På trods af cryptocurrency-markeder, der var fanget i en alvorlig bearish recession, var svindel og hacks i Web3 i brand i hele 2022. En række centraliserede cryptocurrency-sværvægtere kollapsede også på grund af dårlig risikostyring og insider-manipulationer.
Når kryptosegmentet nærmer sig nytår, opsummerer U.Today de farligste krypto-svindel, deres rødder, design og de tab, de forårsagede. Vi har også udarbejdet en kort gennemgang af de hyppigste krypto-svindel på sociale medier, der retter sig mod millioner af brugere dagligt.
Krypto-svindel og hacks fra 2022: Hurtige fakta
Ifølge talrige cybersec-rapporter lykkedes det hackere og svindlere i de første 11 måneder af 2022 at stjæle et hidtil uset beløb på 4.2 milliarder dollars i kryptovaluta, hvilket er 37 % mere end i 2021, hvor nøglekryptering var 2x-3x dyrere.
- De største angreb blev udført mod krydskædede protokoller - Axie Infinity's bromekanisme Ronin og multi-protokol-økosystemet Wormhole.
- Sammenbruddene af Terra (LUNA) økosystemet, dets vigtigste DeFi Anchor Protocol (ANC) og den USD-tilknyttede stablecoin TerraUSD (UST) bidrog til Q2-Q4, 2022, fase af den bearish recession.
- Dramaet omkring den nu hedengangne kryptobørs FTX og det associerede handelsfirma Alameda Research var det største centraliserede servicekollaps i 2022.
- På trods af de største hacks, der er meget omtalt i medierne, er langt de fleste krypto-svindel organiseret via gamle metoder: falske airdrops, ondsindede "gendannelsesprogrammer", fidusarbitrage-ordninger og lignende.
- En række større hacks så ud til at være operationer med hvide hater: Angribere returnerede de stjålne penge i bytte for imponerende fejlbelønninger.
- Næsten 12 % af alle BEP-20-tokens og 8 % af ERC-20-tokens er svigagtige; 350 nye svindelnumre lanceres dagligt.
I denne anmeldelse vil vi referere til målrettet lancerede svindel og projekter, der oprindeligt var legitime som "svindel", mens "hacks" er tredjepartsangreb på legitime projekter udført uden "insider job"-begivenheder.
Top krypto-svindel og kollaps i 2022
I 2022 mistede Bitcoin (BTC), Ethereum (ETH) og alle større kryptovalutaer over 70-80 % fra deres ATH, mens mediantabet i de fleste berørte segmenter - metaverse tokens, GameFi-tokens, Solana (SOL)-økosystemet - overstiger 90 %. Nogle crypto majors overlevede ikke et så smertefuldt fald.
Terra (LUNA)/Terra USD (UST)
EVM-kompatibel smart kontraktplatform Terra (LUNA) var blandt de mest overhypede Ethereum (ETH) dræbere i 2021. Broderparten af dens TVL var imidlertid koncentreret om Anchor Protocol (ANC), en simpel landbrugsmaskine med udbytte, der tilbød en 19 % APY på indskud i Terra USD (UST), Terras nu hedengangne USD-tilknyttede stablecoin. I alt blev mere end 20 milliarder dollars i ækvivalent låst i Anchor (ANC) i 1. kvartal 2022.
Men i begyndelsen af maj 2022 begyndte nogen aggressivt at sende UST til puljer på Curve Finance (CRV) DeFi og udveksle tokens på USD Coin (USDC). UST mistede sin pind. Terraform Labs og dets CEO Do Kwon begyndte at tilføre likviditet i UST/LUNA-mekanismen. Men på grund af et massivt kapitalløb faldt både LUNA og UST til næsten nul værdier. Terra (LUNA) blockchain blev stoppet for altid.
Som tidligere omtalt af U.Today afslørede forskere, at det var Terraform Labs, der startede sammenbruddet: massive UST-overførsler blev godkendt af Do Kwon. Terra-grundlæggeren løb angiveligt til Serbien og forsøger at udbetale sine Bitcoins (BTC) der.
