау платформаның GitHub репозиторийіне жүктеп салынған осалдық патчының патч қолданбас бұрын пайдаланылғанын көрсетті.
Қате зиянкестерге 120,000 миллион долларға бағаланған 325 250 Wrapped Ether (wETH) монеталарын соғуға мүмкіндік беретін жүйе қолтаңбасын жасауға мүмкіндік берді. Содан кейін хакерлер WETH-ті Ether-де шамамен XNUMX миллион долларға сатты (ETH). Айырбасталған Ethereum монеталары платформаның есеп айырысу қорларынан алынды, осылайша жоғалтуларға әкелді.
Wormhole қызметі тізбектер арасындағы көпір рөлін атқарады. Ол пайдаланушыларға депозитке салынған криптовалюталарды тізбектер бойынша оралған белгілерге жұмсауға мүмкіндік береді. Бұл депозитке салынған монеталарды тікелей айырбастау немесе түрлендіру қажеттілігін жеңілдететін Wormhole-оралған токендерді соғу арқылы жүзеге асырылады.
Соңғы: Блокчейн мұрағаттары соғыс уақытындағы тарихты қалай жазуымызды қалай өзгерте алады
Қарызға арналған жедел шабуылдар
Флэш несиелер - бұл несиелік тексерулерді қажет етпейтін кепілсіз DeFi несиелері. Олар инвесторлар мен трейдерлерге қаражатты бірден қарызға алуға мүмкіндік береді.
Ыңғайлы болғандықтан, флэш-несие әдетте қосылған DeFi экожүйелеріндегі арбитраж мүмкіндіктерін пайдалану үшін пайдаланылады.
Қарызға арналған жедел шабуылдарда несие беру хаттамалары бағаның жасанды сәйкессіздігін тудыратын бағаны манипуляциялау әдістерін қолдану арқылы мақсатты және бұзылған. Бұл нашар актерлерге активтерді айтарлықтай жеңілдікпен сатып алуға мүмкіндік береді. Қарызға арналған жедел шабуылдардың көпшілігі бірнеше өзара байланысты DeFi хаттамаларын орындауға бірнеше минуттар мен кейде секундтарды алады.
Зиянкестер активтердің бағасын манипуляциялаудың бір жолы - бұл баға оракулдарын нысанаға алу. Мысалы, DeFi баға ораклдары өздерінің тарифтерін беделді биржалар мен сауда сайттары сияқты сыртқы көздерден алады. Хакерлер, мысалы, кеңірек нарықпен салыстырғанда төмен бағамен сауда жасау үшін мақсатты актив мөлшерлемелерінің құнын бір сәтке түсіріп, оракулдарды алдау үшін бастапқы сайттарды манипуляциялай алады.
Содан кейін шабуылдаушылар активтерді құнсыздандырылған бағаммен сатып алады және оларды құбылмалы айырбас бағамы бойынша жылдам сатады. Флэш-несие арқылы алынған левереджді токендерді пайдалану оларға пайданы ұлғайтуға мүмкіндік береді.
Бағаларды манипуляциялаудан басқа, кейбір шабуылдаушылар DeFi дауыс беру процестерін ұрлау арқылы жедел несие шабуылдарын жасай алды. Жақында, Beanstalk DeFi 182 миллион доллар шығынға ұшырады шабуылдаушы басқару жүйесіндегі кемшілікті пайдаланғаннан кейін.
Beanstalk әзірлеу тобы қатысушыларға негізгі функционалдылық ретінде платформа өзгерістеріне дауыс беруге мүмкіндік беретін басқару механизмін қамтыды. Бұл орнату DeFi индустриясында танымал, себебі ол демократияны қолдайды. Платформадағы дауыс беру құқығы өткізілетін жергілікті токендердің құнына пропорционалды болуы керек.
Бұзушылықты талдау шабуыл жасаушылардың Aave DeFi протоколынан 1 миллиард долларға жуық активтерді алу үшін несие алғанын көрсетті. Бұл оларға дауыс беруді басқару жүйесінде 67% көпшілік дауыс алуға мүмкіндік берді және активтерді мекен-жайына ауыстыруды біржақты тәртіпте бекітуге мүмкіндік берді. Қылмыскерлер флеш-несие мен соған байланысты қосымша төлемдерді өтегеннен кейін цифрлық валютада шамамен 80 миллион долларды төледі.
Chainalysis мәліметтері бойынша, 360 жылы DeFi платформаларынан 2021 миллион долларға жуық крипто монеталары ұрланған, деп хабарлайды Chainalysis.
Ұрланған крипто қайда кетеді?
Ұзақ уақыт бойы хакерлер ұрланған қаражатты жылыстату үшін орталықтандырылған биржаларды қолданды, бірақ киберқылмыскерлер оларды DeFi платформаларына жібере бастады. 2021 жылы киберқылмыскерлер жіберілген Барлық заңсыз криптовалюталардың шамамен 17% DeFi желілеріне, бұл 2 жылғы 2020% -дан айтарлықтай секіру.
Нарық сарапшылары DeFi хаттамаларына көшу «Клиентіңізді білу» (KYC) және ақшаны жылыстатуға қарсы (AML) неғұрлым қатаң процестердің кеңірек енгізілуіне байланысты деп болжайды. Процедура киберқылмыскерлер іздейтін анонимділікке нұқсан келтіреді. Көптеген DeFi платформалары бұл маңызды процестерден бас тартады.
