В то время как крипто-хаки, похоже, имеют тенденцию к снижению, рынок не так давно пережил, безусловно, одно из величайших нападений в зарождающемся историческом прошлом торговли криптовалютной недвижимостью децентрализованного финансирования (DeFi), где безымянный хакер обнаружил уязвимость, которая могла бы использовать перекрестную -chain в протоколе цифровой инфраструктуры Poly Networks и заработайте 610 миллионов долларов США на трех отдельных блокчейнах.

Poly Network — это совместная миссия Ontology, Neo и Switcheo. Он предназначен для продвижения «альянса гетерогенных протоколов совместимости», который интегрирует блокчейны в более крупную кроссчейн-экосистему. Благодаря своей инфраструктуре протокол позволяет клиентам беспрепятственно чередовать токены в совершенно разных блокчейнах.

После более тщательного осмотра улучшения основная команда по улучшению Poly Network решила, что нападение Результат Приблизительно 273 миллиона долларов США из Ethereum, 85 миллионов долларов США в монетах США (USDC) из сети Polygon и 253 миллиона долларов США из Binance Smart Chain были скомпрометированы. Кроме того, большое количество renBTC, Wrapped Bitcoin (wBTC) и Wrapped Ether (wETH) также было потеряно в процессе майнинга.

Что касается хакерской атаки, Антон Буков, соучредитель комбинации DeFi 1inch Network, сообщил Cointelegraph, что одна из подсистем Poly Network определенно предназначена для ретрансляции контрактных взаимодействий. Пользовательский интеллект между совершенно разными блокчейнами оказался ошибочным, в том числе:

«Хакеры обошли мнимые транзакции в одной цепочке, чтобы сигнализировать о системном контракте с другой цепочкой, и передали право собственности на актив на открытый ключ хакера. Строители и аудиторы Poly Network не обнаружили никаких уязвимостей безопасности, которые позволяли бы совершать произвольные звонки людям посредством привилегированного контракта на товар. «

Носите белую шляпу

Комментируя этот вопрос, Джон Джеффрис, директор по финансовому анализу CipherTrace, рассказал Cointelegraph, что инцидент был особенно интересен по сравнению с предыдущими взломами DeFi, которые часто принимали форму быстрого кредитования и арбитража для майнинга смарт-контрактов, а кража использовалась монетами:

«По сути, хакер нашел эксплойт, который позволял им обойти приватные ключи и заключить контракт, который отправляет деньги только себе. Из всех свопов, которые хакеры использовали для обнаружения своих следов, похоже, что в какой-то момент хакер повторно использовал кошелек, в котором ранее проводились транзакции с несколькими биржами. Выдающиеся транзакции могут идентифицировать информацию KYC о нем. «

Джеффрис не только удовлетворен намерениями хакера, хотя все украденные средства снова находятся на своем месте. «Белая шляпа вряд ли предпримет шаги по сокрытию пути фонда, если она всегда намерена вернуть деньги», — заявил он.

По необычному, но увлекательному повороту событий, вскоре после взлома хакер Poly Network провел интервью в стиле «Спроси меня о чем-нибудь», используя сообщения, встроенные в транзакции Ethereum. На вопрос, почему Poly Network была сосредоточена на этом, хакер ответил: «Кроссчейн-хакерство — это модно», в том числе, что он потратил много времени на выяснение уязвимостей в сообществе, которыми можно было бы воспользоваться.

