פריצות הקריפטו הגדולות ביותר של 2022

בשנת 2022, פרויקטים מבוססי מטבעות קריפטוגרפיים חוו סדרה של פריצות וניצולים הרסניים במה שנחשב לשנה הגרועה ביותר אי פעם בכל הנוגע לאבטחת נכסים דיגיטליים.  

בסך הכל, תדירות פריצות הקריפטו הואצה במהירות השנה, והגיעה לשיא של 3 מיליארד דולר בסך הכספים שאבדו - זינוק מ-2 מיליארד דולר שאבדו לפריצות ב-2021 - על פי a שרשרת לדווח.

השנה הראתה לנו כיצד Blackhat או האקרים זדוניים משתמשים בטקטיקות מתקדמות יותר ויותר כדי לנצל חולשות באפליקציות מבוזרות שעשויות להיות בהן באגים, כמו כל פיסת תוכנה אחרת.

בין שוד הקריפטו הגדולות של 2022, אירועי אבטחה הקשורים גשרים צולבים ופרוטוקולי כספים מבוזרים בלטו בסבל נזקים בהיקף של מאות מיליוני דולרים בניצול בודד. במהלך ניצול כזה, האקרים ניגשו וגנבו נכסי קריפטו ללא אישור על ידי ניצול נקודות תורפה בחוזים חכמים.

מאמר זה בוחן את פריצות הקריפטו הגדולות ביותר של 2022 והשתבשו לקראת כל התקפה.

רשת רונין - 625 מיליון דולר

ב-29 במרץ, רונין, רשת צד שמארחת את משחק Axie Infinity של Sky Mavis מנוצל עבור 625 מיליון דולר בנכסי קריפטו שונים, מה שהופך אותו לשוד הקריפטו הגדול ביותר עד כה. Sky Mavis פיתחה את רונין כדי לארח את משחק הבלוקצ'יין הפופולרי שלה Axie Infinity. אבל הדברים השתנו לגרוע כשהצוות לא הצליח לאבטח את רשת רונין מפני עבריינים, מאוחר יותר מזוהה להיות קבוצת הפריצה לזארוס של צפון קוריאה. 

דרך התקפת דיוג מבוססת אימייל על עובד לשעבר, קבוצת הפריצה השיגה גישה לתשתית ה-IT של Sky Mavis. שם, ההאקרים איתרו וגנבו מפתחות פרטיים לצמתי אימות הבלוקצ'יין של רונין, שהחברה אחסנה בשרתים הפנימיים שלה. כאשר הייתה להאקרים גישה למפתחות אימות, הם השתלטו על כל רשת רונין והעבירו יותר מ-173,600 אתר (ETH) ו-25.5 מיליון USDC stablecoin, בסכום כולל של למעלה מ-625 מיליון דולר. 

למרבה המזל עבור משתמשים שנלקחו כספם במהלך האירוע הזה, רובם קיבלו החזר מלא, טענה החברה. שבוע לאחר הפריצה, SkyMavis מורם 150 מיליון דולר בסבב גיוס בהובלת Binance ושילב זאת עם נכסיה שלה להחזיר לכל מי שהושפע מהניצול.

FTX - 370-400 מיליון דולר 

שלא כמו שוד אבטחה מרכזי אחר במהלך השנה - כמו אלה שהשפיעו על אפליקציות בלוקצ'יין מבוזרות הפועלות על חוזים חכמים - הבורסה הריכוזית FTX קרסה כעת לאחת הפריצות הגדולות של 2022. הפריצה ל-FTX התרחשה בנובמבר, לאחר שמנהלי הטלגרם הרשמיים של הבורסה דיווח "גישה לא מורשית." 

נתוני Onchain הראו שהבורסה היא ארנקים איבדו כספים בין 370 מיליון דולר ל $ 400 מיליון זמן קצר אחריו המנכ"ל לשעבר סם בנקמן-פריד הגיש בקשה להגנה על פשיטת רגל של פרק 11. 

