Soorten exploits in DeFi waar u op moet letten

Heruitgegeven door Plato

volgers: 0

Zelfs zo geavanceerd als blockchain-technologie en slimme contracten zijn geworden, bestaan er nog steeds mazen en fouten die kwetsbaar zijn voor exploits, wat meestal leidt tot het verlies van activa van gebruikers. Dit is een van de grootste risico's waarmee u rekening moet houden wanneer u investeerder wordt in de DeFi-ruimte, vooral als je een crypto-beginner. In dit artikel worden de belangrijkste soorten exploits uitgelegd, zodat u ze kunt herkennen en er vanaf kunt blijven.

Het kleed trekken

The Rug Pull is een algemene term voor exit-scams die liquiditeit uit de liquiditeitspool verwijderen. Oplichters kunnen een ogenschijnlijk aantrekkelijk en lucratief project bedenken, maar wanneer investeerders toestromen en de prijs verhogen, trekken ze alle liquiditeit uit het project en lopen ze weg met het geld. Dit beschadigt het kapitaal van de investeerders ernstig en dwingt hen uiteindelijk om al hun activa te verkopen.

Het trekken van het kleed gebeurt vrij vaak in de crypto-sfeer vanwege hoe gemakkelijk het is om uit te voeren. Zolang het ontwikkelaarsteam toegang heeft tot de liquiditeitspool, vertrouw je er gewoon blindelings op om de exploit niet uit te lokken. Zelfs als ze in eerste instantie geen toegang hebben tot de pool, kunnen ze het project bijwerken om zichzelf toestemming te geven.

Onderzoek is daarom van het grootste belang voordat u in een project investeert. Zoek naar projecten met transparante en toegankelijke broncode, een tijdslot op de liquiditeitspool en een systeem met meerdere handtekeningen waarbij sleutels van verschillende personen nodig zijn om toegang te krijgen tot de pool.

CertiK is een erg nuttige site om gecontroleerde rapporten te onderzoeken en de kwetsbaarheden van projecten op te sporen. Soms kan de informatie moeilijk te verteren zijn voor iemand zonder cyberbeveiligingsachtergrond, maar de site zal problemen op een leesbare manier samenvatten. In aanvulling, rekt.nieuws is een goede keuze om bij te houden waar DeFi-exploits plaatsvinden.

Defi

Aanvallen en exploits van Flash-leningen

Flash-lening is een speciaal handelsinstrument waarbij gebruikers een lening kunnen lenen zonder onderpand door slimme contracten te gebruiken. Het slimme contract dwingt de lener om de lening terug te betalen voordat de transactie eindigt, anders wordt het proces omgekeerd, zodat het lijkt alsof de lening nooit plaatsvindt. Flash-lening is een handig instrument vanwege de snelheid en het onderpandvrije karakter, maar het gaat ook gepaard met potentiële aanvallen en exploits.

Arbitragehandel

Hoewel het als een exploit wordt beschouwd, is arbitragehandel heel gebruikelijk en zelfs een van de belangrijkste redenen waarom mensen flitsleningen gebruiken. In principe kan dezelfde cryptocurrency een verschil van 1-3% hebben in de handelsprijs op verschillende beurzen, vanwege het handelsvolume en de tijdzone.

Arbitragehandel maakt gebruik van dit prijsverschil door munten te lenen voor een lagere prijs op de ene beurs en ze met winst te verkopen op een andere beurs, en vervolgens de lening terug te betalen. Dit gebeurt allemaal in een kwestie van seconden, eigenlijk gratis crypto verdienen. Om arbitragehandel te verminderen, is een stabielere markt noodzakelijk.

Flash-uitleenaanval

Omdat flitsleningen uitsluitend afhankelijk zijn van slimme contracten voor beveiliging, kunnen deze slimme contracten zelf worden getarget om met hun regels en protocollen te knoeien. Een dergelijke aanval heet de herintredingsaanval.

Deze aanval vindt plaats wanneer een slim contract een externe oproep doet naar een ander niet-vertrouwd contract voordat de volgende stap van kracht kan worden. Als iemand dit niet-vertrouwde contract weet te beheersen, kan hij keer op keer een reactie op de oorspronkelijke functie creëren en zo dezelfde interactie herhalen. Eeuwigdurende herhaling voorkomt dat het slimme contract wordt opgelost en haalt uiteindelijk alle ether eruit of zorgt ervoor dat de uitvoering zijn maximale stapelgrootte bereikt.

