Ngành tài chính phi tập trung đang phát triển với tốc độ nhanh chóng. Ba năm trước, tổng giá trị bị khóa trong DEFi chỉ là 800 triệu đô. Đến tháng 2 năm 2021, con số này đã tăng lên 40 tỷ USD; vào tháng 4 năm 2021, nó đạt mốc 80 tỷ USD; và bây giờ nó đứng trên 140 tỷ USD. Sự tăng trưởng nhanh chóng như vậy trong một thị trường mới không thể thu hút sự chú ý của tất cả các cách thức của tin tặc và kẻ lừa đảo.
Theo một báo cáo của công ty nghiên cứu mật, kể từ năm 2019, Defi khu vực đã mất khoảng $284.9 triệu để hack và các cuộc tấn công khai thác khác. Hacks của hệ sinh thái blockchain là một phương tiện lý tưởng để làm giàu từ quan điểm của tin tặc. Bởi vì các hệ thống như vậy là vô danh, họ có tiền để mất, và bất kỳ hack nào có thể được kiểm tra và điều chỉnh mà không có kiến thức của nạn nhân. Trong bốn tháng đầu năm 2021, thiệt hại lên tới 240 triệu USD. Và đây chỉ là những trường hợp được biết đến công khai. Chúng tôi ước tính thiệt hại thực tế bằng hàng tỷ đô la.
Liên quan: Roundup của crypto hack, khai thác và trộm vào năm 2020
Làm thế nào để tiền bị đánh cắp từ các giao thức DEFi? Chúng tôi đã phân tích vài chục cuộc tấn công của hacker và xác định những vấn đề phổ biến nhất dẫn đến các cuộc tấn công của hacker.
Lạm dụng các giao thức của bên thứ ba và lỗi logic kinh doanh
Bất kỳ cuộc tấn công nào bắt đầu chủ yếu với phân tích nạn nhân. Công nghệ Blockchain cung cấp nhiều cơ hội cho việc điều chỉnh tự động và mô phỏng các kịch bản hack. Để một cuộc tấn công nhanh chóng và vô hình, kẻ tấn công phải có các kỹ năng lập trình cần thiết và kiến thức về cách hợp đồng thông minh hoạt động. Bộ công cụ điển hình của một hacker cho phép họ tải về bản sao đầy đủ của một blockchain từ phiên bản chính của mạng, và sau đó hoàn toàn điều chỉnh quá trình tấn công như thể giao dịch đang diễn ra trong một mạng thực.
Tiếp theo, kẻ tấn công cần nghiên cứu mô hình kinh doanh của dự án và các dịch vụ bên ngoài được sử dụng. Lỗi trong các mô hình toán học của logic kinh doanh và các dịch vụ của bên thứ ba là hai trong số các vấn đề phổ biến nhất được hacker khai thác.
Các nhà phát triển hợp đồng thông minh thường yêu cầu nhiều dữ liệu liên quan tại thời điểm giao dịch hơn họ có thể sở hữu tại bất kỳ thời điểm nào. Do đó họ bị buộc phải sử dụng dịch vụ bên ngoài — ví dụ như oracles. Các dịch vụ này không được thiết kế để hoạt động trong một môi trường không đáng tin cậy, vì vậy việc sử dụng chúng ngụ ý thêm rủi ro. Theo thống kê cho một năm dương lịch (kể từ mùa hè năm 2020), loại rủi ro nhất định chiếm tỷ lệ tổn thất nhỏ nhất – chỉ có 10 hacks, dẫn đến tổn thất tổng cộng xấp xỉ 50 triệu USD.
Liên quan: The nhu cầu triệt để để cập nhật các giao thức bảo mật blockchain
Mã hóa sai lầm
Hợp đồng thông minh là một tương đối mới khái niệm trong thế giới CNTT. Mặc dù sự đơn giản của chúng, các ngôn ngữ lập trình cho các hợp đồng thông minh đòi hỏi một mô hình phát triển hoàn toàn khác nhau. Các nhà phát triển thường chỉ đơn giản là không có các kỹ năng mã hóa cần thiết và phạm sai lầm tổng thể dẫn đến tổn thất to lớn cho người dùng.
