2021年前半のトップ6の最も優れたエクスプロイト「ショック」

2021年前半の6つの最も顕著なエクスプロイト（ハッキング）の要約と、プロジェクトの全体的な被害と解決策をリストします。

こんにちはみんな。

本日は、2021年前半に最も人気のあったエクスプロイト（ハッキング）をまとめた記事をお伝えしたいと思います。同時に、ハッカーによってハッキングされたプロジェクト、インシデントの総被害額、およびその解決策を一覧表示します。詳細については、以下の記事を参照してください。

エクスプロイトの概要

エクスプロイトとは、悪用して利益を得るために意図的にバグやセキュリティホールに侵入しようとしている個人またはグループ（匿名）からの攻撃について話すために使用される用語です。この用語は、暗号と非暗号の両方に適用されます。

攻撃は通常、ネットワークオペレーティングシステム、Dapps、または任意のソフトウェアコードで発生します。場合によっては、多くのハッカーがユーザーの情報、資金資産などのシステム内のデータを盗んだり、ソフトウェアにウイルスをドロップして関連ノードを破壊したりします。

一般的なエクスプロイト分類

エクスプロイトはエレクトロニクス業界でよく知られており、さまざまな種類のエクスプロイトもあります。理解を深めるために、次のように分類します。

リモートエクスプロイト：別のコンピューター/ネットワーク上のメインセキュリティシステムのバグをリモートで悪用するプロセス。
ローカルエクスプロイト：メインシステムのセキュリティシステムのバグを悪用し、その権限を徐々にアップグレードし、パスワードを解読し、他の人のデータを悪用する形式...
管理者のアクセス（管理者レベルのアクセス/ルート）に侵入し、そこから個人的な利益を得る行為を実行する別の種類のエクスプロイトがあります。

暗号で悪用する

Cryptoでは、エクスプロイトはスマートコントラクトの脆弱性に対する攻撃、またはWebサイト、Dapps、IoT、API、UI-UXなどの一般的に発見されたセキュリティ上の欠陥で知られています...

多くの場合、プログラムされたばかりのソフトウェアは実行中にエラーが発生する可能性があり、これらのセキュリティホールは、構成、アプリケーション（Dapps）、シュリンクラップコード、およびオペレーティングシステムに表示されることがよくあります。

2021年前半のトップ6の最も優れたエクスプロイト「ショック」

技術的な脆弱性は、ハッカーによってしばしば気づかれます

ハッカーからの攻撃は、結果が発生するまで検出が難しいことが多いため、新製品を発売する際のブロックチェーンプロジェクトでは、コミュニティのTestnets、Devnets、BugBountyイベントが開催されることがよくあります。

バグバウンティは、プロジェクトによってDappに適用されることが多いセキュリティプログラムであり、一部はユーザーエクスペリエンスを調査するため、もう1つは製品のセキュリティホール（バグ）を検出するためのものです。

バグバウンティは、ハッカーに攻撃されて数千万ドルを失う代わりに、他の多くの法的な問題とともに、将来発生する可能性のあるリスクをいくらか制限します。

2021年の6つの未解決のエクスプロイトケース

ポリネットワーク

ポリネットワークは、マルチチェーンインタラクションのために展開されたネットワークであり、次世代のインターネットインフラストラクチャを構築します。ブロックチェーンは、情報へのアクセス、信頼性、一貫性において、オープンネットワークと透過的アドミッションメカニズム（透明性）を介してポリネットワークに接続できます。

さらに、Poly Networkは他の多くのブロックチェーンも接続し、ビットコイン、イーサリアム、ネオ、オントロジー、エルロンド、ジリクア、バイナンススマートチェーン、スイッチエオ、HuobiECOチェーンなどの多くのプラットフォームを統合しています。これまで、PolyNetworkのガバナンスメカニズムにはトークンがありませんでした。

ポリネットワークがこのトップ6に入った理由は、最近8月10日にポリネットワークのツイッターがクロスチェーン攻撃を受けたことを確認し、事件の費用は6億1100万ドルと推定されたためです。具体的には、損害には次のものが含まれます。

イーサリアムで2億7300万ドル。
BSCで2億5300万ドル。
Polygonで8500万ドル。

さらに、O3 Swap -Poly Network上に構築されたプラットフォームも部分的に影響を受けますが、この場合の正確なデータはまだありません。

Poly NetworkはCertikによって監査されていますが、上記のような予期しないケースが発生することは避けられません。プロジェクトは現在ケースを調査しており、PolyNetworkからの新しい発表があり次第特定の情報が更新されます。

