Top 6 choques de exploração mais marcantes no primeiro semestre de 2021

Resumo dos 6 exploits (hacks) mais notáveis ​​no primeiro semestre de 2021 e lista o total de danos e soluções do projeto.

Olá, pessoal.

Hoje, gostaria de compartilhar com vocês um artigo resumindo os exploits (hacks) mais populares no primeiro semestre de 2021. Ao mesmo tempo, listando projetos que foram invadidos por hackers, o dano total do incidente e sua solução. Para obter mais detalhes, consulte o artigo a seguir.

Visão geral da exploração 

Exploit é um termo usado para falar sobre um ataque de uma pessoa ou grupo de pessoas (anonimamente) que está entrando intencionalmente em um bug ou brecha de segurança para explorar e lucrar. Este termo se aplica a criptografia e não cripto.

Os ataques geralmente ocorrem em sistemas operacionais de rede, Dapps ou qualquer código de software. Em alguns casos, muitos hackers roubam dados no sistema, como informações de usuários, ativos de fundos, ... ou lançam vírus no software para destruir os nós associados.

Classificação de exploração comum

O Exploit é bastante conhecido na indústria eletrônica, e também existem muitos tipos diferentes de Exploit, para você entender melhor, vou classificar da seguinte forma:

• Exploração Remota : O processo de exploração remota de bugs no sistema de segurança principal em outro computador/rede.
• Exploração local : Uma forma de explorar bugs no sistema de segurança diretamente no sistema principal e gradualmente atualizar suas permissões, quebrar senhas, explorar dados de outras pessoas,...
• Existe outro tipo de exploit que irá se infiltrar no acesso do Administrador (Administrative Level Access/root) e realizar atos de ganho pessoal a partir daí.

Explorar em criptografia

Em Crypto, o Exploit é conhecido por ataques a vulnerabilidades em contratos inteligentes, ou falhas de segurança comumente descobertas, como Website, Dapps, IoT, API, UI-UX,...

Muitas vezes um software que acabou de ser programado pode apresentar erros durante a execução, essas falhas de segurança geralmente aparecem em Configurações, Aplicativos (Dapps), Shrink wrap Code e Sistema Operacional.

Vulnerabilidades técnicas são frequentemente notadas por hackers

Os ataques de hackers geralmente são difíceis de detectar até que as consequências ocorram, então os projetos de blockchain ao lançar um novo produto costumam realizar eventos Testnets, Devnets e Bug Bounty. get bounties) para a comunidade.

Bug bounty é um programa de segurança frequentemente aplicado por projetos em seus Dapps, em parte para pesquisar a experiência do usuário, a outra parte é detectar falhas de segurança (bugs) em seus produtos. 

Em vez de ser atacado por hackers e perder milhares de milhões de dólares, juntamente com muitas outras questões legais, o Bug Bounty limitará um pouco os riscos que podem ocorrer no futuro. 

6 casos de exploração pendentes em 2021

Rede Poli

A Poly Network é uma rede implantada para interação em várias cadeias, construindo a infraestrutura de Internet de última geração. Blockchains podem se conectar à Poly Network por meio de uma rede aberta e mecanismo de Admissão Transparente (transparência) no acesso à informação, confiança e consistência. 

Além disso, a Poly Network também conecta muitas outras blockchains e integrou muitas plataformas, como Bitcoin, Ethereum, Neo, Ontology, Elrond, Ziliqua, Binance Smart Chain, Switcheo e Huobi ECO Chain. Até agora, a Poly Network não tinha um token em seu mecanismo de governança.

A razão pela qual a Poly Network está neste top 6 é porque recentemente, em 10 de agosto, o Twitter da Poly Network confirmou que eles sofreram um ataque de cadeia cruzada, e o incidente foi estimado em 611 milhões de dólares. Especificamente, os danos incluem:

• US$ 273 milhões no Ethereum.
• US$ 253 milhões no BSC.
• $ 85 milhões em Polygon.

Além disso, o O3 Swap - a plataforma construída na Poly Network também é parcialmente afetada, ainda não há dados exatos para este caso.

Embora a Poly Network seja auditada pela Certik , é inevitável que ocorram casos inesperados como os acima. O projeto está atualmente investigando o caso, informações específicas serão atualizadas assim que houver um novo anúncio da Poly Network.

Laboratório de Finanças Alfa

Alpha Finance Lab é uma plataforma DeFi Cross-chain construída no ecossistema Binance Smart Chain, incluindo produtos e serviços de Empréstimos e Empréstimo, dando suporte a usuários em muitas blockchains diferentes. 

ALPHA é o token nativo representativo do projeto, servindo a governança no sistema, apoiando a mineração de Liquidez em empréstimos ou empréstimos, você também pode Staking ALPHA para obter lucros. 

