Хакеры похитили $36,7 млн из DeFi-протоколов из-за уязвимых смарт-контрактов

С начала 2023 года хакеры смогли украсть около $36,7 млн из пяти крупных децентрализованных финансовых (DeFi) протоколов. Основной причиной этих атак стали уязвимости смарт-контрактов, код которых не проходил публичной проверки, как сообщается в отчете аналитиков компании Chainalysis.

Сложность атак увеличилась благодаря развитию технологий искусственного интеллекта и инструментов декомпиляции смарт-контрактов. ИИ-модели теперь могут эффективно анализировать коды на блокчейне и выявлять распространенные уязвимости, такие как проблемы повторного входа, сбои в системе контроля доступа и арифметические ошибки, отмечают специалисты по безопасности.

Злоумышленники используют автоматизированные конвейеры, которые одновременно сканируют тысячи смарт-контрактов, выбирая цели на основе возможностей взлома и потенциальной прибыли. Аналитики Chainalysis подчеркивают, что то, что раньше требовало длительного ручного анализа, теперь может быть частично автоматизировано, сокращая время атаки до нескольких часов. В результате у злоумышленников практически нет конкуренции, так как специалисты по безопасности не проверяют контракты на протяжении многих лет, что создает благоприятные условия для хакеров.

С начала года Chainalysis зафиксировала четыре крупных атаки на непроверенные смарт-контракты. Самая значительная из них произошла 8 января на протокол Truebit, в результате которой было украдено около $26,2 млн. Вторая атака затронула Trusted Volumes, где злоумышленники похитили $5,9 млн из-за недостатков в системе контроля доступа. Также атака на Aperture Finance привела к потере $3,2 млн, вызвавшейся проблемами с проверкой входных данных. В мае в результате атаки на Ekubo было украдено $1,4 млн, после того как функция обратного вызова не смогла подтвердить личность плательщика. Все эти взломанные контракты не проходили проверку в обозревателях блокчейна и не имели публично доступного исходного кода на момент атак.

Что касается атаки на протокол Truebit, то уязвимый контракт был развернут еще в 2021 году и оставался непроверенным на Etherscan. Злоумышленники воспользовались ошибкой переполнения целых чисел в механизме ценообразования протокола, что позволило им выпустить сотни миллионов необеспеченных токенов почти бесплатно и обменять их на реальные эфиры. Специалисты Chainalysis также обнаружили, что хакер систематически искал уязвимости в различных контрактах перед тем, как осуществить атаку на Truebit. Эксперты безопасности утверждают, что злоумышленник тестировал уязвимости в нескольких протоколах, прежде чем осуществить финальную атаку.

Команда Chainalysis пришла к выводу, что протоколы должны рассматривать проверку исходного кода как необходимый стандарт безопасности, а не как опциональную процедуру. Аналитики рекомендуют криптопредпринимателям проверять все рабочие контракты, расширять программы вознаграждения за обнаружение ошибок, проводить аудит развернутого кода и внедрять системы мониторинга в реальном времени.

Недавно децентрализованный проект идентификации Humanity Protocol, использующий сканирование ладони для подтверждения личности, также подвергся атаке, в результате которой ущерб составил $32 млн.