כמה מ 'ערוצי edia מסוכסך שנינות הפריצההעברה חשודה נוספת של 400 מיליון דולר שבוצעה מ-FTX בהוראת נציבות ניירות הערך של איי בהאמה לשמירה על הנכסים, מה שגרם לבלבול. עם זאת, השניים היו אירועים נפרדים.

ראש ה-FTX החדש, John J. Ray III העיד הפריצה והעברת נכסים גדולה נוספת שהוזמנו על ידי הרגולטורים בהאמי היו נפרדים. זה מאומת על ידי חברת הניתוח Chainalysis, שעובדת עם FTX כדי להתחקות אחר הנכסים.

"400 מיליון הדולר שנגנבו ונפרצו מ-FTX נפרדים לחלוטין מ-400 מיליון הדולר שבידי נציבות ניירות הערך של איי בהאמה. זה לגמרי מובן שאנשים היו מבולבלים מזה, "אמר דובר מ-Chainalysis ל-The Block.

גם ריי גילה בעדות מוכנה מסמך ש-FTX אחסן מפתחות פרטיים לארנקים שלה בצורה לא מוצפנת, ואימצה בקרות אבטחה גרועות מאוד - גורמים שהיו יכולים בקלות לאפשר לפריצה להתרחש.

חור תולעת - 325 מיליון דולר 

בפברואר, Wormhole, פרוטוקול גשר חוצה שרשרת, נפרץ בניצול הגשר הגדול ביותר של השנה. חור תולעת מאפשר למשתמשים לנעול את ה-ETH שלהם ולקבל נכס מוצמד בשם Wormhole ETH (wETH) ברשת Solana. 

ב-2 בפברואר, חור תולעת נפל לידי האקר שזייף חתימות אבטחה מסוימות על הגשר והטביע 120,000 WETH בשווי $ 325 מיליון יש מאין. ההאקר החליף את ה-WETH שהוטבע באופן לא חוקי ב-ETH בפועל ברשת Ethereum, ובכך רוקנו את כל הנכסים המוחזקים ב-Wormhole. 

התקרית עצרה את פעולות הגשר ולמשך זמן מה נראה היה שהסוף של חור תולעת קרוב. זה היה מאתגר להפליא לשחזר את ההפסדים אבל להפתעת כולם, כמה ימים לאחר הפריצה, חור תולעת אמר את זה החליף כל ה-ETH שנגנב ופתחו את הגשר.

Jump Crypto, חברת מסחר והון סיכון שהטמיעה את Wormhole, אישרה שהיא החזירה את 120,000 ETH הגנובים מכספה כדי לסייע בשמירה על הגשר.

Nomad - 190 מיליון דולר 

ב-7 באוגוסט, Nomad - גשר המחבר בין רשתות הבלוקצ'יין של Ethereum, Avalanche, Moonbeam ו- Evmos - ספג את הפריצה השנייה בגודלה לגשר צולב שרשרת של השנה עם $ 190 מיליון שווי נכסים שאבדו. הפריצה נבעה מעדכון פגום שבו מפתחי Nomad ייעדו בטעות 0x00 (כתובת האפס) בתור השורש המהימן. 

פונקציה זו פירושה שכל אחד יכול למשוך כספים מהגשר מבלי לעבור את בדיקת חוזה הנאמנות ויכול לעקוף בקלות את האבטחה שלו. בתור העדכון הנושא הפך לפומבי, נגמר 300 כתובות מיהר פנימה כדי לתפוס כסף מנומד בניצול חופשי לכולם. למרבה המזל, חלק מהכתובות היו שייכות להאקרים אתיים שמאוחר יותר חזר 22 מיליון דולר חזרה לנומאד. 

Beanstalk Farms - 182 מיליון דולר

Beanstalk Farms, פרוטוקול stablecoin, היה תקף באפריל 2022 בפריצת הממשל הגדולה ביותר של השנה.