A razão pela qual a Alpha Finance está no top 6 dos casos de Exploit é porque o dano total após o ataque é bastante grande, chegando a 37,5 milhões de dólares.

Resumo dos eventos

Na manhã de 13 de fevereiro de 2021, um hacker atacou o protocolo Alpha Homora V2 e as transações de empréstimos foram posteriormente interrompidas para investigação. Este ataque é considerado bastante complicado porque o hacker deu muitos passos antes de privar o valor acima, especificamente:

• O hacker criou um endereço virtual, trocou ETH para UNI e adicionou LP para par ETH + UNI em Uniswap (para obter tokens LP). Na mesma transação, ele trocou ETH por sUSD e depositou sUSD no Cream Iron Bank.
• No Alpha Homora V2, os hackers emprestaram sUSD e Aave para aumentar as participações do cySUSD. De lá, o hacker emprestou outros US$ 13.244 em ETH; $ 4.263.139 DAI; $ 3.997.921 USDC e $ 5.647.242 USDT.
• Em seguida, deposite alguns em Aave, 1.000 ETH para Iron Bank e Alpha Homora V2, 320 ETH para Tornado.cash.
• Na carteira pessoal do hacker, após a transação, restaram 10.925 ETH (equivalente a US$ 20 milhões).

As vulnerabilidades do incidente foram investigadas e pesquisadas pelo Alpha Finance Lab, Andre Cronje e Cream Finance, incluindo 9 transações, 4 operações diferentes neste hack. Pode-se perceber que o mercado DeFi ainda é bastante novo e existem muitos riscos potenciais. 

Consequência

Além do resultado de ser hackeado, perdendo US$ 37,5 milhões, o Alpha Finance Lab também enfrentou uma forte queda no preço do token ALPHA após o anúncio do projeto, no momento do anúncio era de quase 22% e o total em fevereiro diminuiu em 39,22%.

Rari Capital 

A Rari Capital (RGT) é conhecida como um protocolo de agricultura de rendimento automatizado na plataforma blockchain Ethereum, ajudando a atrair liquidez no DeFi Space, como Composto, dYdX, yEarn,... Além disso, o objetivo que a Rari Capital visa é criar um ambiente de cultivo eficiente para os usuários.

Desde o seu lançamento até agora, a RGT experimentou um tremendo crescimento de preço de $ 0,2 (5 de novembro de 2020) - ATH $ 27,37 (15 de abril de 2021), pode-se ver que a plataforma Rari Capital está em constante desenvolvimento e também é uma "deliciosa isca" para hackers.

Resumo dos eventos

Em 8 de maio, a Rari Capital teve que relatar que um hacker invadiu o sistema e drenou 2.600 ETH, uma perda de 60% (estimada em US $ 10.000.000) do total de fundos do usuário na época. Vou resumir brevemente o incidente da seguinte forma:

• Os hackers criaram tokens falsos e os reuniram no SushiSwap.
• Em seguida, eles aproveitaram a vulnerabilidade dos recursos do Alpha Finance e acessaram o Alpaca Homora para receber o ibETH do contrato do pool Rari ETH.
• Finalmente, o hacker converteu ibETH em ETH no pool Rari ETH.

Consequência

Fonte da imagem: Rekt Capital

O preço do RGT caiu mais de 40% após o ataque. Vale ressaltar que embora o token tenha sido auditado pela Quantstamp , essa vulnerabilidade foi ignorada e causou um grande prejuízo para a Rari Capital. Como eu sei, Rari teve que deduzir 2 milhões de RGT para compensar os usuários posteriormente.

Finanças do coelhinho da panqueca

Se você gosta de agricultura, certamente Pancake Bunny (BUNNY) não é um nome estranho, este é um agregador de lucros e ferramenta de otimização agrícola na Binance Smart Chain. Semelhante ao Yearn Finance no Ethereum, o Pancake Bunny Finance usa o Pancake como a principal plataforma de Yield Farming. 

Permite que os usuários comprem CAKE e adicionem ao pool para obter juros compostos da agricultura. No Pancake, há também uma ponte entre ETH-BSC para ampliar o número de usuários na plataforma. BUNNY é um token nativo que representa o projeto, usado na administração e como taxa no PancakeSwap.

Resumo dos eventos

Especificamente, em 20 de maio, a Pancake teve que denunciar um empréstimo instantâneo de ataque de explorador - uma forma de empréstimo sem garantia. Aproveitando a brecha desse recurso no aplicativo, os hackers penetraram e atacaram o seguinte:

• Eles usam o PancakeSwap para emprestar grandes quantidades de BNB dos pools do WBNB, incluindo oito empréstimos flash diferentes (de acordo com o banco Fortube).
• Os hackers depositaram 2,96 milhões de USDT e 7.886 WBNB no pool e cunharam 144,45 mil tokens LP.
• Com uma grande quantidade de tokens LP em mãos, eles reivindicaram 6,97 milhões de recompensas BUNNY do Vault Flip To Flip e trouxeram ao mercado uma forte descarga.
• Vendeu com sucesso todo o BUNNY hackeado, eles voltaram para reembolsar o BNB emprestado do empréstimo flash anterior.