Билік органдарымен ынтымақтастық
Орталықтандырылған биржалар да киберқылмыспен күресу үшін билік органдарымен бұрынғыдан да көп жұмыс істейді. Сәуір айында Binance биржасы маңызды рөл атқарды ұрланған криптовалюталардағы 5.8 миллион долларды қалпына келтіру бұл Axie Infinity-тен ұрланған 625 миллион доллардың бір бөлігі болды. Ақша бастапқыда Tornado Cash-қа жіберілді.
Tornado Cash – транзакциялық мекенжайларды қадағалау үшін пайдаланылатын тізбектегі сілтемелерді бөлшектеу арқылы қаражаттың шығу тегін жасыратын таңбалауышты анонимдеу қызметі.
Ұрланған қаражаттың бір бөлігін блокчейн аналитикалық фирмалары Binance-ке бақылаған. Тонау биржадағы 86 мекенжайда жүргізілді.
Оқиғадан кейін Америка Құрама Штаттарының Қазынашылық департаментінің өкілі қара тізімге енгізілген криптовалютадан түскен ақшаны өңдейтін криптовалюта биржалары тәуекелдік санкцияларын қарастыратынын атап өтті.
Tornado Cash сонымен бірге ұрланған қаражатты өз желісіне аударуды тоқтату үшін билікпен ынтымақтасады. Компания эмбарго салынған әмияндарды анықтауға және блоктауға көмектесетін бақылау құралын енгізетінін айтты.
Бұл бағытта біршама ілгерілеушілік бар сияқты биліктің лақап активтерді алып қоюы. Осы жылдың басында АҚШ Әділет министрлігі 3.6 миллиард доллар крипто тәркіленгенін жариялап, ақшаны жылыстатуға қатысқан екі адамды қамауға алды. Бұл ақша 4.5 жылы Bitfinex крипто биржасынан алынған 2016 миллиард доллардың бөлігі болды.
Криптографиялық тәркілеу бұрын-соңды тіркелген ең ірілерінің бірі болды.
DeFi бас директорлары ағымдағы жағдай туралы айтады
Осы аптаның басында тек Cointelegraph-қа сөйлеген Эрик Чен, бас директор және Injective Labs - орталықтандырылмаған қаржылық қосымшалар үшін оңтайландырылған өзара әрекеттесетін смарт-келісімшарттар платформасының негізін қалаушы - проблемалар жойылады деп үміттенетінін айтты.
«Қауіпсіздік стандарттары күшейтілгендіктен, біз толқынның баяулайтынын көріп отырмыз. Тиісті тестілеу және одан әрі қауіпсіздік инфрақұрылымдарын енгізу арқылы DeFi жобалары болашақта жалпы пайдалану тәуекелдерінің алдын алады», - деді ол.
Оның желісі хакерлік шабуылдардың алдын алу үшін қабылдап жатқан шаралар туралы Чен қысқаша сипаттама берді:
«Injective дәстүрлі Ethereum виртуалды машинасы негізіндегі DeFi қолданбаларымен салыстырғанда неғұрлым қатаң анықталған қолданбалы қауіпсіздік моделін қамтамасыз етеді. Блокчейннің дизайны және негізгі модульдердің логикасы Injective-ті қайта кіру, максималды алынатын мән және флэш несиелер сияқты жалпы эксплуатациялардан қорғайды. Injective-тің үстіне салынған қолданбалар консенсус деңгейінде блокчейнде енгізілген қауіпсіздік шараларынан пайда көре алады ».
Соңғы: Дүниежүзілік қабылдаудың өсуі криптовалюталарды бөлшек саудада қолдануға өте ыңғайлы етеді
Сондай-ақ Cointelegraph компаниясының бас директоры және Allnodes негізін қалаушы Константин Бойко-Романовскиймен — хакерлерге байланысты емес хостинг және стейкинг платформасы — бұзу оқиғаларының өсуі туралы сөйлесу мүмкіндігі болды. Трендтің артындағы негізгі катализаторларға қатысты ол былай деді:
«DeFi бұзу қаупін азайту үшін біраз уақыт қажет болатыны сөзсіз. Дегенмен, оның бір түнде болуы екіталай. DeFi-де ұзақ уақыт бойы жарыс сезімі бар. Жобаның негізін салушыларды қоса алғанда, барлығы асығыс сияқты. Нарық бағдарламашылардың код жазу жылдамдығынан жылдам дамып келеді. Барлық сақтық шараларын қабылдайтын жақсы ойыншылар азшылықта».
Ол сонымен қатар мәселеге қарсы тұруға көмектесетін процедуралар туралы біраз түсінік берді:
«Код жақсырақ болуы керек және ақылды келісімшарттар мұқият тексерілуі керек, бұл сөзсіз. Сонымен қатар, пайдаланушыларға желіде сақтық этикеттерін үнемі еске түсіру керек. Кез келген кемшіліктерді анықтау тартымды түрде ынталандырылуы мүмкін. Бұл, өз кезегінде, белгілі бір хаттамада дұрыс мінез-құлыққа ықпал етуі мүмкін ».
DeFi индустриясы хакерлік шабуылдардың алдын алу қиынға соғуда. Дегенмен, билік тарапынан бақылаудың күшеюі және биржалар арасындағы үлкен ынтымақтастық індетті ауыздықтауға көмектеседі деген үміт бар.
Дереккөз: https://cointelegraph.com/news/defi-attacks-are-on-the-rise-will-the-industry-be-able-to-stem-the-tide