האקר לא ידוע ניצל פרצת אבטחה בארגון האוטונומי המבוזר של Beanstalk (DAO), המפקח על קבלת ההחלטות עבור פרויקט stablecoin. ב-Beanstalk, כל אחד יכול להגיש הצעה ולהעביר אותה תוך יום אם היא קיבלה את רוב קולות הבוחרים מבעלי הממשל המקומי של Beanstalk שנקרא bean. 

שחקן זדוני הגיש הצעה המבקשת מהקהילה לשלוח נכסי קריפטו מאוצר Beanstalk לכתובת הקריפטו של ההאקר. כשההצבעה עברה, ההעברה בוצעה אוטומטית.

התוקף לקח א הלוואת פלאש, הלוואה שניתן לקחת ללא כל בטחונות, אם היא מוחזרת באותה עסקה. עם זה, ההאקר נרכש מיליוני דולרים באסימוני שעועית כדי להבטיח שיש להם מספיק אסימונים כדי לאשר את ההצבעה. 

עם הטריק הזה, ההאקר הצליח להעביר כ-80 מיליון דולר באסימוני שעועית מאוצר הפרויקט בלי לדעת מפתחי הליבה של Beanstalk. אחרי זה, ההאקר מכרו את אסימוני השעועית האלה בפלטפורמה, ההפסד הסופי היה גבוה משמעותית עבור Beanstalk. חברת האבטחה PeckShield מוערך התקרית עלתה ל-Beanstalk 182 מיליון דולר בהפסדי פרוטוקול.

מנגו מרקטס - 114 מיליון דולר

למרות שלא מדובר בפריצה טכנית, פלטפורמת ההלוואות מבוססת סולאנה סבלה מניצול מסיבי של מניפולציה בשוק באוקטובר.

התוקף - מאוחר יותר נטען כי הוא סוחר DeFi אברהם אייזנברג - הוביל צוות לתקוף את שוקי מנגו כדי למשפך $ 114 מיליון בהפקדות לקוחות מהפלטפורמה. מאוחר יותר הודה במעורבותו.

ההתקפה הייתה כפולה. ראשית, אייזנברג קנה לכאורה עשרות מיליוני אסימוני מנגו לא נזילים - אותם הפקיד בפרוטוקול כבטחונות להלוואות.

שנית, עם כ-5 מיליון דולר ב-USDC stablecoin, הוא לכאורה העלה את המחיר של אסימוני מנגו מספר פעמים - ובכך הגדיל באופן מלאכותי את הערך הדולר של הפקדות הביטחונות שלו בהלוואות על מנגו. הוא הצליח לעשות זאת כי לאסימוני מנגו יש נזילות דלילה מאוד בהרבה בורסות.

שווי השוק המוגדל של אסימוני מנגו זייף אורקלות נתונים לחשוב שהנכסים שהופקדו על ידי אייזנברג שווים יותר מ-400 מיליון דולר.

עם ערך הביטחונות שנשאב, הוא לווה 114 מיליון דולר בנכסי קריפטו מתוך כוונה לא להחזיר אותם - והניב לעצמו רווח ענק. יום לאחר מכן, הוא הכריח את השלטון של מנגו לעשות זאת להעביר הצבעה, הסכים להחזיר 47 מיליון דולר כעסקת משא ומתן עם כובע לבן. בשלב זה, זהות התוקף לא הייתה ידועה.

סרנים על השרשרת עקבו אחר המתקפה עד אייזנברג. הוא הודה המעורבות שלו אבל הוא הפריך לעשות משהו לא חוקי, בטענה שהוא "משתמש בפרוטוקול כפי שתוכנן". ברור שהרשויות לא קנו את טיעון "קוד זה חוק" של אייזנברג. 

בדצמבר, אייזנברג היה שנלקח למשמורת והואשם בפשעים הקשורים למניפולציה בשוק על ידי משרד המשפטים של ארצות הברית. משרד המשפטים עצר אותו באשמת הונאת סחורות ומניפולציות בסחורות בפורטו ריקו.