アルファファイナ��スラボ

Alpha Finance Labは、Binance Smart Chainエコシステム上に構築されたDeFiクロスチェーンプラットフォームであり、Lending＆Borrowing製品やサービスを含み、さまざまなブロックチェーンのユーザーをサポートします。

ALPHAはプロジェクトの代表的なネイティブトークンであり、システムのガバナンスを提供し、貸付または借入における流動性マイニングをサポートします。また、ALPHAをステーキングして利益を上げることもできます。

アルファファイナンスがエクスプロイトケースのトップ6に入る理由は、攻撃後の被害総額が最大3,750万米ドルと非常に大きいためです。

イベントの概要

2021年2月13日の朝、ハッカーがAlpha Homora V2プロトコルを攻撃し、その後、調査のために貸付取引が停止されました。この攻撃は、ハッカーが上記の金額を奪う前に多くの措置を講じているため、非常に複雑であると言われています。具体的には、次のとおりです。

ハッカーは仮想アドレスを作成し、ETHをUNIにスワップし、UniswapでETH + UNIペアのLPを追加しました（LPトークンを取得するため）。同じ取引で、彼はETHをsUSDに交換し、sUSDをCreamIronBankに預け入れました。
Alpha Homora V2では、ハッカーはcySUSDの保有を増やすためにsUSDとAaveを借りました。そこから、ハッカーはさらに$13,244ETHを借りました。$ 4,263,139 DAI; $3,997,921USDCおよび$5,647,242USDT。
次に、Aaveに1,000 ETH、IronBankとAlphaHomora V2に、320ETHをTornado.cashにデポジットします。
取引後のハッカーの個人的な財布には、10,925 ETH（2,000万ドルに相当）が残されていました。

インシデントの脆弱性は、Alpha Finance Lab、Andre Cronje、Cream Financeによって調査および調査されており、このハッキングでは9つのトランザクション、4つの異なる操作が含まれています。DeFi市場はまだ非常に新しく、多くの潜在的なリスクがあることがわかります。

結果

2021年前半のトップ6の最も優れたエクスプロイト「ショック」

ハッキングの結果、3,750万ドルを失ったことに加えて、Alpha Finance Labは、プロジェクトからの発表後、ALPHAトークンの価格が大幅に下落しました。発表時点では、22％近くであり、2月の合計は減少しています。 39.22％..

ラリキャピタル

Rari Capital（RGT）は、Ethereumブロックチェーンプラットフォームでの自動収量農業プロトコルとして知られており、Compound、dYdX、yEarnなどのDeFi Spaceで流動性を引き付けるのに役立ちます。さらに、RariCapitalが目指す目標はユーザーのための効率的な農業環境。

RGTは発売以来、0.2ドル（2020年11月5日）から27.37ドル（2021年4月15日）まで大幅な価格上昇を遂げており、Rari Capitalプラットフォームは絶えず開発されており、「おいしい」ハッカーのための餌」。

イベントの概要

5月8日、Rari Capitalは、ハッカーがシステムに侵入し、2,600 ETHを排出したことを報告する必要がありました。これは、当時の総ユーザー資金の60％（推定$ 10,000,000）の損失です。インシデントを次のように簡単に要約します。

ハッカーは偽のトークンを作成し、SushiSwapにプールしました。
次に、Alpha Financeの機能の脆弱性を利用し、Alpaca Homoraにアクセスして、RariETHプール契約からibETHを受け取りました。
最後に、ハッカーはRariETHプールでibETHをETHに変換しました。

結果

2021年前半のトップ6の最も優れたエクスプロイト「ショック」

画像ソース：Rekt Capital

攻撃後、RGTの価格は40％以上下落しました。トークンはQuantstampによって監査されましたが、この脆弱性は無視され、RariCapitalに大きな損失をもたらしたことは言及する価値があります。私の知る限り、Rariは後でユーザーに補償するために200万RGTを差し引く必要がありました。

パンケーキバニーファイナンス

農業が好きなら、確かにPancake Bunny（BUNNY）は奇妙な名前ではありません。これは、BinanceSmartChainの利益集約ツールおよび農業最適化ツールです。イーサリアムのYearnFinanceと同様に、 PancakeBunnyFinanceはPancakeを主要なYieldFarmingプラットフォームとして使用します。

ユーザーがCAKEを購入してプールに追加し、農業から複利を得ることができます。Pancakeには、プラットフォーム内のユーザー数を増やすためのETH-BSC間のブリッジもあります。BUNNYは、プロジェクトを表すネイティブトークンであり、管理およびPancakeSwapの料金として使用されます。