Three Arrows Capital
Three Arrows Capital (3AC) blev lanceret af Su Zhu og Kyle Davies, Columbia University-alumner og Credit Suisse-veteraner, og var blandt de mest indflydelsesrige krypto-hedgefonde. Det samlede over $20 milliarder i AUM takket være at være en tidlig investor i Ethereum (ETH), Avalanche (AVAX), Solana (SOL) og andre.
Imidlertid var kollapsede LUNA et af nøgleelementerne i 3AC-porteføljen. Holdet investerede over $600 millioner i Terra (LUNA): denne enorme indsats blev slettet på to uger efter LUNA/UST-kollapset.
Den 16. juni 2022 meddelte FT, at 3AC ikke havde kunnet opfylde sine marginkrav på grund af tab i Terra's Anchor Protocol. Firmaet var også under vandet i sine positioner i Staked Ether (stETH) i Lido Finance (LDO) DeFi og i Grayscale Bitcoin Trust (GBTC). I juni lykkedes det ikke at tilbagebetale sit lån til kryptogiganten Voyager. I slutningen af juli blev firmaet likvideret af en BVI-domstol, mens 3AC-ledelsen indgav en konkursbegæring. I alt tabte 20 investorer i 3AC over 3.5 milliarder dollars.
Voyager
Den amerikansk registrerede kreditor Voyager blev også offer for dårlig risikostyring: den ydede et usikret lån på $650 millioner til Three Arrows Capital, mens dets netto-AUM var næsten $5.9 milliarder. Platformen kan prale af 3.5 millioner kunder, hvoraf 97% investerede mindre end $10,000.
Generelt kollapsede Voyager på grund af det faktum, at dets team valgte en risikabel forretningsstrategi: det tilbød lån til flere handelstjenester og individuelle cryptocurrency-handlere. Da långivere begyndte at trække deres penge i massevis, i begyndelsen af juli, indefrøs Voyager kundemidler. Et par dage senere indgav den konkursbegæring i New York.
Da platformen var fokuseret på små detailkunder, var dens sammenbrud det mest smertefulde for cryptocurrency-entusiaster.
Celsius
Celsius var faktisk det første firma, der signalerede om sine problemer: I april 2022 annoncerede platformen, at den vil holde alle aktiver fra ikke-akkrediterede investorer i depot: denne del af kunderne var derfor ude af stand til at tilføre ny likviditet og få belønninger.
I maj 2022, bange for UST- og Terra-dramaerne, begyndte brugerne at flytte penge ud af Celsius-protokollen. Den 12. juni 2022 indefrøs Celsius midlerne fra 1.7 millioner kunder (for det meste detailinvestorer). Ligesom Voyager indgav den konkursbegæring i begyndelsen af juli.
Den 14. juli 2022 delte Celsius' juridiske rådgiver Kirkland & Ellis, at platformens ledere blev informeret om et hul på 1.3 milliarder dollars i dens balance.
FTX
Sammenbruddet af Sam Bankman-Frieds kryptovalutabørs FTX og dets tilknyttede kryptoinvesteringsfirma Alameda Research var det mest overraskende drama i Web3: SBF og hans team forsøgte at få enorm kontrol over industrien ved at underskrive snesevis af partnerskaber, der blev vist på Forbes' forsider og snart.
Balancen for Alameda Research afhang imidlertid stærkt af FTX Token (FTT), FTX's oprindelige kryptovaluta. Det er grunden til, at hele systemet kollapsede, da Binance CEO Changpeng “CZ” Zhao aggressivt begyndte at sælge FTT (over 500 millioner USD i ækvivalent blev frigivet af CZ).
Ligesom i alle lignende tilfælde begyndte investorer at massehæve deres penge fra FTX. Platformen stoppede tilbagetrækningerne, SBF trådte tilbage som administrerende direktør og indgav en konkursbegæring. I mellemtiden blev det kendt, at han brugte investorers og kunders penge i sit eget handelsfirma, Alameda Research. På grund af frygtelig dårlig ledelse var Alameda Research godt under vandet. SBF blev arresteret og løsladt mod kaution, mens de realiserede tab fra FTX-kollapset toppede med 9 milliarder USD i ækvivalent.
