Branża kryptowalut i DeFi nieustannie zmaga się z problemami związanymi z lukami w zabezpieczeniach, które prowadzą do utraty środków. Nierzadko są to naprawdę pokaźne kwoty. W trzecim kwartale 2023 roku straty wynikające z tego tytułu oszacowano na 758 milionów dolarów. Zidentyfikowano 116 przypadków, co podkreśla pilną potrzebę wzmocnienia zabezpieczeń.
Ekspert odkrył krytyczną lukę w protokole DeFi
Ostatnio ekspert ds. cyberbezpieczeństwa, Marc Croc z firmy Kupia Security, odkrył kluczową lukę w protokole Curve Finance. Umożliwiła ona hakerom dostęp do środków w zablokowanej puli płynności. Luka ta była zmorą i na przestrzeni lat doprowadziła do utraty grubych milionów dolarów. Marc Croc zwrócił uwagę, że wada ta dotknęła także inne protokoły, prowadząc do naprawdę znacznych strat finansowych.
Zespół programistów Curve Finance potwierdził istnienie luki typu i podjął kroki naprawcze. Mimo że błąd nie stanowił bezpośredniego zagrożenia egzystencjalnego dla protokołu, istotnie mógł wywołać panikę wśród użytkowników. W lipcu udało się odzyskać 62 miliony dolarów, które zostały skradzione po wykorzystaniu przez hakerów właśnie tej konkretnej luki. Ponadto, członkowie protokołu zgodzili się zwrócić aktywa o wartości 49,2 miliona dolarów.
Marc Croc podzielił się swoim odkryciem na platformie X, wyrażając wdzięczność dla Curve Finance za nagrodę w wysokości 250 tysięcy dolarów, którą otrzymał za identyfikację problemu. Ponadto na koncie Curve udostępniono szczegółowe informacje na temat wpływu luki na protokół.
Jak eksperci wykrywają zagrożenia i na czym one polegają?
Eksperci ds. cyberbezpieczeństwa, identyfikujący luki w protokołach DeFi, korzystają z różnych narzędzi i technik, aby wykrywać potencjalne zagrożenia. Głównymi obszarami, na które zwracają uwagę, są wadliwe inteligentne kontrakty, wycieki prywatnych kluczy, oraz ataki typu reentrancy i frontrunning. Aby zabezpieczyć protokoły, wykorzystują audyty bezpieczeństwa, testy penetracyjne i analizy kodu źródłowego.
Luka typu reentrancy w protokołach DeFi jest jednym z bardziej złożonych zagrożeń. Atak polega na możliwości wielokrotnego wywoływania funkcji w kontrakcie inteligentnym w trakcie jego jednego wykonania, zanim zaktualizuje się jego stan. Na przykład, jeśli funkcja kontraktu pozwala na wypłatę środków, atakujący może wymusić wielokrotne wypłaty w jednej transakcji, zanim system zdąży odnotować zmianę salda.
Nagrody za wykrycie luk nierzadko są bardzo atrakcyjne i mogą osiągać znaczne kwoty. Nadrzędnym celem jest zachęcenie do współpracy z deweloperami i zwiększenie bezpieczeństwa w ekosystemie DeFi.