Kiểm toán an ninh chỉ loại bỏ một phần của loại rủi ro này, vì hầu hết các công ty kiểm toán trên thị trường không chịu bất kỳ trách nhiệm nào về chất lượng công việc mà họ thực hiện và chỉ quan tâm đến khía cạnh tài chính. Hơn 100 dự án đã bị tấn công do lỗi mã hóa, dẫn đến tổng khối lượng tổn thất đứng ở mức khoảng 500 triệu USD. Một ví dụ stark là DForce hack diễn ra vào tháng Tư 19 năm 2020. Các hacker đã sử dụng một lỗ hổng trong tiêu chuẩn mã thông báo ERC-777 kết hợp với một cuộc tấn công reentrancy và thoát khỏi với $25 triệu.
Liên quan: Kiểm toán mặc định cho các dự án DeFi là điều cần thiết để phát triển ngành công nghiệp
Các khoản vay flash, thao tác giá và các cuộc tấn công thợ mỏ
Thông tin được cung cấp cho hợp đồng thông minh chỉ có liên quan tại thời điểm thực hiện giao dịch. Theo mặc định, hợp đồng không được miễn dịch với thao tác bên ngoài tiềm năng của các thông tin chứa bên trong. Điều này làm cho toàn bộ các cuộc tấn công có thể xảy ra.
Các khoản vay flash là các khoản vay không có tài sản thế chấp, nhưng đòi hỏi nghĩa vụ trả lại crypto đã vay trong cùng một giao dịch. Nếu người vay không trả lại tiền, giao dịch sẽ bị hủy bỏ (hoàn nguyên). Các khoản vay như vậy cho phép người vay nhận được một lượng lớn tiền điện tử và sử dụng chúng cho mục đích riêng của họ. Thông thường, các cuộc tấn công cho vay flash liên quan đến thao tác giá cả. Một kẻ tấn công đầu tiên có thể bán một số lượng lớn các thẻ vay mượn trong một giao dịch, do đó giảm giá của họ, và sau đó thực hiện một phạm vi hành động ở một giá trị rất thấp của mã thông báo trước khi mua lại chúng.
Một cuộc tấn công thợ mỏ là một tương tự của một cuộc tấn công cho vay flash trên blockchain làm việc trên cơ sở của thuật toán đồng thuận bằng chứng của công việc. Loại tấn công này phức tạp hơn và đắt tiền, nhưng nó có thể bỏ qua một số lớp bảo vệ của các khoản vay flash. Đây là cách nó hoạt động: Kẻ tấn công thuê năng lực khai thác mỏ và tạo thành một khối chỉ chứa các giao dịch mà họ cần. Trong khối nhất định, trước tiên họ có thể mượn thẻ, thao tác giá và sau đó trả lại các thẻ đã mượn. Kể từ khi kẻ tấn công hình thành các giao dịch được nhập vào khối một cách độc lập, cũng như trình tự của họ, cuộc tấn công thực sự là nguyên tử (không có giao dịch khác có thể được “nêm” vào cuộc tấn công), như trong trường hợp của các khoản vay flash. Kiểu tấn công này đã được sử dụng để hack trên 100 dự án, với tổn thất tổng cộng khoảng 1 tỷ USD.
Số lượng hack trung bình đã tăng theo thời gian. Vào đầu năm 2020, một vụ trộm cắp chiếm hàng trăm ngàn đô la. Vào cuối năm nay, số tiền đã tăng lên hàng chục triệu đô la.
Liên quan: Khai thác hợp đồng thông minh có đạo đức hơn hack… hay không?
Nhà phát triển thiếu năng lực
Loại nguy cơ nguy hiểm nhất liên quan đến yếu tố lỗi của con người. Mọi người nghỉ mát đến DEFi để tìm kiếm tiền nhanh chóng. Nhiều nhà phát triển có trình độ kém nhưng vẫn cố gắng khởi động các dự án trong một cơn sốt. Hợp đồng thông minh là mã nguồn mở và do đó dễ dàng sao chép và thay đổi theo những cách nhỏ bởi tin tặc. Nếu dự án ban đầu chứa ba loại lỗ hổng đầu tiên, sau đó chúng tràn vào hàng trăm dự án nhân bản. RFI SafeMoon là một ví dụ tốt, vì nó chứa một lỗ hổng nghiêm trọng đã được chồng lên hơn một trăm dự án, dẫn đến thiệt hại tiềm năng lên tới hơn 2 tỷ USD.
Bài viết này được đồng tác giả bởi Vladislav Komissarov và Dmitry Mishunin .
Những quan điểm, suy nghĩ và ý kiến được thể hiện ở đây là một mình tác giả và không nhất thiết phải phản ánh hay đại diện cho quan điểm và ý kiến của Cointelegraph.