Top kryptohack i 2022
Pr analyse af Merkle Science cybersikkerhedseksperter er broer på tværs af netværk særligt sårbare over for udnyttelser på grund af deres tekniske kompleksitet og meget eksperimentelle karakter:
Broer mellem kæder er ofte mere modtagelige for udnyttelser, da de kræver flere interaktioner og kontraktgodkendelser end de andre protokoller. Derudover er broer mere modtagelige for angreb, da de drives af ureviderede computerkoder. Desuden er identiteten af validatorer/knudepunkter, der kører transaktionerne, også ukendte
I 2022 var broer de primære mål for angreb, mens andre DeFi-mekanismer også blev udnyttet af hackere.
ormehul
Den 3. februar 2022 angreb hackere Wormhole, en bro designet til at lette sømløs værdioverførsel mellem heterogene blockchains. På grund af en sårbarhed i koden lykkedes det dem at udstede 120,000 Wrapped Ethers (wETH) på Solana (SOL) blockchain uden at stille den tilsvarende Ethereum (ETH) sikkerhed.
Hacket kan føre til insolvens af enhver DeFi-platform, der ville være klar til at acceptere 120,000 WETH (trykt ud af den blå luft) som sikkerhed. Heldigvis skete det værst tænkelige scenario ikke.
Jump Crypto, moderselskabet for Wormhole-tjenesten, tog alle tabene: de genopfyldte straks 120,000 Ethers til protokollikviditetspuljerne.
Ronin
Den 23. marts angreb nordkoreanske hackere fra Lazarus, en berygtet statsstøttet cyberkriminel gruppe, Ronin-netværket. Ronin er en Ethereum-lignende sidekæde udviklet specifikt til Axie Infinity, et flagskib GameFi. Angribere drænede Ronin for hele $568 millioner.
Hackere formåede at få kontrol over fem ud af ni validatorsignaturer til Ronin Bridge. Derefter godkendte de to transaktioner, 173,600 Ether (ETH) og 25.5 millioner USD Coin (USDC). Ud af dette monstrøse bytte blev over 445 millioner dollars hvidvasket via Tornado Cash kryptomixeren.
Axie Infinity-udvikler Sky Mavis rejste ekstra finansiering, bestilte endnu en sikkerhedsrevision af CertiK og øgede multisig-tærsklen fra 5/9 til 8/9.
Nomad
I august 2022 blev Nomad, en multi-chain bro-mekanisme, der flytter værdi mellem Avalanche (AVAX), Ethereum (ETH), Evmos (EVMOS), Moonbeam (GLMR) og andre blockchains, drænet for $190.7 millioner i krypto. Angribere formåede at udnytte en sårbarhed ved det smarte kontraktdesign: Protokollen tillod brugere at hæve midler på target blockchain uden at kontrollere, om de svarede til det oprindeligt installerede beløb.
12/ tl;dr markerede en rutineopgradering nul-hashen som en gyldig rod, hvilket havde den effekt, at beskeder blev forfalsket på Nomad. Angribere misbrugte dette til at kopiere/indsætte transaktioner og tømte hurtigt broen i en vanvittig fri for alle
— dette er nu en lortepostkonto (@samczsun) August 2, 2022
Kort sagt, efter den almindelige opgradering var brugere i stand til at indbetale 1 ETH på Ethereum (ETH) og bede om en 100 Ethereum (ETH) tilsvarende tilbagetrækning fra Avalanche (AVAX).
Sagen er, at enhver teknisk kyndig Web3-entusiast havde været i stand til at replikere denne angrebsvektor og stjæle penge fra Nomad, før patchen blev frigivet. Som sådan trak mange Ethereum (ETH)-udviklere penge tilbage bare for at sende dem tilbage til Nomad-teamet: næsten $40 millioner blev sendt tilbage.
