Różne rodzaje hacków kryptowalutowych i dlaczego do nich dochodzi

Przypomnijmy sobie, że finansowy system kryptowalut jest nadal w fazie rozwoju i daleko mu do ideału. Wiele zalet DeFi zamienia się w wady, z których oszuści zawsze chętnie korzystają. Dlatego ostatnio pojawia się coraz więcej wiadomości w stylu „platforma zhakowana w ataku flash loan” — bez wyjaśnienia albo z technicznymi szczegółami. W tym artykule spróbujemy wyjaśnić ten typ ataku oraz inne sposoby, w jakie można zhakować blockchain.

Atak Flash Loan

Choć temat flash loanów wciąż się rozwija, przeprowadzono już kilka zakrojonych na szeroką skalę ataków. Ponieważ flash loany nie mają limitów kwotowych i nie wymagają zabezpieczenia, można pożyczyć miliony dolarów w ETH, aby osiągnąć znaczący zysk.

Aby lepiej zrozumieć ten proces, przyjrzyjmy się samemu zjawisku flash loanu, zasadom jego działania oraz zastosowaniom.

Flash Loan to narzędzie, dzięki któremu użytkownicy DeFi mogą pożyczyć dużą kwotę środków w aktywach cyfrowych bez zabezpieczenia, na określony czas. Pożyczka bez zabezpieczenia oznacza, że uczestnicy nie muszą przedstawiać potwierdzenia dochodów ani innych zobowiązań.

Taka pożyczka bez ryzyka działa mniej więcej tak: pożyczkodawca udziela Ci tyle pieniędzy, ile chcesz, ale tylko na jedną konkretną transakcję. Do końca tej transakcji musisz zwrócić pożyczkodawcy dokładnie tyle, ile pożyczyłeś.

Jeśli nie jesteś w stanie tego zrobić, transakcja zostanie automatycznie anulowana! Innymi słowy, pożyczka jest atomowa: jeśli nie możesz jej spłacić, wszystko cofa się do stanu sprzed transakcji, jakby pożyczki w ogóle nie było.

Najczęstszą metodą wykorzystania flash loanów do osiągania zysku jest arbitraż. To proces, który wykorzystuje różnicę cen aktywów na dwóch różnych rynkach.

Inną metodą zarabiania jest „wash trade”. Ten typ handlu polega na kupowaniu i sprzedawaniu aktywa w celu zwiększenia wolumenu obrotu. Na tradycyjnych rynkach taka praktyka jest zabroniona.

Ataki z użyciem Flash Loan mogą się powieść, jeśli atakujący zdoła w pewnym stopniu manipulować rynkiem. Ataki te są realizowane poprzez arbitraż na pump and dumpach i/lub manipulowanie oraclami. Ich przeprowadzenie jest tanie, ponieważ atakujący nie zaciągają zobowiązań finansowych.

Zazwyczaj są to złożone, wieloetapowe procesy wykonywane przez bardzo doświadczonych użytkowników DeFi. W wielu przypadkach polegają na opróżnianiu pul płynności, w które zainwestowali zwykli użytkownicy, co powoduje znaczne straty u wielu osób.

Następnie przyjrzyjmy się kilku bardziej powszechnym atakom na blockchain.

Atak 51% 

Najbardziej znane zagrożenie dla sieci blockchain. Nazwa ataku jest analogią do pakietu kontrolnego w świecie biznesu. Problem tkwi w protokole Proof-of-Work, z którego korzystają projekty takie jak Bitcoin, Litecoin, Monero i inne. Jego istota polega na tym, że kilku górników dysponujących znacznym hashrate’em może uzyskać w sieci „pakiet kontrolny”, czyli mieć ponad połowę całego hashrate’u sieci.

Takie warunki pozwalają hakerowi przeprowadzić atak double-spending, w którym może on wydać większą kwotę, niż ma w swoim portfelu. W rezultacie blockchain zostaje przejęty, a wszystkie środki uczestników trafiają do rąk hakerów. W dużych sieciach szansa na taki atak jest kilkukrotnie mniejsza ze względu na dużą liczbę uczestników i drogi sprzęt.

Finney Hack

Pierwszym odbiorcą transakcji bitcoinowej był Hal Finney i to on jako pierwszy mówił o uruchomieniu bitcoina. Był też pierwszą osobą, która zasugerowała możliwość przeprowadzenia podwójnego ataku na sieć. Z tego powodu atak nazwano na jego cześć Finney Hack albo Finney Attack.

Finney Hack to rodzaj ataku double-spending, który może się zdarzyć, gdy ktoś akceptuje niepotwierdzoną transakcję online. Finney wyjaśnił, że górnik może wygenerować blok, w którym umieści transakcję z adresu A na inny adres B, przy czym oba adresy należą do niego. Następnie wykonasz kolejną płatność w tej samej walucie, wysyłając ją z adresu A na adres C (należący do innego użytkownika).

Jeśli wskazany użytkownik zaakceptuje transakcję bez potwierdzeń z sieci, oszust może zwolnić blok, w którym znajduje się jego pierwotna transakcja. Unieważnia to transakcję dokonaną przez handlarza, pozwalając atakującemu na podwójne wydanie środków.

