DeFi協議是如何被黑客攻擊的?

趣幣 2021-08-15 20:43:43 阅读数:968

本文一共[544]字,预计阅读时长:1分钟~
defi 被黑 黑客

對幾十次黑客攻擊的分析確定了去中心化金融領域的主要載體和典型漏洞。

去中心化金融領域正在以驚人的速度增長。三年前,DeFi鎖定的總價值僅為8億美元。到2021年2月,這一數字已增至400億美元;2021年4月,它達到了800億美元的裏程碑;現在,它的價值已經超過1400億美元。一個新市場的如此快速增長,肯定會吸引各種黑客和欺詐者的注意。

根據加密貨幣研究公司的一份報告,自2019年以來,DeFi領域因黑客和其他漏洞攻擊而損失了約2.849億美元。從黑客的角度來看,對區塊鏈生態系統的黑客攻擊是一種理想的致富手段。因為這種系統是匿名的,他們有錢可賺,而且任何黑客都可以在受害者不知情的情况下進行測試和調整。在2021年的前四個月,損失達到了2.4億美元。而這些只是公開知道的案例。我們估計真正的損失達到了數十億美元。

DeFi協議的錢是如何被盜的?我們分析了幾十起黑客攻擊事件,確定了導致黑客攻擊的最常見問題。

濫用第三方協議和業務邏輯錯誤

任何攻擊都主要從分析受害者開始。區塊鏈技術為自動調整和模擬黑客攻擊的場景提供了許多機會。為了使攻擊快速而隱蔽,攻擊者必須具備必要的編程技能和智能合約工作原理的知識。黑客的典型工具包允許他們從網絡的主要版本中下載自己的區塊鏈的完整副本,然後對攻擊過程進行全面調整,就好像交易發生在真實的網絡中一樣。

接下來,攻擊者需要研究項目的業務模式和使用的外部服務。業務邏輯的數學模型和第三方服務的錯誤是最常被黑客利用的兩個問題。

智能合約的開發者在交易時需要的相關數據往往超過他們在任何特定時刻可能擁有的數據。因此,他們被迫使用外部服務——例如,預言機。這些服務並不是為在去信任的環境中運作而設計的,所以它們的使用意味著額外的風險。根據一個統計數據(自2020年夏天以來),既定類型的風險占損失的比例最小——只有10次黑客攻擊,造成的損失總額約為5000萬美元。

編碼錯誤

智能合約在IT領域是一個相對較新的概念。盡管它們很簡單,但智能合約的編程語言需要一個完全不同的開發範式。開發人員往往根本不具備必要的編碼技能,並犯下嚴重錯誤,導致用戶的巨大損失。 

安全審計只能消除這類風險的一部分,因為市場上的大多數審計公司對他們的工作質量不承擔任何責任,只對財務方面感興趣。由於編碼錯誤,超過100個項目而被黑客攻擊,造成的總損失約為5億美元。一個鮮明的例子是發生在2020年4月19日的dForce黑客事件。黑客利用ERC-777代幣標准中的一個漏洞,結合重入攻擊,偷走了2500萬美元。

閃電貸、價格操縱和礦工攻擊

提供給智能合約的信息只在執行交易時相關。在默認情况下,合約不能幸免於對其中包含的信息進行潜在的外部操縱。這使得一系列的攻擊成為可能。

閃電貸是一種沒有抵押物的貸款,但需要在同一筆交易中歸還所借的加密貨幣。如果借款人未能歸還資金,交易將被取消。這種貸款允許借款人收到大量的加密貨幣並將其用於自己的目的。通常情况下,閃電貸攻擊涉及價格操縱。攻擊者可以先在交易中賣出大量借來的代幣,從而降低其價格,然後在買回代幣之前,以非常低的價值執行一系列行動。

礦工攻擊類似於基於工作量證明共識算法的區塊鏈上的閃電貸攻擊。這種類型的攻擊更加複雜和昂貴,但它可以繞過閃電貸的一些保護層。它的工作原理是這樣的。攻擊者租用挖礦能力,形成一個只包含他們需要的交易的區塊。在給定的區塊內,他們可以首先借用代幣,操縱價格,然後歸還借用的代幣。由於攻擊者獨立形成了進入區塊的交易,以及它們的順序,攻擊實際上是原子性的(不能將其他交易“嵌入”到攻擊中),就像閃電貸的情况。這種類型的攻擊已經被用來攻擊100多個項目,損失總額約為10億美元。

隨著時間的推移,黑客的平均數量一直在增加。在2020年初,一次盜竊金額就高達數十萬美元。到今年年底,這個數字已經上昇到數千萬美元。

開發者不稱職

最危險的風險類型涉及人為錯誤因素。人們為了尋求快速賺錢而求助於DeFi。許多開發人員資質很差,但仍試圖在匆忙中推出項目。智能合約是開源的,因此很容易被黑客複制和改動。如果原始項目包含前三種類型的漏洞,那麼它們就會蔓延到數百個克隆項目中。RFI SafeMoon是一個很好的例子,因為它包含一個關鍵的漏洞,被複制到一百個項目上,導致潜在損失超過20億美元。

文:GUEST AUTHORS

查看更多

本文為趣幣網官方代發,觀點僅代錶作者本人,絕不代錶趣幣網贊同其觀點或證實其描述。文中部分文字/圖片/視頻/音頻等來源於網絡,如侵犯到著作權人的權利,請與我們聯系(微信/QQ:1074760229)。本文不作為投資理財建議。轉載請注明出處:趣幣網

版权声明:本文为[趣幣]所创,转载请带上原文链接,感谢。 https://gsmany.com/2021/08/20210815204328557V.html