イベントの概要

具体的には、5月20日、Pancakeは、搾取者による攻撃のフラッシュローン（担保のないローンの形式）を報告する必要がありました。アプリケーションのこの機能の抜け穴を利用して、ハッカーは侵入し、次の攻撃を受けました。

彼らはPancakeSwapを使用して、8つの異なるフラッシュローン（Fortube銀行による）を含むWBNBプールから大量のBNBを借りています。
ハッカーは296万USDTと7,886WBNBをプールに預け入れ、144.45千のLPトークンを鋳造しました。
大量のLPトークンを手にした彼らは、Vault Flip To Flipから697万バニーの報酬を獲得し、強力な放電を市場にもたらしました。
ハッキングされたすべてのBUNNYの売却に成功し、前のフラッシュローンから借りたBNBを返済するために戻ってきました。

結果

2021年前半のトップ6の最も優れたエクスプロイト「ショック」

画像ソース：Rekt Capital

この事件により、BUNNYの価格は突然6ドルに下がり、当時のPancake BunnyのTVLはわずか10億ドルでした（ピーク時から10で割った値）。

総被害額は240万ドルと推定され、ヘチによる監査でさえ、この攻撃からパンケーキバニーを保護することはできませんでした。

THORChain

THORChain（RUNE）は、ブロックチェーンプロトコルプロジェクトとして知られており、チェーンにとらわれないブリッジングプロトコルを構築し、異なるマルチチェーン間の接続と価値の交換を可能にします。THORChainは、レイヤー1の流動性、資産の即時交換、および暗号の価格変動の決済も提供します。

RUNEは、THORChainプラットフォームのネイティブトークンであり、取引手数料の支払い、賭け/投票、およびバリデーターの報酬としての役割を果たすことを目的としています。

THORChainは、最近のエクスプロイトのトップ6にも含まれています。わずか1か月で、THORChainは2回のハッカー攻撃に直面し、合計で約1,300万ドルの損失を被りました。

イベントの概要：

7月15日の初めに、THORChainがハッキングされて2,500 ETH（推定500万米ドル）が盗まれました。これは、Bifrostプロトコルでの攻撃です。
そして7月末近くに、ERC-777トークン（ETHルーター契約）に関連するエラーのために、彼らは「ホワイトハットハッカー」によってさらに800万ドルを失いました。
ハッカーは偽のルーターを作成し、Thorchainルーターでアクションを実行しました。

結果

RUNEの価格は25％下がっています。有名なCertikチームによって監査されましたが、エラーと大量発生の頻度の後、コミュニティは心配し、逃げる兆候を示し始めました。以下に示すように、7月のローソク足パターンを見ることができます。

2021年前半のトップ6の最も優れたエクスプロイト「ショック」

アイスキャンデーファイナンス

簡単に定義すると、Popsicle Financeはマルチチェーンの利益集約プラットフォームであり、さまざまなプラットフォームで流動性を提供するのに役立ちます。このプロジェクトは、ユーザーが迅速な流動性を提供し、ガス料金を節約し、Uniswap、SushiSwap、Pancakeswapなどの多くのAMMをサポートすることを目的として構築および開発されました...

ICEがプロジェクトの代表的なトークンであることに加えて、現在、チームはこのトークンの機能を更新していません。おそらく、将来的にはICEがPopsicleプラットフォームの主要な変換料金として投票に使用される予定です。

これは新しいプロジェクトであるため、Peckshieldによって監査されていますが、PopsicleFinanceはシステムの技術的な穴の問題を回避することはできません。今年の初めから現在まで、Peckshieldには7つのエクスプロイト、ラグプルなどがありました。これはPeckshieldチームにとって心配な数です。

イベントの概要

この事件は8月4日に発生したばかりです。具体的には、ハッカーは3つの契約A、B、Cを作成し、次の順序で繰り返しました。そのようなプールを8つ繰り返します）。
もっと簡単に言えば、彼らは契約Aにお金を預けてから、LPトークンをBに転送し、そのトランザクションの金額を抽出するためにSorbettoの料金徴収メカニズムに依存しています。次に、BからCに移動し、以下同様に8つのプールすべてに対して繰り返します。
これは計画された繰り返しであることがわかります。彼らは上記の8つのプールを攻撃するために、Aaveから3000万USDT、13,000 WETH、1,400 BTC、3000万DAI、および200,000UNIをフラッシュローンします。
実際、Popsicleの欠陥は、上記のプロジェクトのイベントと比較して非常に単純です。このハッキングの主な原因は、LPトークンが転送されるときに料金が適切に計算されないことです。

結果

2021年前半のトップ6の最も優れたエクスプロイト「ショック」