Atak Race 

Kolejny rodzaj podwójnego wydatkowania. Niedoświadczeni i pochopni traderzy mogą wydać towar, nawet jeśli przelew się nie powiódł, ponieważ istniała próba transakcji. Niektórzy sprzedawcy stosują „płatności ekspresowe” bez wymaganych potwierdzeń dla niewielkich kwot. W portfelu odbiorcy taka transakcja będzie „w trakcie przetwarzania”, a u adresata pojawi się status „niepotwierdzona”.

Oszust może odwrócić taki przelew: wysłać transakcję zarówno do węzła sprzedawcy, jak i na swój adres w sieci, broadcastując do blockchaina tylko drugą z nich. Ostatnia transakcja zostanie uznana za ważną podczas weryfikacji, a pierwszy przelew będzie nieważny.

Aby zapobiec takiemu atakowi, nie zaleca się akceptowania połączeń przychodzących do węzła i należy poczekać na kilka potwierdzeń przelewu (3 potwierdzenia dla kwot od 1000 do 10 000 USD, 6 — od 10 000 USD do 1 mln USD, a dla jeszcze większych transakcji — do 60 potwierdzeń).

Atak Eclipse

Specyficzny rodzaj cyberataku, w którym haker tworzy sztuczny obszar wokół jednego węzła, aby kontrolować jego działania. Atakujący przekierowuje wychodzące i przychodzące dane z docelowego węzła na własny, odcinając oszukanego użytkownika od prawdziwej sieci.

Izolacja docelowego węzła pozwala potwierdzać nielegalne transakcje w jego imieniu oraz odciąć go od wiadomości z sąsiednich węzłów — haker nie musi hakować całej sieci, wystarczy mu niewielki zestaw węzłów. Do zablokowania węzła używa się botnetu lub sieci widmo, aby zasypać węzeł adresami IP do synchronizacji przy następnym połączeniu.

Konsekwencje ataku eclipse to zwykle ataki double-spending, o których wspomniano już wcześniej, a także odcięcie górnika od sieci, gdy zhakowany użytkownik zużywa prąd i czas na rozwiązywanie problemów sztucznych bloków, które nie istnieją w rzeczywistej sieci blockchain.

Ataki wykorzystujące luki kryptograficzne

Eksperci ds. cyberbezpieczeństwa zgodnie twierdzą, że najbardziej podatnym elementem każdego systemu jest człowiek i oszuści wykorzystują ten fakt. Inną konsekwencją czynnika ludzkiego są błędy w kodzie; gdy zostaną odkryte, atakujący może złamać całą sieć.

Na przykład w Ethereum oszust odkrył lukę bezpieczeństwa w kodzie źródłowym i przejął około 50 milionów dolarów w coinach, co stanowiło około 30% całkowitej podaży coinów w tamtym czasie. W wyniku tego incydentu społeczność podzieliła się na dwie grupy. Pierwsza, pod przewodnictwem twórcy Ether, była oburzona kradzieżą i proponowała przeprowadzenie hard forka oraz zwrot coinów prawowitym właścicielom. Ich przeciwnicy byli przekonani, że prawdziwym właścicielem coinów był już haker („Code is law”). W rezultacie społeczność doszła do porozumienia i zdecydowała się na utworzenie soft forka. 

Social Engineering Crypto: Phishing

Techniki te opierają się na ludzkich słabościach, a nie na technicznych umiejętnościach potencjalnego hakera. Służą do uzyskania (nieautoryzowanego) dostępu do poufnych danych, portfeli kryptowalutowych lub kont, albo do nakłonienia ofiar do pobrania złośliwego oprogramowania na komputery i sieci w celu wyrządzenia dalszych szkód. Do takich technik należą phishing, baiting, ataki quid pro quo, pretexting oraz tailgating.

Phishing jest jedną z najpopularniejszych z nich. Służy do kradzieży kluczy prywatnych, numerów kart, danych kont bankowych i innych poufnych informacji. Najprostszą wersją kryptowalutowego phishingu są dobrze znane spamowe wiadomości e-mail rzekomo wysyłane przez daną usługę internetową. W tym przypadku listy są wysyłane rzekomo w imieniu stron portfeli kryptowalutowych lub giełd. 

Takie fałszywe wiadomości wyglądają zauważalnie bardziej dopracowanie i starannie napisane niż przeciętne wiadomości phishingowe. Na przykład może to być alert bezpieczeństwa informujący, że niedawno ktoś próbował zalogować się na Twoje konto z takiej a takiej przeglądarki — kliknij link, aby sprawdzić, czy wszystko jest w porządku. Sam użytkownik mógł skonfigurować i zaakceptować odbieranie takich wiadomości na stronie portfela — i nie zauważy niczego nieoczekiwanego ani tym bardziej podejrzanego.

Podsumowanie

Jak widać, rynek krypto jest pełen zagrożeń. W artykule opisaliśmy tylko kilka typów potencjalnych oszustw. Twórcy stale pracują nad ulepszaniem protokołów bezpieczeństwa. Ale dopóki system nie jest idealny, warto pamiętać o możliwych ryzykach i nie dać się nabrać.