Đánh giá tấn công DeFi năm 2020
Tiêu đề gốc: "Trung bình 1 cuộc tấn công mỗi tháng, liên quan đến 120 triệu đô la Mỹ trong quỹ, kho DeFi toàn diện các cuộc tấn công vào năm 2020"
Nguồn gốc: Babbitt
DeFi là ngôi sao của triển lãm kinh tế tiền điện tử vào năm 2020. Nhìn chung, đây sẽ là tương lai của tiền điện tử. Một năm lịch sử. Nói như vậy, năm 2020 cũng chứng kiến một làn sóng mới gồm những kẻ tấn công tinh vi thăm dò và đánh cắp token do các dự án DeFi non trẻ nắm giữ. Hãy cùng điểm lại những cuộc tấn công DeFi lớn nhất và “thành công” nhất trong năm nay.
(Ghi chú của người dịch: Bài viết này là một bài đánh giá ngắn gọn về attack, nội dung cụ thể vui lòng tham khảo link đánh giá chi tiết trong văn bản.)
Lỗ hổng đầu tiên của bZx - ngày 15 tháng 2
Loại tấn công: khai thác lỗ hổng
Số tiền thiệt hại: khoảng 356.000 USD
Thu hồi vốn: Không có
Trong cuộc tấn công này, bọn tội phạm đã sử dụng các khoản vay nhanh thông qua dYdX để khởi chạy một "Pump" không được phép và Dump" liên quan đến các dự án WBTC và bZx, Hợp chất, KyberSwap và Uniswap. Các hoạt động tiếp theo cho phép kẻ tấn công trốn thoát với hơn 1.200 ETH.
(5 giao thức DeFi có thể tổng hợp trong các cuộc tấn công bZx, nguồn: Pi Shield)
Cuộc tấn công nhanh bZx oracle tiếp theo - ngày 18 tháng 2
Kiểu tấn công: thao túng oracle
Thiệt hại tài chính: khoảng 666.000 USD
Số tiền được thu hồi: Không có
A vài ngày sau cuộc tấn công bZx đầu tiên, những kẻ tấn công đã tiến hành một cuộc tấn công flash loan khác vào giao thức. Lần này nó liên quan đến việc thao túng oracle token sUSD của Synthetix. Kẻ tấn công cũng tăng giá token sUSD và sau đó cho vay ETH từ bZx.
(5 giao thức DeFi có thể tổng hợp trong cuộc tấn công bZx thứ hai, Nguồn: Paidun)
Tấn công tái nhập Uniswap và Lendf.me - 18-19 tháng 4
Loại cuộc tấn công: Reentrancy thông qua imBTC
Số tiền thiệt hại: hơn 25 triệu USD
Số tiền đã thu hồi được: xấp xỉ 25 triệu USD
Vào tháng 4 năm 2020, nhà phát hành imBTC Tokenlon có nguy cơ bị hai cuộc tấn công tái nhập vào Trung tâm, lần đầu tiên nhắm vào Uniswap V1 ( với tổn thất nhỏ hơn) và lần thứ hai đánh cắp 25 triệu USD từ giao thức Lendf.me của dForce. Cuộc tấn công DeFi này xoay quanh cơ chế “hook” của ERC-777, nếu token được gửi vào một giao thức không loại bỏ hook thì có thể khiến token bị các hợp đồng độc hại khai thác. Đáng chú ý, những kẻ tấn công Lendf.me cuối cùng đã trả lại số tiền bị đánh cắp từ giao thức sau khi địa chỉ IP và thông tin nhận dạng khác của chúng bị tiết lộ.
Bancor Rescue - Ngày 18 tháng 6
Loại tấn công: Phê duyệt không giới hạn + Khả năng hiển thị phương thức công khai
Số tiền thiệt hại: khoảng 135.000 USD
Số tiền được thu hồi: khoảng 135.000 USD
p>
Lỗ hổng nghiêm trọng này trong mạng Bancor có nghĩa là nhiều người dùng sẽ không gặp vấn đề gì khi phê duyệt hợp đồng thông minh vô thời hạn. cho phép bất cứ ai Tất cả đều có thể công khai đánh cắp tiền của người dùng Bancor. Làm việc với hacker mũ trắng, Bancor đã phát hiện ra lỗ hổng và ngay lập tức cố gắng "khai thác" nó để ngăn chặn các tác nhân độc hại làm điều tương tự ngay từ đầu. Các bot tự động chạy trước vô tình bị trộn lẫn, vô tình giúp Bancor tiết kiệm tiền và những người nắm giữ các bot này ngay lập tức trả lại số tiền đó cho Bancor.
