Top 6 meest opvallende Exploit schokken in de eerste helft van 2021

Samenvatting van de 6 meest opvallende exploits (hacks) in de eerste helft van 2021 en een opsomming van de totale schade en oplossingen van het project.

Hallo jongens.

Vandaag wil ik een artikel met je delen waarin de meest populaire exploits (hacks) in de eerste helft van 2021 worden samengevat. Tegelijkertijd som ik projecten op die zijn gehackt door hackers, de totale schade van het incident en hun oplossing. Raadpleeg het volgende artikel voor meer informatie.

Overzicht van Exploit 

Exploit is een term die wordt gebruikt om te praten over een aanval van een persoon of groep mensen (anoniem) die opzettelijk een bug of beveiligingslek betreedt om te exploiteren en winst te maken. Deze term is van toepassing op zowel crypto als niet-crypto.

Aanvallen vinden meestal plaats in netwerkbesturingssystemen, Dapps of andere softwarecode. In sommige gevallen stelen veel hackers gegevens in het systeem, zoals gebruikersinformatie, fondsactiva, ... of laten ze virussen in de software vallen om de bijbehorende knooppunten te vernietigen.

Gemeenschappelijke exploitatieclassificatie

Exploit is goed bekend in de elektronica-industrie en er zijn ook veel verschillende soorten Exploit, voor u om het beter te begrijpen, zal ik als volgt classificeren:

• Exploit op afstand : het proces waarbij bugs in het hoofdbeveiligingssysteem op afstand op een andere computer/netwerk worden misbruikt.
• Local Exploit : een vorm van misbruik maken van bugs in het beveiligingssysteem op het hoofdsysteem en geleidelijk de permissies upgraden, wachtwoorden kraken, misbruik maken van andermans gegevens,...
• Er is een ander type exploit dat de toegang van de beheerder zal infiltreren (toegang op beheerdersniveau / root) en van daaruit handelingen van persoonlijk gewin zal uitvoeren.

Exploiteren in Crypto

In Crypto staat Exploit bekend om aanvallen op kwetsbaarheden in slimme contracten, of vaak ontdekte beveiligingsfouten zoals Website, Dapps, IoT, API, UI-UX,...

Vaak kan een software die net is geprogrammeerd fouten hebben tijdens de uitvoering, die beveiligingslekken verschijnen vaak in Configuraties, Applicaties (Dapps), Shrink wrap Code en Besturingssysteem.

Technische kwetsbaarheden worden vaak opgemerkt door hackers

Aanvallen van hackers zijn vaak moeilijk te detecteren totdat de gevolgen zich voordoen, dus blockchain-projecten bij het lanceren van een nieuw product zullen vaak Testnets, Devnets en Bug Bounty-evenementen bevatten (krijg premies) voor de gemeenschap.

Bug bounty is een beveiligingsprogramma dat vaak door projecten op hun Dapps wordt toegepast, deels om de gebruikerservaring te onderzoeken, het andere deel is om beveiligingslekken (bugs) in hun producten te detecteren. 

In plaats van te worden aangevallen door hackers en duizenden miljoenen dollars te verliezen, samen met vele andere juridische problemen, zal Bug Bounty de risico's die zich in de toekomst kunnen voordoen enigszins beperken. 

6 openstaande Exploitgevallen in 2021

Poly netwerk

Poly Network is een netwerk dat wordt ingezet voor interactie met meerdere ketens, waarmee de internetinfrastructuur van de volgende generatie wordt opgebouwd. Blockchains kunnen verbinding maken met Poly Network via een open netwerk en een transparant toegangsmechanisme (transparantie) bij toegang tot informatie, vertrouwen en consistentie. 

Bovendien verbindt Poly Network ook vele andere blockchains en heeft het veel platforms geïntegreerd zoals Bitcoin, Ethereum, Neo, Ontology, Elrond, Ziliqua, Binance Smart Chain, Switcheo en Huobi ECO Chain. Tot nu toe had Poly Network geen token in zijn governancemechanisme.