Consequência

Fonte da imagem: Rekt Capital

O incidente fez com que o preço do BUNNY caísse repentinamente para US$ 6 e naquela época o TVL do Pancake Bunny era de apenas US$ 1 bilhão (dividido por 10 do período de pico).

Danos totais estimados em US $ 2,4 milhões, mesmo uma auditoria da Haechi não conseguiu proteger Pancake Bunny desse ataque, 

THORChain 

THORChain (RUNE) é conhecido como o projeto Blockchain Protocol, construindo um protocolo de ponte agnóstico de cadeia, permitindo a conexão e troca de valor entre diferentes cadeias múltiplas. THORChain também fornece liquidez de camada 1, troca instantânea de ativos e liquidação de flutuações de preços em Crypto. 

RUNE é um token nativo na plataforma THORChain com a finalidade de fazer taxas de transação, apostar/votar e servir como recompensa para validadores.

O THORChain também é o nome das 6 principais explorações mais recentes, em apenas um mês, o THORChain enfrentou 2 ataques de hackers com uma perda total de quase 13 milhões de dólares.

Resumo dos eventos:

• No início de 15 de julho, THORChain foi hackeado para roubar 2.500 ETH (estimado em 5 milhões de dólares), este ataque no protocolo Bifrost .
• E perto do final de julho, eles perderam mais 8 milhões de dólares por "hackers de chapéu branco" devido a um erro relacionado ao token ERC-777 (contrato ETH Router).
• Hacker criou um roteador falso e executou suas ações no Thorchain Router.

Consequência

O preço do RUNE caiu 25%. Embora tenha sido auditado pela prestigiada equipe Certik, mas após os erros e a frequência de ocorrência em massa, a comunidade se preocupou e começou a dar sinais de fuga. Você pode ver o padrão de velas de julho como mostrado abaixo:

Finanças de picolé

Deixe-me definir brevemente, o Popsicle Finance é uma plataforma de agregação de lucros de várias cadeias, ajudando a fornecer liquidez em muitas plataformas diferentes. O projeto foi construído e desenvolvido com o objetivo de ajudar os usuários a fornecer liquidez rápida, economizar taxas de gás, suportar muitos AMMs como Uniswap, SushiSwap, Pancakeswap,... 

Além do ICE ser o token representativo do projeto, atualmente a equipe não atualizou o recurso deste token, provavelmente no futuro o ICE será usado para votação, como a principal taxa de conversão na plataforma Popsicle.

Por ser um projeto novo, embora auditado pela Peckshield, a Popsicle Finance não pode fugir dos problemas de falhas técnicas em seu sistema. Desde o início do ano até agora, Peckshield teve 7 exploits, tapetes, etc., o que é um número preocupante para a equipe Peckshield. 

Resumo dos eventos

• Este incidente aconteceu apenas em 4 de agosto, especificamente, o hacker criou 3 contratos A, B, C e repetidos na sequência: Transferir (A) ⇒ (B) & Collect Fees ⇒ (C) Transfer ⇒ (A) & Collect Fees ( repita para 8 dessas piscinas).
• Para simplificar, eles depositam dinheiro no contrato A e depois transferem os tokens LP para B, contando com o mecanismo de cobrança de taxas da Sorbetto para extrair o valor dessa transação. Em seguida, mova de B para C e assim por diante, repita para todas as 8 piscinas.
• Pode-se ver que esta é uma repetição planejada, eles emprestam 30 milhões de USDT, 13.000 WETH, 1.400 BTC, 30 milhões de DAI e 200.000 UNI da Aave para atacar os 8 pools acima.
• Na verdade, a falha no Popsicle é bem simples em comparação com os eventos nos projetos acima. A principal causa desse hack é que a taxa não é calculada corretamente quando os tokens LP são transferidos.

Consequência 

A Popsicle Finance sofreu uma perda de até US$ 25 milhões, juntamente com uma queda no preço dos tokens ICE após o anúncio do acidente. 

Conclusão 

Desde o início do ano, foram registrados 42 casos de Exploit, Rug-pull ocorrido no mercado Crypto. Este também é um fator importante nos movimentos recentes de preços em alguns projetos. DeFi Spaces é uma boa presa para hackers de chapéu branco, especialmente quando o mercado está em constante evolução como hoje.

Haverá uma solução no futuro, a auditoria será mais apertada e automatizada? Siga imediatamente o canal Coin98 Insights News para obter as atualizações mais rápidas sobre todas as notícias e eventos pendentes no mercado de criptomoedas!