PeckShield: Tổng cộng 19 sự cố bảo mật xảy ra trong tháng 3, vấn đề bảo mật DeFi được nêu bật

Tiêu đề gốc: "PeckShield: Tổng cộng có 19 sự cố bảo mật xảy ra trong tháng 3, DeFi bảo mật Vấn đề được nêu bật》

Nguồn gốc: PeckShield

Bảo mật DeFi

Tổng cộng có 2 sự cố bảo mật DeFi xảy ra trong tháng 3, chi tiết như sau:

1) Vào ngày 12 tháng 3, do giá của Ethereum ETH Một số lượng lớn vị thế trái phiếu thế chấp của MakerDAO đã giảm xuống dưới ngưỡng thanh lý, dẫn đến việc thực hiện các thủ tục thanh lý. Do phí gas trên mạng Ethereum tăng mạnh, quá trình thanh lý của MakerDAO hoàn toàn thiếu sự cạnh tranh. Robot thanh lý (Keeperbot) được cho là tham gia vào quá trình thanh lý đã đặt giá trị gas thấp hơn, khiến việc đấu thầu bị chặn. Keeperbot) ) đã thắng cuộc đấu giá với giá thầu 0 DAI mà không có bất kỳ đối thủ cạnh tranh nào.

Mục đích của thiết kế đấu giá thanh lý MakerDAO là thu hồi DAI tối đa với số tiền thế chấp tối thiểu có thể. Cơ chế này có thể hoạt động thành công trong các trường hợp bình thường. Nhưng khi hệ thống Ethereum cực kỳ tắc nghẽn, hay nói một cách nghiêm trọng hơn, miễn là không có đủ người tham gia vào cuộc đấu giá thì Keeper độc hại rất dễ có được vật phẩm đấu giá với giá thầu rất thấp. Để giải quyết các vấn đề phát sinh từ việc thanh lý này, cộng đồng MakerDAO cũng đã khẩn trương thảo luận về các cải tiến đối với cơ chế thanh lý.

2) Vào ngày 26 tháng 3, chức năng thanh lý thế chấp của Synthetix bị phát hiện có lỗ hổng, cụ thể: Synthetix gần đây đã đưa ra một hợp đồng trong đó người dùng có thể thế chấp ETH để nhận sETH trong thời gian dùng thử 3 tháng và sau khi dùng thử Khi thời gian kết thúc, tất cả các chức năng cho vay sẽ ngừng hoạt động để thanh lý, nghĩa là bất kỳ người dùng nào có sETH đều có thể nhận được ETH bằng cách gọi giao diện thanh lý. Tuy nhiên, có một lỗ hổng trong mã logic xử lý của giao diện này có thể khiến bất kỳ người dùng nào trực tiếp đốt tài sản sETH của người vay và lấy ETH. Tuy nhiên, vì chức năng này đang trong thời gian dùng thử nên thực tế không có tổn thất nào xảy ra. Hiện tại, dịch vụ cho vay trên trang web chính thức của Synthetix vẫn đóng cửa.

PeckShield Bình luận: Khi chức năng của các dự án DeFi ngày càng đa dạng, các vấn đề bảo mật tiềm ẩn dần lộ diện. Do mối liên hệ chặt chẽ của nó với tài sản của người dùng nên vấn đề bảo mật của các dự án DeFi là rất nghiêm trọng. Do mỗi dự án được phát triển bởi các nhóm khác nhau với hiểu biết hạn chế về thiết kế và triển khai các sản phẩm tương ứng của họ nên các sản phẩm tích hợp có thể gặp vấn đề về bảo mật trong quá trình tương tác với nền tảng của bên thứ ba và do đó dễ bị tấn công từ cả hai phía. PeckShield khuyến nghị rằng trước khi các dự án DeFi trực tuyến, họ nên cố gắng hết sức để tìm một nhóm có nghiên cứu chuyên sâu về thiết kế sản phẩm trong tất cả các khía cạnh của DeFi để tiến hành kiểm tra bảo mật toàn diện nhằm tránh những rủi ro bảo mật tiềm ẩn.

Bảo mật Exchange

Tổng cộng có 2 sự cố bảo mật sàn giao dịch xảy ra trong tháng 3:

1 ) Vào ngày 2 tháng 3, Bộ Tư pháp Hoa Kỳ đã tiến hành truy tố công khai đối với hai công dân Trung Quốc tên Tian Yinyin và Li Jiadong với lý do âm mưu rửa tiền và chuyển tiền mà không có giấy phép cũng như phong tỏa toàn bộ tài sản của họ. Công ty bảo mật blockchain PeckShield ngay lập tức can thiệp vào nghiên cứu và phân tích theo dõi, chỉ dựa trên 20 địa chỉ do Bộ Tư pháp Hoa Kỳ công bố, họ truy tìm lên trên, thu thập bằng chứng và khôi phục toàn bộ vụ án dưới dạng đồ họa trực quan và văn bản.