De reden dat Poly Network in deze top 6 staat, is omdat onlangs op 10 augustus Poly Network's Twitter bevestigde dat ze een cross-chain aanval hadden ondergaan en dat het incident naar schatting 611 miljoen dollar had gekost. Schade omvat in het bijzonder:

• $ 273 miljoen op Ethereum.
• $ 253 miljoen op BSC.
• $85 miljoen op Polygon.

Trouwens, O3 Swap - het platform dat op Poly Network is gebouwd, wordt ook gedeeltelijk beïnvloed, er zijn nog steeds geen exacte gegevens voor dit geval.

Hoewel Poly Network wordt gecontroleerd door Certik , is het onvermijdelijk dat zich onverwachte gevallen zoals hierboven voordoen. Het project onderzoekt momenteel de zaak, specifieke informatie zal worden bijgewerkt zodra er een nieuwe aankondiging is van Poly Network.

Alpha Finance Lab

Alpha Finance Lab is een DeFi Cross-chain-platform gebouwd op het Binance Smart Chain-ecosysteem, inclusief Lending & Borrowing-producten en -diensten, en ondersteunt gebruikers op veel verschillende blockchains. 

ALPHA is het representatieve native token van het project, dient het bestuur in het systeem, ondersteunt liquiditeitsmining bij het uitlenen of lenen, u kunt ook ALPHA inzetten om winst te maken. 

De reden waarom Alpha Finance in de top 6 van Exploit-zaken staat, is omdat de totale schade na de aanval vrij groot is tot 37,5 miljoen USD.

Samenvatting van evenementen

In de ochtend van 13 februari 2021 viel een hacker het Alpha Homora V2 -protocol aan en de uitleentransacties werden vervolgens stopgezet voor onderzoek. Deze aanval zou behoorlijk gecompliceerd zijn omdat de hacker veel stappen heeft ondernomen voordat hij het bovenstaande bedrag ontnam, met name:

• Hacker creëerde een virtueel adres, verwisselde ETH naar UNI en voegde LP toe voor ETH + UNI-paar in Uniswap (om LP-tokens te krijgen). In dezelfde transactie ruilde hij ETH in sUSD en stortte hij sUSD in Cream Iron Bank.
• In Alpha Homora V2 leenden hackers sUSD & Aave om het bezit van cySUSD te vergroten. Van daaruit leende de hacker nog eens $ 13.244 ETH; $4.263.139 DAI; $ 3.997.921 USDC en $ 5.647.242 USDT.
• Stort vervolgens wat in Aave, 1.000 ETH op Iron Bank en Alpha Homora V2, 320 ETH op Tornado.cash.
• Op de persoonlijke portemonnee van de hacker stond na de transactie 10.925 ETH (gelijk aan $ 20 miljoen).

De kwetsbaarheden van het incident zijn onderzocht en onderzocht door Alpha Finance Lab, Andre Cronje en Cream Finance, waaronder 9 transacties, 4 verschillende operaties in deze hack. Het is te zien dat de DeFi-markt nog vrij nieuw is en dat er veel potentiële risico's zijn. 

Gevolg

Naast het resultaat van gehackt te zijn en $ 37,5 miljoen te verliezen, werd Alpha Finance Lab ook geconfronteerd met een zware daling van de ALPHA-tokenprijs na de aankondiging van het project, op het moment van aankondiging was het bijna 22% en het totaal in februari is gedaald met 39,22%. .

Rari Hoofdstad 

Rari Capital (RGT) staat bekend als een geautomatiseerd opbrengstlandbouwprotocol op het Ethereum-blockchainplatform, dat helpt bij het aantrekken van liquiditeit in DeFi Space zoals Compound, dYdX, yEarn,... Bovendien is het doel dat Rari Capital nastreeft het creëren van een efficiënte landbouwomgeving voor gebruikers.

Sinds de lancering tot nu toe heeft RGT een enorme prijsgroei doorgemaakt van $ 0,2 (5 november 2020) - ATH $ 27,37 (15 april 2021), het is te zien dat het Rari Capital-platform voortdurend in ontwikkeling is en het is ook een "heerlijke aas" voor hackers.