Was handel

Wash-handel is net zo gewoon in aandelenhandel als in crypto. Het verwijst naar de praktijk van het uitvoeren van grote transacties van, in ons geval, een munt om valse informatie naar de markt te creëren en de prijs van die munt op te pompen. Daarna zullen degenen achter de schermen de munten verkopen voor een hogere waarde.

Wash trading kan een gezamenlijke handeling zijn van zowel investeerders als makelaars of alleen investeerders die optreden als zowel kopers als verkopers. Dit is illegaal volgens de Amerikaanse wetgeving en de IRS verwerpt verliezen als gevolg van wasverkopen, die worden gedefinieerd als verliezen die optreden binnen 30 dagen na aankoop van de beveiliging en resulterend in een verlies.

Defi

Real-life voorbeeld van DeFi-exploits

Waarde Defi

Het Value DeFi-platform biedt een verscheidenheid aan diensten die gericht zijn op het brengen van eerlijkheid en innovatie in de DeFi-gemeenschap. Helaas is het een van de weinige protocollen die keer op keer is misbruikt.

De eerste exploit was een klassieke flitsleningaanval die eind 2020 plaatsvond. De uitbuiter slaagde erin $ 7 miljoen te stelen, maar gaf $ 2 miljoen terug aan de ontwikkelaars met een bericht: "Ken je echt flitslening?"

In mei 2021 werd Value DeFi twee keer misbruikt in een tijdsbestek van 4 dagen, beide keren door gebruik te maken van een codeerfout. De eerste aanvaller slaagde erin zichzelf te positioneren als de eigenaar van een liquiditeitspool en ze liepen weg met $ 10 miljoen waarde van Bitcoin. De tweede exploit was gericht op een onjuist gebruik van een "Bancor-formule", waardoor de uitbuiter geld kon stelen van pools die geen 50/50 gesplitste liquiditeit hadden. Als gevolg hiervan werd $ 11 miljoen gestolen.

Stokstaartje Financiën

Meerkat Finance is een opbrengstaggregatorprotocol dat, na slechts één dag te zijn gelanceerd, werd uitgebuit voor ongeveer $ 31 miljoen. Het leek gewoon weer een exploit totdat mensen erachter kwamen dat het project vlak voor de aanval was bijgewerkt om ontwikkelaars achterdeur toegang te geven tot gebruikersfondsen.

Al het bewijs wijst erop dat dit een tapijttrekker is, vermomd als een hack, maar mensen wisten niet dat er nog een andere wending in het verschiet lag. Meteen een dag later werden alle investeerders terugbetaald en werd bekend gemaakt dat de 'rug pull' een "sociaal experiment” om “gebruikershebzucht en subjectiviteit” te testen. Dus hoewel het geluk was dat niemand zijn geld verloor, toonde de zaak Meerkat Finance aan hoe gemakkelijk het was voor mensen om te investeren in projecten zonder grondig onderzoek.

EasyFi

Toen de ontwikkelaars de naam EasyFi bedachten, bedoelden ze waarschijnlijk niet 'makkelijk te exploiteren'. Toch was EasyFi het slachtoffer van de meest rampzalige DeFi-exploit van $ 6 miljoen aan stablecoins plus $ 53 miljoen aan EASY-tokens. Dit werd bereikt door een kwaadaardige versie van MetaMask te injecteren in een computer die werd gebruikt voor officiële EasyFi-transacties, waardoor de hacker toegang kreeg tot de beheerderssleutels. De oprichter van EasyFi, Ankitt Gaur, heeft aangeboden een $ 1 miljoen uitbetaling aan de hacker om het gestolen geld terug te geven, maar het ziet er niet naar uit dat ze snel zullen bijten.

Oogstfinanciering

Harvest Finance is nog een ander protocol voor het verzamelen van opbrengsten dat werd aangevallen door flitsleningen. De uitbuiter nam eerst een flitslening van $ 50 miljoen USDT en ruilde vervolgens $ 11.4 miljoen USDC in USDT, waardoor de USDT-prijs steeg. Vervolgens stortten ze $ 60.6 miljoen USDT in de kluis en wisselden ze $ 11.4 miljoen USDT terug naar USDC, waardoor de USDT-prijs daalde. Daarna haalden ze de $ 60.6 miljoen USDT uit de kluis met een winst van $ 0.5 miljoen uit de prijsarbitrage. Ze herhaalden dit proces 32 keer, allemaal in 7 minuten.