Мало того, этот хакер также сказал, что план заключался не в том, чтобы сохранить 610 миллионов долларов, а в том, чтобы раскрыть уязвимость общественности до того, как разработчики Poly Network смогут ее тайно устранить. «Мне нужно дать им [Poly Network] советы по обеспечению безопасности своего сообщества, чтобы они могли претендовать на участие в проекте стоимостью в миллиард [долларов] в будущем. Добавил он:

«Когда я обнаружил ошибку, у меня были смешанные эмоции. Спросите себя, что вы будете делать, если столкнетесь с таким состоянием. Вежливо попросить экипаж миссии позволить им устранить неисправность? Любой может оказаться предателем, если дать ему миллиард. Я не могу верить никому! Единственное решение, которое я могу рассмотреть, — это отложить его на доверенном аккаунте. «

Деньги вернулись

Poly Network опубликовала в четверг заявление, в котором объявила, что получила все средства в размере 610 миллионов долларов. перевод на мультиподписной кошелек, на который нацелен хакер. Единственные оставшиеся токены включают Tether (USDT) стоимостью 33 миллиона долларов, который был заморожен вскоре после известия об атаке.

Хакеры Poly Network начали возвращать значительную часть украденных средств в межсетевой протокол DeFi. Фактически, чуть более чем через день после события CipherTrace подтвердила, что не менее 265 миллионов долларов США в виде 1 миллиона долларов США были возвращены Poly Network; 256.2 миллиона долларов США в основном через Bitcoin BEP-2 (BTCB), Binance Neo-Ether и Binance USD (BUSD); $2.637 млн ​​в Binance Coin (BNB); и 3.4 миллиона долларов в Shiba Inu (SHIB), renBTC и Fei.

Злоумышленник с самого начала заявил, что готов вернуть украденные деньги в полном объеме (обещание было сделано в прошлый четверг) с целью преподать Poly дорогостоящий урок о недостатках безопасности.

Однако Том Робинсон, главный научный сотрудник аналитической компании Elliptic, предположил, что изменение взглядов может быть связано с тем, что прозрачность блокчейна очень затрудняет хакерам отмывание или вывод средств из украденных активов.

Себастьян Бюргель, основатель протокола защиты данных HOPR на основе Ethereum, рассказал Cointelegraph, что, хотя воровство никогда не бывает хорошим, он считает, что впечатляет то, насколько близко может быть сообщество DeFi друг к другу — от Tether, USDT стоимостью от 33 долларов. миллионов заморозок на OKEx и Binance, оказывает помощь в мониторинге оттока средств – чтобы хакеры не могли вывести или обменять соответствующие активы, добавьте:

«Надеюсь, это будет способствовать большему вниманию к безопасности и аудиту. Энтузиазм DeFi заразителен, но важно помнить, что на кону стоит большая ценность. Желание двигаться быстро не может обойти охрану. «

«Нет, спасибо», — заявил «Мистер. Белая шляпа "

Выяснив, что мотивы хакера были совершенно чисты, представитель Poly Network заявил, что фирма готова порекомендовать конкретного человека, который сделал фирму «Mr. White Hat «- бонус в размере 500,000 500,000 долларов США в виде сообщения следующего содержания: «Мы отправим вам бонус в размере XNUMX XNUMX долларов США, когда оставшийся баланс будет возвращен без заморозки USDT. «

Удивительно, но хакер вежливо отказался, заявив, что ни в коем случае не ответил на предложение. «Я верну все ваши деньги обратно», — заявил он, подписывая письмо.

Связанный: Как взламываются журналы DeFi?

Опять же, несмотря на все средства – за исключением замороженного USDT, о котором говорилось выше – похоже, что величайший взлом в истории децентрализованных финансов наконец-то завершился. И хотя идентификация злоумышленника остается загадкой, китайское агентство кибербезопасности SlowMist недавно выпустило новую версию, утверждая, что его команда безопасности готова определить адрес электронной почты, IP-адрес и отпечаток устройства злоумышленника.

Надеемся, что этот эпизод станет весьма эффективным напоминанием о том, что безопасность всегда должна иметь первостепенное значение при закладке основы любой миссии, независимо от ее технологического обеспечения. Следовательно, будет интересно увидеть, как стартапы и другие корпорации, участвующие в DeFi, развиваются и заменяют свои текущие настройки безопасности, поскольку хакерам, возможно, не придется возвращать деньги в следующий раз.