Огляд значних інцидентів безпеки в індустрії Децентралізовані фінанси 2022 року

У 2022 році в індустрії блокчейн сталося понад 300 інцидентів з безпекою, з яких загальна сума досягла 4,3 мільярда доларів. У цій статті буде детально проаналізовано вісім типових випадків, більшість з яких призвели до втрат понад 100 мільйонів доларів, що має важливе значення для довідки.

Інцидент на мосту Ронін

У березні 2022 року бічна мережа Axie Infinity Ronin Network зазнала нападу, в результаті якого було втрачено близько 600 мільйонів доларів. Хакери через соціальну інженерію отримали доступ до комп'ютера одного з працівників, в результаті чого контролювали 5 верифікаційних вузлів і успішно здійснили атаку. Цей інцидент виявив слабку обізнаність працівників щодо безпеки, а також недоліки в системі внутрішньої безпеки компанії.

Подія Wormhole

У контракту на Solana моста Wormhole виявлено вразливість перевірки підписів, що дозволило хакерам підробити повідомлення "опікуна" та випустити близько 120 000 ETH. Це сталося в основному через використання деяких застарілих функцій. Розробники повинні своєчасно оновлювати використання останніх версій, щоб уникнути подібних проблем.

Інцидент на мосту Кочівників

Під час ініціалізації контракту моста Nomad довірений корінь був неправильно налаштований, і при зміні старий корінь не було анульовано, що дозволило зловмисникам конструювати будь-які повідомлення для крадіжки коштів. Хакери використали цю вразливість для повторної відправки підготовлених даних транзакцій, внаслідок чого було вкрадено майже 200 мільйонів доларів. Цей випадок також спричинив масові "грабіжницькі" дії.

Подія Beanstalk

Проект стейблкоїнів Beanstalk зазнав атаки через флеш-кредит, втративши приблизно 182 мільйони доларів. Основною причиною є відсутність часової затримки між голосуванням за пропозицію та її виконанням, що дозволяє зловмисникам негайно реалізувати шкідливу пропозицію після голосування. Це виявляє потенційні ризики централізованих механізмів управління, які потребують впровадження розумних часових блокувань та інших заходів безпеки.

Подія Wintermute

Маркет-мейкер Wintermute використовував вразливий генератор красивих номерів, що призвело до злому приватного ключа власника контракту та втрати понад 160 мільйонів доларів. Це нагадує нам про необхідність ретельної оцінки безпеки при використанні відкритих інструментів та підготовки до управління ризиками.

Події Harmony Bridge

Horizon кросчейн-міст зазнав атаки з втратами понад 100 мільйонів доларів, імовірно, здійсненою північнокорейською хакерською групою Lazarus Group. Методи атаки подібні до події з Ronin Bridge, що підкреслює, що кросчейн-мости завжди були основними цілями атак хакерів.

Подія Ankr

Витік приватного ключа адміністратора контракту Ankr призвів до злого наміру та емісії 10 трильйонів токенів. Це виявило серйозні проблеми в управлінні внутрішніми правами проекту. Крім того, відповідні Децентралізовані фінанси проекти також зазнали ланцюгової реакції, що призвело до більших втрат.

Подія Mango

Хакери використовували вразливість бізнес-моделі платформи Mango, маніпулюючи цінами на дрібні монети, щоб отримати прибуток приблизно в 100 мільйонів доларів. Це нагадує проектним командам про необхідність врахування різних екстремальних сценаріїв, а користувачам варто бути обережними щодо високих ризиків проектів.

Ці випадки відображають численні безпекові виклики, з якими стикається індустрія Децентралізовані фінанси, включаючи вразливості коду, управління правами, механізми управління, бізнес-моделі та інше. Як проєктні команди, так і користувачі повинні підвищити обізнаність про безпеку та вжити ефективних заходів для зниження ризиків.