Samenvatting van evenementen

Op 8 mei moest Rari Capital melden dat een hacker in het systeem had ingebroken en 2.600 ETH had leeggezogen, een verlies van 60% (naar schatting $ 10.000.000) van het totale gebruikersgeld op dat moment. Ik vat het voorval kort als volgt samen:

• Hackers hebben valse tokens gemaakt en deze samengevoegd op SushiSwap.
• Vervolgens maakten ze gebruik van de kwetsbaarheid van functies in Alpha Finance en kregen toegang tot Alpaca Homora om ibETH te ontvangen van het Rari ETH-poolcontract.
• Ten slotte converteerde de hacker ibETH naar ETH in de Rari ETH-pool.

Gevolg

Afbeeldingsbron: Rekt Capital

De RGT-prijs daalde na de aanval met meer dan 40%. Het is vermeldenswaard dat hoewel het token werd gecontroleerd door Quantstamp , deze kwetsbaarheid werd genegeerd en een zwaar verlies voor Rari Capital veroorzaakte. Voor zover ik weet, moest Rari 2 miljoen RGT aftrekken om gebruikers later te compenseren.

Pannenkoek Konijn Financiën

Als je van landbouw houdt, is Pancake Bunny (BUNNY) zeker geen vreemde naam, dit is een winstaggregator en landbouwoptimalisatietool op Binance Smart Chain. Net als bij Yearn Finance op Ethereum, gebruikt Pancake Bunny Finance Pancake als het belangrijkste Yield Farming-platform. 

Hiermee kunnen gebruikers CAKE kopen en toevoegen aan de pool om samengestelde rente uit de landbouw te krijgen. Op Pancake is er ook een brug tussen ETH-BSC om het aantal gebruikers op het platform uit te breiden. BUNNY is een native token die het project vertegenwoordigt en wordt gebruikt in administratie en als vergoeding op PancakeSwap.

Samenvatting van evenementen

Specifiek, op 20 mei, moest Pancake een flitslening van een uitbuiter melden - een vorm van lening zonder onderpand. Door gebruik te maken van de maas in deze functie van de applicatie, zijn hackers doorgedrongen en aangevallen door het volgende:

• Met PancakeSwap lenen ze grote bedragen aan BNB van WBNB-pools, waaronder acht verschillende flitsleningen (volgens Fortube bank).
• Hackers hebben 2,96 miljoen USDT en 7.886 WBNB in ​​de pool gestort en 144,45 duizend LP-tokens geslagen.
• Met een grote hoeveelheid LP-tokens in de hand, claimden ze 6,97 miljoen BUNNY-beloningen van Vault Flip To Flip en brachten ze een sterke ontlading op de markt.
• Nadat ze alle gehackte BUNNY met succes hadden verkocht, keerden ze terug om de BNB terug te betalen die geleend was van de vorige flitslening.

Gevolg

Afbeeldingsbron: Rekt Capital

Het incident zorgde ervoor dat de prijs van BUNNY plotseling daalde naar $ 6 en op dat moment was de TVL van Pancake Bunny slechts $ 1 miljard (gedeeld door 10 vanaf de piekperiode).

Totale schade geschat op $ 2,4 miljoen, zelfs een audit door Haechi kon Pancake Bunny niet beschermen tegen deze aanval, 

THORChain 

THORChain (RUNE) staat bekend als het Blockchain Protocol-project en bouwt een keten-agnostisch overbruggingsprotocol dat de verbinding en uitwisseling van waarde tussen verschillende multi-ketens mogelijk maakt. THORChain biedt ook laag 1-liquiditeit, onmiddellijke ruil van activa en afwikkeling van prijsschommelingen in Crypto. 

RUNE is een native token op het THORChain-platform voor het maken van transactiekosten, staken/stemmen en dienen als beloningen voor validators.

THORChain is ook de naam in de top 6 van meest recente exploits, in slechts een maand tijd kreeg THORChain te maken met 2 hackeraanvallen met een totaal verlies van bijna 13 miljoen dollar.

