Hackeři letos ukradli pomocí krypto mostů 1.4 miliardy dolarů

Krypto investoři byli letos těžce zasaženi hackery a podvody. Jedním z důvodů je, že kyberzločinci našli zvláště užitečnou cestu, jak se k nim dostat: mosty.

Blockchainové mosty, které slabě propojují sítě, aby umožnily rychlou výměnu tokenů, získávají na popularitě jako způsob transakcí uživatelů kryptoměn. Při jejich používání však nadšenci do kryptoměn obcházejí centralizovanou burzu a používají systém, který je z velké části nechráněný.

Podle údajů společnosti Chainalysis zabývající se analýzou blockchainu došlo od začátku roku v důsledku porušení těchto zkřížených můstků k celkové ztrátě přibližně 1.4 miliardy dolarů. Největší jednotlivou událostí byla rekordních 615 milionů dolarů vytržený z Roninu, mostu podporujícího oblíbenou nezaměnitelnou tokenovou hru Axie Infinity, která uživatelům umožňuje vydělávat peníze během hraní.

Tam byl také 320 milionů dolarů ukradených z Wormhole, krypto most podporovaný vysokofrekvenční obchodní firmou Jump Trading z Wall Street. V červnu utrpěl most Harmony's Horizon útok v hodnotě 100 milionů dolarů. a minulý týden, téměř 200 milionů dolarů zabavili hackeři v průlomu zaměřeném na Nomada.

„Blockchainové mosty se staly nízko visícím ovocem pro kyberzločince, v nichž jsou uzamčena kryptoaktiva v hodnotě miliard dolarů,“ řekl Tom Robinson, spoluzakladatel a hlavní vědec blockchainové analytické firmy Elliptic, v rozhovoru. "Tyto mosty byly narušeny hackery různými způsoby, což naznačuje, že jejich úroveň zabezpečení nedržela krok s hodnotou aktiv, která drží."

K vykořisťování mostů dochází pozoruhodným tempem, vezmeme-li v úvahu, že jde o tak nový fenomén. Podle údajů Chainalysis představuje částka ukradená při loupežích mostů 69 % prostředků ukradených v hackech souvisejících s kryptoměnami v roce 2022.

Most je kus softwaru, který někomu umožňuje odesílat tokeny z jedné blockchainové sítě a přijímat je v samostatném řetězci. Blockchainy jsou systémy distribuované účetní knihy, které jsou základem různých kryptoměn.

Při výměně tokenu z jednoho řetězce do druhého – jako při odesílání některých éter z etherea do sítě solana – investor vloží tokeny do chytré smlouvy, kusu kódu na blockchainu, který umožňuje automatické provádění dohod bez lidského zásahu.

Tato kryptoměna se pak „vyrazí“ na nový blockchain ve formě takzvaného zabaleného tokenu, který představuje nárok na původní etherové mince. Token pak může být obchodován v nové síti. To může být užitečné pro investory používající ethereum, které se stalo notoricky známým náhlým nárůstem poplatků a delšími čekacími dobami, když je síť vytížená.

"Obvykle drží ohromné ​​množství peněz," řekl Adrian Hetman, technický vedoucí společnosti Immunefi, která se zabývá bezpečností kryptoměn. "Tyto částky peněz a to, kolik provozu prochází přes mosty, jsou velmi lákavým bodem útoku."

Zranitelnost mostů lze částečně vysledovat v nedbalém inženýrství.

Například hack na Harmony's Horizon bridge byl možný kvůli omezenému počtu validátorů, které byly potřeba pro schvalování transakcí. Hackerům stačilo kompromitovat dva z celkových pěti účtů, aby získali hesla nezbytná pro výběr prostředků.

Podobná situace nastala u Ronina. Hackerům stačilo přesvědčit pět z devíti validátorů v síti, aby předali své soukromé klíče, aby získali přístup ke kryptoměnám uzamčeným uvnitř systému.

V případě Nomada bylo pro hackery mnohem jednodušší manipulovat s mostem. Útočníci byli schopni do systému zadat libovolnou hodnotu a poté vybrat finanční prostředky, i když na mostě nebyl uložen dostatek aktiv. Nepotřebovali žádné programátorské dovednosti a jejich činy vedly k nahromadění napodobenin, což podle Elliptic vedlo k osmé největší krypto krádeži všech dob.

Nomád je nabídka hackerů odměnu ve výši až 10 % na získání uživatelských finančních prostředků a říká, že se zdrží soudního řízení proti hackerům, kteří vrátí 90 % aktiv, která vzali.

Nomad řekl CNBC, že je „odhodlán udržovat svou komunitu aktuální, když se dozví více“ a „oceňuje všechny, kteří rychle jednali, aby ochránili finanční prostředky“.

Mosty jsou základním nástrojem v odvětví decentralizovaných financí (DeFi), což je alternativa kryptoměn k bankovnímu systému.

S DeFi, namísto centralizovaných hráčů, kteří se ozývají, jsou výměny peněz řízeny programovatelným kouskem kódu zvaným smart contract. Tato smlouva je sepsána na veřejném blockchainu, jako je např ethereum or soláriuma spustí se, když jsou splněny určité podmínky, čímž se neguje potřeba centrálního zprostředkovatele. 

"Nemůžeme jednoduše přesunout tato aktiva," řekl Hetman. "Proto potřebujeme blockchainové mosty."

Vzhledem k tomu, že se prostor DeFi neustále vyvíjí, vývojáři budou muset učinit blockchainy interoperabilní, aby zajistili, že aktiva a data mohou mezi sítěmi hladce proudit.

„Bez nich jsou aktiva uzamčena na nativních řetězcích,“ řekl Auston Bunsen, spoluzakladatel společnosti QuikNode, která vývojářům a společnostem poskytuje blockchainovou infrastrukturu.

Ale jsou riskantní.

"Jsou fakticky bez správy," řekl David Carlisle, vedoucí regulačních záležitostí ve společnosti Elliptic. Jsou „velmi zranitelní vůči hackerům nebo jejich použití při zločinech, jako je praní špinavých peněz“.

Zločinci převedli od roku 540 neoprávněně nabyté zisky v hodnotě nejméně 2020 milionů dolarů prostřednictvím mostu zvaného RenBridge, podle nový výzkum který Elliptic poskytl CNBC.

"Jednou z hlavních otázek je, zda se mosty stanou předmětem regulace, protože fungují podobně jako kryptoburzy, které jsou již regulovány," řekl Carlisle.

Tento týden Úřad pro kontrolu zahraničních aktiv Ministerstva financí USA neboli OFAC, oznámila sankce proti Tornado Cash, populárního mixéru kryptoměn, který zakazuje Američanům službu používat. Směšovače jsou nástroje, které mísí uživatelské tokeny s fondem jiných prostředků, aby skryly identity zúčastněných jednotlivců a subjektů.

Carlisle řekl, že začíná být zřejmé, že „američtí regulátoři jsou připraveni jít po službách DeFi, které usnadňují nezákonnou činnost.“

HODINKY: Adrian Hetman z Immunefi vysvětluje, jak hackeři ukradli 200 milionů dolarů