Cuộc tấn công giảm phát của Balancer - ngày 28 tháng 6
Kiểu tấn công: Mã thông báo giảm phát
Số tiền thiệt hại: khoảng 522.000 USD
Số tiền được thu hồi: Không có
Trong vụ việc này, một hacker DeFi rất thông minh đã thực hiện một cuộc tấn công flash loan phức tạp vào Balancer. Tin tặc đã thực hiện các giao dịch thông qua giải pháp bảo mật Tornado.cash của Ethereum. Bản thân kế hoạch này đã nhắm mục tiêu vào các token giảm phát STA và STONK cũng như cơ chế phí giao dịch của chúng, cho phép tin tặc đánh cắp ETH, LINK, SNX và WBTC trị giá 500.000 USD.
Bài tập kép của Opyn - ngày 5 tháng 8
Kiểu tấn công: khai thác lỗ hổng
Số tiền thiệt hại: khoảng 371.000 USD
Số tiền được thu hồi: Không có
Opyn, giao thức tùy chọn DeFi, là nạn nhân của cuộc tấn công này, hacker đã khai thác lỗ hổng để "thực thi kép" oToken của dự án. Opyn đã nhanh chóng vá vectơ tấn công này, nhưng cuộc tấn công vẫn khiến hơn 370.000 USD tài sản thế chấp USDC bị đánh cắp khỏi hợp đồng thông minh.
Sự cố sao chép iToken của bZx - ngày 15 tháng 9
Kiểu tấn công: khai thác lỗ hổng
Số tiền thiệt hại: khoảng 8 triệu USD
Số tiền được thu hồi: khoảng 8 triệu USD
Trong cuộc tấn công này, tin tặc đã khai thác lỗ hổng trong mã hệ thống iToken của bZx để “tăng số dư một cách giả tạo”. Sự cố này nhấn mạnh rằng việc kiểm tra hợp đồng thông minh không đảm bảo tính bảo mật hoàn toàn của DeFi, giống như bZx thực sự đã vượt qua cuộc kiểm tra của Paidun và Certik trước khi bị tấn công. May mắn thay, bZx đã thu hồi thành công toàn bộ số tiền bị mất từ những kẻ tấn công.
Cuộc tấn công của Oracle Eminence - 29 tháng 9
Kiểu tấn công: thao túng Oracle
Số tiền thiệt hại: khoảng 15 triệu USD
Số tiền được thu hồi: khoảng 8 triệu USD
Eminence Finance là một trò chơi dựa trên NFT được phát triển bởi Andre Cronje, người sáng tạo Yearn, trước khi các nhà phát triển của nó công bố thông tin về dự án. Nó đã thu hút rất nhiều sự chú ý trên cộng đồng. xích. Điều này dẫn đến việc DeFi thoái hóa sao chép dự án, bỏ qua sự thận trọng và tạo ra một kho token khá lớn mà hacker đã nhanh chóng đánh cắp thông qua một cuộc tấn công thao túng oracle dựa trên khoản vay flash. Những kẻ tấn công cuối cùng đã trả lại 8 triệu USD trong số 15 triệu USD tiền bị đánh cắp, số tiền này được phân phối thông qua cơ chế hoàn trả của cộng đồng.
Cuộc tấn công Oracle Finance Harvest - ngày 26 tháng 10
Loại tấn công: Thao túng Oracle
Số tiền thiệt hại: khoảng 24 triệu USD
Số tiền đã được thu hồi: khoảng 2,5 triệu USD
Vào cuối tháng 10, giao thức tổng hợp doanh thu Harvest Finance đã phải hứng chịu một cuộc tấn công thao túng oracle. Kẻ tấn công đã vượt qua The mã thông báo bị đánh cắp mang lại hơn 24 triệu đô la. Cụ thể, nhóm súng máy USDC và USDT của giao thức là mục tiêu của các cuộc tấn công DeFi, chủ yếu tập trung vào các tổn thất tạm thời trên nhóm Curve.fi Y.
Vụ cướp ngân hàng Cheese - ngày 6 tháng 11
Kiểu tấn công: thao túng Oracle
Số tiền thiệt hại: xấp xỉ 3,3 triệu USD
Số tiền được thu hồi: Không có
Ngân hàng tự trị phi tập trung Cheese Bank đã bị đánh cắp Dai, USDC và USDT trị giá hơn 3 triệu USD do một cuộc tấn công cho vay nhanh phức tạp.