Beanstalk
Den 16. april 2022 blev det Ethereum-baserede stablecoin-projekt Beanstalk (BEAN) mål for et sofistikeret flashlånsangreb. Det lykkedes nemlig ondsindede at få et flashlån på Aave Finance (AAVE) og købe den mængde styringstokens, der er nødvendige for at overtage kontrollen over protokollens on-chain folkeafstemninger.
Derefter fik angriberne det stemmeberettigede overflertal og godkendte en pengeoverførsel til deres egen konto. Da $180 millioner blev overført, tilbagebetalte de straks flashlånet; nettooverskuddet oversteg $80 mio.
vinterstumme
I september 2022 fik Wintermute, en af de største markedsskabende platforme, drænet sine tegnebøger for 160 millioner dollars. Angribere afslørede, at nogle af Wintermutes nøglepunge blev skabt med Profanity, en generator af "forfængelighedsadresser" til Ethereum-netværket (ETH). Sådanne programmer kan skabe kryptotegnebøger med adresser, der kan læses af mennesker, f.eks. 0xJohnDoe1111… og lignende.
På grund af en sårbarhed i Profanitys design, lykkedes det angriberne at brute-force forfængelighedsadresserne og gendanne private nøgler. Angrebet blev muligt på grund af betydelige computerressourcer, der blev brugt af ondsindede.
Bonus: Fald ikke for disse langvarige svindelnumre
Sideløbende med sofistikerede scenarier, der inkluderer $1 milliard flash-lån, dukker nordkoreanske hackere og imponerende hardware til brute-forcing, meget primitive fiduskampagner op her og der. Tre angrebsdesign er meget almindelige i krypto fra 2022:
1. Falske luftdråber. For at køre denne fidus, organiserer ondsindede enten en YouTube-annoncekampagne eller placerer deres annonce på Twitter. Så annoncerer de, at en internet-berømthed (Snoop Dogg), en top-tech-iværksætter (Vitalik Buterin eller Elon Musk) eller endda politiker (Donald Trump) flyver cryptocurrency. Alle, der er klar til at gøre krav på deres bonusser, skal enten sende en indledende indbetaling (som angiveligt ville blive returneret med en 100 % fortjeneste) eller deres private nøgler. Det er overflødigt at sige, at begge grupper vil miste deres indskud eller alle penge fra deres tegnebøger.
Sådan beskytter du dig selv: Send aldrig dine penge til "airdrop-arrangører" eller afslør aldrig dine private nøgler eller frøsætninger.
2. Håndlavede MEV-bots. Maksimal ekstraherbar værdi (MEV) er den maksimale belønning, Ethereum (ETH) netværksdeltagere kan få for deres bidrag i processen med blokvalidering. Sofistikerede teknikker giver os mulighed for at drage fordel af at optimere MEV. Svindlere placerer video- eller tekstmanualer om, hvordan man bygger dine egne "MEV-bots" for at få adgang til Ethereum (ETH) tegnebøger og dræne midler.
Sådan beskytter du dig selv: Undgå "instant" MEV-bots fra YouTube-manualer.
3. Svindlere kommer til undsætning. Da 2022 bestemt er et år med hacks, tjekker mange kryptobrugere, om deres foretrukne blockchains er brudt. Svindlere sender falske meddelelser om, at dette eller hint projekt bliver hacket og starter falske "kompensations"-programmer. Alle interesserede i kompensation bliver bedt om at sende deres frøsætninger til svindlere.
Sådan beskytter du dig selv: Tjek kun nyheder om hacks på blockchains officielle mediekanaler.
Afsluttende tanker
I 2022 blev størstedelen af kollapsene udløst af det smertefulde dyk i kryptovalutapriser, dårlig risikostyring og grådighed hos ejerne af centraliserede kryptovalutaprodukter. Det er derfor, decentralisering er en stor sag: en DAO's crowd visdom ville forhindre FTX/Celsius/Voyager-skalakollaps i at ske.
I mellemtiden bør on-chain-produkter tage sig af sikkerhedsrevisioner, opdateringer og styring af private jetfly.
Kilde: https://u.today/top-10-crypto-scams-and-hacks-of-2022