Overzicht van evenementen:

• Eerder op 15 juli werd THORChain gehackt om 2.500 ETH (naar schatting 5 miljoen USD) te stelen, deze aanval in het Bifrost -protocol .
• En tegen het einde van juli verloren ze nog eens 8 miljoen dollar door "white hat hackers" als gevolg van een fout met betrekking tot het ERC-777-token (ETH Router-contract).
• Hacker creëerde een nep-router en voerde zijn acties uit op Thorchain Router.

Gevolg

De prijs van RUNE is met 25% gedaald. Hoewel het werd gecontroleerd door het prestigieuze Certik-team, maar na de fouten en de frequentie van massale voorvallen, maakte de gemeenschap zich zorgen en begon ze tekenen van weglopen te vertonen. Je kunt het kandelaarpatroon van juli zien, zoals hieronder weergegeven:

Popsicle Financiën

Laat me het kort definiëren, Popsicle Finance is een multi-chain winstaggregatieplatform dat helpt om liquiditeit te bieden op veel verschillende platforms. Het project is gebouwd en ontwikkeld met als doel gebruikers te helpen snelle liquiditeit te bieden, gaskosten te besparen, vele AMM's te ondersteunen, zoals Uniswap, SushiSwap, Pancakeswap,... 

Behalve dat ICE het representatieve token van het project is, heeft het team momenteel de functie van dit token niet bijgewerkt, hoogstwaarschijnlijk zal ICE in de toekomst worden gebruikt om te stemmen, als de belangrijkste conversievergoeding in het Popsicle-platform.

Omdat het een nieuw project is, hoewel het wordt gecontroleerd door Peckshield, kan Popsicle Finance niet ontsnappen aan de problemen van technische gaten in zijn systeem. Vanaf het begin van het jaar tot nu toe heeft Peckshield 7 exploits, rug-pulls, enz. gehad, wat een zorgwekkend aantal is voor het Peckshield-team. 

Samenvatting van evenementen

• Dit incident gebeurde net op 4 augustus, in het bijzonder heeft de hacker 3 contracten A, B, C gemaakt en herhaald in de volgorde: Transfer (A) ⇒ (B) & Incassokosten ⇒ (C) Transfer ⇒ (A) & Incassokosten ( herhaal voor 8 van dergelijke pools).
• Simpel gezegd, ze storten geld in contract A en dragen vervolgens de LP-tokens over naar B, waarbij ze vertrouwen op het mechanisme voor het incasseren van vergoedingen van Sorbetto om het bedrag voor die transactie te extraheren. Ga vervolgens van B naar C en herhaal dit voor alle 8 pools.
• Het is te zien dat dit een geplande herhaling is, ze flitsen 30 miljoen USDT, 13.000 WETH, 1.400 BTC, 30 miljoen DAI en 200.000 UNI van Aave om de bovengenoemde 8 pools aan te vallen.
• In feite is de fout in Popsicle vrij eenvoudig in vergelijking met de gebeurtenissen in de bovenstaande projecten. De belangrijkste oorzaak van deze hack is dat de vergoeding niet goed wordt berekend wanneer de LP-tokens worden overgedragen.

Gevolg 

Popsicle Finance leed een verlies tot $ 25 miljoen, samen met een daling van de prijs van ICE-tokens na de aankondiging van de crash. 

Conclusie 

Sinds het begin van het jaar zijn er 42 gevallen geweest van Exploit, Rug-pull op de Crypto-markt. Dit is ook een belangrijke factor voor recente prijsbewegingen in sommige projecten. DeFi Spaces is een goede prooi voor white hat-hackers, vooral wanneer de markt zoals vandaag voortdurend evolueert.

Komt er in de toekomst een oplossing, wordt de audit strakker en meer geautomatiseerd? Volg onmiddellijk het Coin98 Insights News -kanaal om de snelste updates te krijgen over al het nieuws en uitstekende evenementen in de Crypto-markt!