Genindtræden, prisorakelangreb og udnyttelser på tværs af syv protokoller fik decentraliseret finans (DeFi) plads til at bløde mindst 21 millioner dollars i krypto i februar.
Ifølge til DeFi-centreret dataanalyseplatform DefiLlama, en af de største i måneden var flashlånets genindtræden på Platypus Finance, som førte til 8.5 millioner dollars tabte midler.
DefiLlama fremhævede seks andre bemærkelsesværdige hacks i måneden, den første var prisorakelangrebet på BonqDAO den 1. februar.
BonqDAO: 1.7 millioner dollars
BonqDAO afslørede for sine følgere i et indlæg 1. februar, at dets Bonq-protokollen blev afsløret til et orakelangreb, der gjorde det muligt for udnytteren at manipulere prisen på AllianceBlock (ALBT) token.
Udbytteren hævede ALBT-prisen og prægede store mængder BEUR. BEUR'en blev derefter byttet til andre tokens på Uniswap. Derefter blev prisen sænket til næsten nul, hvilket udløste likvidationen af ALBT troves.
Blockchain-sikkerhedsfirmaet PeckShield estimerede tabene til omkring 120 millioner dollars, men det blev senere afsløret, at hackere angiveligt kun kun udbetalt omkring 1 million dollars på grund af manglende likviditet på BonqDAO.
Orion-protokollen: 3 millioner dollars
Blot en dag senere led decentraliseret udveksling Orion Protocol en off på omkring 3 millioner dollars den 2. februar gennem et reentrancy-angreb, hvor angribere brugte en ondsindet smart kontrakt til at dræne penge fra et mål med gentagne tilbagetrækningsordrer.
Vi har efterforsket dette meget sofistikerede angreb fra det øjeblik, det fandt sted. Vi vil ikke genåbne indbetalingsfunktionen, før vi føler os overbevist om, at fejlen er blevet rettet, hvilket først vil være efter at have bestået nye revisioner fra førende revisionsfirmaer.
— Alexey Koloskov (@alexeykoloskov) Februar 2, 2023
Orion Protocol CEO Alexey Koloskov bekræftede angrebet på det tidspunkt og forsikrede alle: "Alle brugeres midler er sikre."
"Vi har grunde til at tro, at problemet ikke var et resultat af nogen mangler i vores kerneprotokolkode, men snarere kunne være forårsaget af en sårbarhed i at blande tredjepartsbiblioteker i en af de smarte kontrakter, der bruges af vores eksperimentelle og private mæglere ," han sagde.
dForce Network: 3.65 millioner dollars
DeFi-protokollen dForce-netværket var endnu et offer i februar for et genindtræden angreb, der resulterede i tab på omkring $3.65 millioner.
I en 10. februar indlæg, dForce bekræftede udnyttelsen; men i et twist blev alle midler returneret, da hackeren kom frem som en whitehat-hacker.
2/5 Kort efter hændelsen indledte vi samtaler med udnytteren, der stod frem som hvidhat. Vi har aftalt at tilbyde en dusør og vil droppe alle igangværende efterforsknings- og retshåndhævelsesforanstaltninger.
— dForce (@dForcenet) Februar 13, 2023
"Den 13. februar 2023 blev de udnyttede midler fuldt tilbage til vores multi-sig på både Arbitrum og Optimism, en perfekt afslutning for alle," sagde dForce.
Platypus Finance: 9.1 millioner dollars
Den 16. februar DeFi-protokollen Platypus Finance blev ramt af et lynlånsangreb hvilket resulterer i, at 8.5 millioner dollars bliver drænet fra protokollen.
En obduktionsrapport fra Platypus auditor Omniscia bemærkede, at angrebet var muligt på grund af kode i forkert rækkefølge.
Den 23. februar meddelte holdet, at de søger at returnere omkring 78 % af hovedpuljens midler ved at genindføre frosne stablecoins.
Opdateret kompensationsside
Vi har opdateret vores kompensationsside i dag! Hvis du har indbetalt eller trukket LP-tokens fra vores udbytteaggregatorer før puljepausen, vil dit kompensationsbeløb blive opdateret i overensstemmelse hermed.