Cuộc tấn công Akropolis - ngày 12 tháng 11
Kiểu tấn công: tấn công lỗ hổng + reentrancy
Số tiền thiệt hại: khoảng 2 triệu USD
Số tiền được thu hồi: Không có
Kẻ tấn công đã sử dụng cuộc tấn công tái truy cập kết hợp với lỗ hổng trong kho lưu trữ của dự án Akropolis để đánh cắp số Dai stablecoin trị giá 2 triệu USD. Certik, Pessimistic và SmartDec đã kiểm tra nhóm trước cuộc tấn công, nhắc nhở chúng tôi một lần nữa rằng kiểm tra không phải là sự đảm bảo tuyệt đối cho bảo mật DeFi.
Cuộc tấn công Oracle Value DeFi - ngày 14 tháng 11
Loại tấn công: Thao túng Oracle
Số tiền thiệt hại: khoảng 7,5 triệu USD
Số tiền được thu hồi: khoảng 2 triệu USD
Vào tháng 11, giao thức tổng hợp doanh thu Value DeFi đã phát hiện ra rằng oracle tập trung của nó đã bị khai thác và nhóm súng máy MultiStables của nó đã cạn kiệt. Ngay trước sự cố này, Value DeFi vừa đưa ra một tuyên bố đầy tự phụ rằng một trong những ưu điểm của nó là tính bảo mật cao hơn. Sau cuộc tấn công, nhóm dự án đã công bố kế hoạch tích hợp với mạng oracle phi tập trung Chainlink.
Cuộc tấn công tái nhập lại Origin Dollar - ngày 17 tháng 11
Kiểu tấn công: Khai thác lỗ hổng +Re -entry attack
Số tiền bị mất: xấp xỉ 7,7 triệu USD
Số tiền được thu hồi: Không có
Vào tháng 11, dự án stablecoin Origin Dollar cũng trở thành nạn nhân của một cuộc tấn công cho vay nhanh. Kẻ tấn công đã sử dụng các hợp đồng độc hại để tạo ra một lượng lớn OUSD. Sau vụ việc, nhóm Origin Dollar đã treo thưởng 1 triệu USD cho những manh mối liên quan.
Rắc rối ***** của Pickle Finance - 22 tháng 11
Loại tấn công: Khai thác lỗ hổng
Số tiền thiệt hại: khoảng 19,7 triệu USD
Số tiền được thu hồi: Không có
Vào tháng 11 năm ngoái, gần 20 triệu Dai đã bị đánh cắp từ pDAI PickleJar, giao thức tổng hợp doanh thu Pickle Finance. Cuộc tấn công phức tạp này được thực hiện bởi kẻ tấn công cài đặt "Evil Jar" trong hệ thống pDAI, được sử dụng để đánh cắp tiền pDAI.
(Cuộc tấn công của Pickle's Evil Jar, nguồn: banteg )
Cuộc tấn công Oracle Warp Finance - ngày 22 tháng 11
Kiểu tấn công: Oracle control
Số tiền thiệt hại: khoảng 7,7 triệu đô la Mỹ
Số tiền thu hồi được: khoảng 585 Mười nghìn đô la Mỹ
Nền tảng cho vay DeFi Warp Finance đã bị tấn công trong quá trình thao túng oracle và hơn 7 triệu USD tiền đã bị đánh cắp. Do một sai sót trong thiết kế của dự án, nhóm của dự án đã có thể khôi phục các đồng tiền được những kẻ tấn công sử dụng làm tài sản thế chấp, cụ thể là token ETH/DAI LP trị giá 5,85 triệu USD.
Tóm tắt
Số tiền bị đánh cắp liên quan đến các cuộc tấn công trên đã vượt quá 120 triệu USD. Năm 2020 là một năm bùng nổ đối với DeFi và khi ngành này trở thành tâm điểm chú ý, những kẻ tấn công theo đó đã chuyển sự chú ý sang lĩnh vực này. Từ các cuộc tấn công trên, rõ ràng là không có cách nào để tấn công các giao thức DeFi mà chỉ có một số vectơ tấn công phổ biến, đã khiến một số dự án DeFi non trẻ trở thành nạn nhân. Cho đến nay, thiệt hại từ các cuộc tấn công ngày càng gia tăng này vẫn chưa đến mức thảm khốc. Tuy nhiên, khi hệ sinh thái tiếp tục phát triển và tổng khối lượng bị khóa tăng lên, sẽ có nhiều tiền hơn để thiết kế và các cuộc tấn công sẽ trở nên sinh lời nhiều hơn. Ít nhất, có thể dự đoán rằng năm 2021 sẽ chứng kiến nhiều cuộc tấn công DeFi tinh vi hơn.
Liên kết gốc
Chào mừng bạn tham gia cộng đồng chính thức của BlockBeats:
Nhóm Telegram đăng ký: https://t.me/theblockbeats
Nhóm Telegram thảo luận: https://t.me/BlockBeats_App
Tài khoản Twitter chính thức: https://twitter.com/BlockBeatsAsia
Bài viết liên quan