BNB Token Hub - 120 מיליון דולר 

ב-6 באוקטובר ביצעה גורם לא ידוע ביצוע מבצע רחב היקף לתקוף ב-BNB Token Hub, שירות גשר הפועל בין BNB Chain - בלוקצ'יין שהוקם על ידי בורסת הקריפטו Binance - לבין Ethereum.

תוך ניצול באג במערכת ההוכחה הקריפטוגרפית של הגשר, האקר הצליח להשתלט על 2 מיליון אסימוני BNB שננעלו על הגשר ושוויו היה 550 מיליון דולר באותה עת.

ההאקר הצליח להעביר רק בין 120 מיליון דולר ל-130 מיליון דולר מ-BNB Chain ל רשתות אחרות לפני שהרשת נעצרה. ברגע שזוהתה המתקפה, הסכימו מאמתי רשת BNB להקפיא את הרשת כדי להשתלט על 430 מיליון דולר המוחזקים בכתובת של ההאקר. הרשת הייתה מושבתת במשך מספר שעות אך חזרה לפעול כעבור יום.

אופק - 100 מיליון דולר

פרוטוקול נוסף שנפל קורבן לפריצה מאסיבית היה Horizon, גשר שמחבר את Ethereum לבלוקצ'יין הרמוני. ביוני, תוקף גנב 100 מיליון דולר ננעל על הורייזון לאחר פגיעה בכמה מפתחות פרטיים בבעלות חשבונות מנהלי אבטחה ששלטו בגשר.

תהליך העברת הנכסים מחוזה הפריסה של הורייזון ל-Ethereum היה כרוך בתוכנית מרובת חתימות שהייתה זקוקה לאישור רק משני חשבונות הניהול. המשמעות היא ששחקן זדוני נאלץ לגנוב שני מפתחות פרטיים כדי לאשר העברות לא מורשות, וזה בדיוק מה שקרה, שכן ציין על ידי חברת האבטחה Halborn. 

לאחר השגת גישה לשניים מהמפתחות הפרטיים של הגשר, אולי באמצעות התקפות דיוג על המנהלים. ואז ההאקר הצליח לאשר עסקה שהוציאה 100 מיליון דולר לשליטתם.

קוביט - 80 מיליון דולר 

Qubit, פרוטוקול ההלוואות והגשר של שרשרת BNB, היה היעד לפריצת הקריפטו הראשונה בקנה מידה גדול של השנה בינואר. ב-Qubit, משתמשים יכלו להפקיד אתר (ETH) מאתריום והגשר הנפיק נכס מוצמד "xETH" ברשת BNC. xETH יכול לשמש כבטוחה בפלטפורמת ההלוואות של Qubit.

ב-27 בינואר, האקר ומנוצל פגיעות לוגית תוכנה ב-Qubit שהפכה את xETH זמין לשימוש ברשת BNB מבלי שהפקיד ETH ב-Ethereum. אופי הפגיעות היה כזה שאפשר לתוקף להטביע כמות גדולה של xETH מבלי להפקיד נכסים אמיתיים.

לאחר שההאקר הצליח להטביע הרבה xETH, הם לקחו כמה הלוואות מ-Qubit עם האסימונים האלה כבטוחה. בסופו של דבר, התוקף רוקן את כל 206,000 ה-BNB המוחזקים על קוביט פיננסים על ידי לקיחת הלוואות בלולאה, בשווי של כ-80 מיליון דולר באותה עת.

כתב ויתור: החל משנת 2021, מייקל מקפרי, המנכ"ל לשעבר ובעלי הרוב של The Block, לקח סדרה של הלוואות ממייסד ומנכ"ל FTX ו-Alameda לשעבר, סם בנקמן-פריד. מקפרי התפטר מהחברה בדצמבר 2022 לאחר שלא חשף את העסקאות הללו.