Mere https://t.co/GfLIn5jmtF— Platypus (++) (@Platypusdefi) Marts 3, 2023
Holdet bekræftede også anden og tredje hændelse, som førte til, at yderligere $667,000 blev udnyttet, hvilket medførte samlede tab på omkring $9.1 millioner.
Fransk politi anholdt to mistænkte i forbindelse med hacket og beslaglagt omkring 222,000 $ i kryptoaktiver den 25. februar.
Hope Finance: 1.86 millioner dollars
Et par dage senere, brugere af arbitrum-baseret algoritmisk stablecoin-projekt, Hope Finance, blev ofre for en smart kontraktudnyttelse den 20. februar, hvor omkring 2 millioner dollars blev stjålet fra brugere.
#CommunityAlert @håb_fin har annonceret, at fællesskabet er blevet snydt for ~$2 mio., hvilket gør dette til det største #exitscam på Arbitrum i 2023.
$1.86 mio. blev overført til @TornadoCash.
Hope_fin har indsendt trin for brugere til at trække deres satsede LP tilbagehttps://t.co/hJbFXiKujt
— CertiKAlert (@CertiKAlert) Februar 21, 2023
Web3-sikkerhedsfirmaet CertiK rapporterede hændelsen den 21. februar efter en meddelelse fra Hope Finance Twitter-kontoen, der underrettede brugere om fidusen.
Et medlem af CertiK-teamet fortalte dengang til Cointelegraph, at svindleren havde ændret detaljerne i den smarte kontrakt, hvilket førte til, at midler blev drænet fra Hope Finances genesis-protokol:
"Det ser ud til, at svindleren ændrede TradingHelper-kontrakten, hvilket betød, at når 0x4481 kalder OpenTrade på GenesisRewardPool, overføres midlerne til svindleren."
Dexible: $2 millioner
Multichain-udvekslingsaggregator Dexible blev ramt af en udnyttelse, der var målrettet appens selfSwap-funktion, hvor cryptocurrency for en værdi af $2 millioner gik tabt som følge af angrebet den 17. februar.
Ifølge et indlæg fra børsen den 18. februar "udnyttede en hacker en sårbarhed i vores nyeste smarte kontrakt. Dette gjorde det muligt for hackeren at stjæle penge fra enhver tegnebog, der havde en ubrugt forbrugsgodkendelse på kontrakten."
Kære Dexible-fællesskab, vi beklager at skulle informere dig om, at i de tidlige timer den 17. februar udnyttede en hacker en sårbarhed i vores nyeste smarte kontrakt. Dette gjorde det muligt for hackeren at stjæle penge fra enhver tegnebog, der havde en ubrugt forbrugsgodkendelse på kontrakten.
1/5
— Dexible (@DexibleApp) Februar 17, 2023
Efter at have undersøgt det, fandt Dexible-teamet ud af, at en angriber havde brugt appens selfSwap-funktion til at flytte krypto fra brugere, der tidligere havde autoriseret appen til at flytte deres tokens til en værdi af $2 millioner.
Efter at have modtaget tokens i deres egen smarte kontrakt, trak angriberen mønterne tilbage gennem Tornado Cash til ukendte BNB-punge.
LaunchZone: $700,000
BNB Kædebaseret decentraliseret finans (DeFi) protokol LaunchZone havde $700,000 værdi af midler drænet den 27. februar.
Ifølge til blockchain-sikkerhedsfirmaet Immunefi udnyttede en angriber en ubekræftet kontrakt til at dræne midlerne.
"Den ubekræftede kontrakt var blevet godkendt for 473 dage siden af LaunchZone-distributøren," sagde Immunefi.
Relateret: Tab af krypto-udnyttelse i januar oplevede et fald på næsten 93 % år-til-år
Tallene for februar er en markant stigning fra januar, ifølge DefiLlama-tal.
Trackeren viser kun $740,000 i hacks til DeFi-platforme i måneden på tværs af to protokoller - Midas Capital og ROE Finance.
I sin 2023 Rapport om kryptokriminalitet, afslørede blockchain-datafirmaet Chainalysis, at hackere stjal $3.1 milliarder fra DeFi-protokoller i 2022l, hvilket tegner sig for mere end 82% af det samlede beløb, der blev stjålet i året.
Kilde: https://cointelegraph.com/news/7-defi-protocol-hacks-in-feb-sees-21-million-in-funds-pilfered-defillama