Phân tích cho thấy những kẻ tấn công đã cố gắng sử dụng các phương tiện kỹ thuật của Peel Chain để liên tục chia tài sản trong tay chúng thành những tài sản nhỏ và gửi những tài sản nhỏ này vào sàn giao dịch, như minh họa trong hình bên dưới:

Khi hoàn thành Sau hoạt động rửa tiền ban đầu, kẻ tấn công không trực tiếp chuyển nó vào ví của chính mình mà một lần nữa sử dụng phương thức Peel Chain để chuyển số BTC thu được bất hợp pháp ban đầu theo đợt sang sàn giao dịch OTC để thanh lý. Kẻ tấn công chỉ tách hàng chục BTC khỏi tài khoản chính mỗi lần và gửi vào tài khoản OTC để lấy tiền mặt, sau hàng chục, hàng trăm thao tác cuối cùng hắn đã nhầm lẫn thành công và làm sạch hàng nghìn BTC. (Để biết chi tiết, hãy xem Hardcore: Giải mã vụ việc của Bộ Tư pháp Hoa Kỳ chống lại người chấp nhận OTC của Trung Quốc vì tội rửa tiền)

2) OMNI Network đã phát hiện ra một phương thức nạp tiền giả USDT mới: tin tặc sử dụng các loại token khác để làm giả USDT để trao đổi hoặc Ví thực hiện nạp sai USDT. Nếu sàn giao dịch hoặc ví không xác minh được thuộc tính trong giao dịch khi phát hiện việc nạp lại USDT, việc nạp sai sẽ xảy ra.

PeckShield Bình luận: Tin tặc đánh cắp tài sản và sau đó rửa tiền. Dù quy trình có phức tạp và phức tạp đến đâu, chúng vẫn thường sử dụng các sàn giao dịch như một phần của kênh rút tiền. Điều này chắc chắn đặt ra các yêu cầu đối với hoạt động kinh doanh KYC và KYT của các sàn giao dịch tài sản kỹ thuật số lớn. Các sàn giao dịch nên tăng cường xem xét hoạt động chống rửa tiền và tuân thủ quỹ. Đồng thời, để giải quyết các vấn đề bảo mật như nạp tiền sai, các sàn giao dịch nên xác nhận tên token và trạng thái giao dịch trước khi thực hiện chuyển khoản.

Hợp đồng thông minh

Tổng cộng có 1 sự cố bảo mật hợp đồng thông minh xảy ra vào tháng 3, tồn tại trên mạng Ethereum. Cụ thể: Vào ngày 24 tháng 3, một số bên dự án báo cáo rằng sau khi phát hành token ERC20, họ phát hiện ra một số token không rõ nguồn gốc đang được chuyển trên chuỗi. Sau khi phân tích chuyên sâu, người ta phát hiện ra rằng nền tảng bên thứ ba "phát hành tiền tệ bằng một cú nhấp chuột" được nhóm dự án sử dụng có cửa sau - khi hợp đồng phát hành tiền tệ được tạo, đã có hành vi xấu là bí mật phát hành thêm token và ăn trộm chúng.

PeckShield Nhận xét: Khi các bên tham gia dự án sử dụng dịch vụ của bên thứ ba để hoàn thành việc phát triển hợp đồng thông minh, họ phải tiến hành kiểm tra bảo mật trước khi hợp đồng được đưa lên mạng. Nếu cần, họ có thể tìm kiếm một công ty bảo mật bên thứ ba để hoàn thành đánh giá kiểm toán để giúp họ hoàn thành hợp đồng đi vào hoạt động.Thử nghiệm trước cuộc tấn công và triển khai phòng thủ an ninh cơ bản.

Các vụ lừa đảo và bỏ trốn

Ngoài những vụ việc trên, còn có nhiều vụ lừa đảo và bỏ trốn xảy ra ở Tháng 3. Hãy cảnh giác, ví dụ:

1) Quỹ blockchain "Silicon Valley Block Chicken" bị nghi ngờ bỏ trốn và số tiền liên quan có thể lên tới hàng chục tỷ nhân dân tệ;
2) Một người Anh cặp đôi bị cáo buộc sử dụng tiện ích mở rộng trình duyệt Chrome giả 14.800 XRP đã bị mất;
3) Tội phạm đăng tin nhắn tiền ảo trong nhiều nhóm trò chuyện khác nhau, lấy lý do phòng chống dịch bệnh, lợi dụng sự háo hức đầu tư và quản lý tiền của người dân, và thực hiện các hoạt động lừa đảo và gây quỹ bất hợp pháp dưới hình thức tiền ảo;
4) Ai đó trên YouTube đã giả danh Giám đốc điều hành của Ripple để quảng cáo chương trình tặng quà giả 50 triệu mã thông báo XRP nhằm lừa người dùng đầu tư tiền của họ vào một trò lừa đảo airdrop tương tự.

PeckShield Nhận xét: Nhiều rủi ro bảo mật khác nhau đã xuất hiện do người dùng thiếu nhận thức về bảo mật và thiếu tiêu chuẩn hóa hoạt động. Các cuộc tấn công lừa đảo, gian lận và các sự cố khác là những ví dụ điển hình. Chúng tôi xin nhắc nhở người dùng nên lưu giữ cẩn thận mọi loại thông tin cá nhân, bất kỳ sơ suất nhỏ nào cũng có thể gây ra những tổn thất không thể khắc phục.

Liên kết gốc: https://mp.weixin.qq. com/s/CAouLjd8zlF4pByD2uWZ1Q

Chào mừng bạn tham gia cộng đồng chính thức của BlockBeats:

Nhóm Telegram đăng ký: https://t.me/theblockbeats

Nhóm Telegram thảo luận: https://t.me/BlockBeats_App

Tài khoản Twitter chính thức: https://twitter.com/BlockBeatsAsia