Hackers got away with $440M in 28 exploits in Q3: Report

Cointelegraph · 2024-10-04T14:06:45.000Z

The third quarter saw the smallest losses from hacks that the industry has seen in the last three years, according to a report by cybersecurity company Hacken. About $460 million was stolen across 28 incidents. Still, the recovery rate was the lowest in recent years at only 5%. Hacken breaks down this data along with the broader state of Web3 security in Q3. It also discusses major types of attacks, the most affected project categories and strategies for mitigation. Download a full version of the report for free here Access control attacks remain the most detrimental Exploits of access control mechanisms accounted for $316 million, or almost 70% of the total funds stolen in crypto hacks in Q3. The perpetrators of such attacks gain control over the keys that control smart contracts. Once in control of the keys, they can withdraw funds from the contract to their own wallets or upgrade the proxy contract implementation to activate the withdrawal function. Losses across various attack types in 2024. Source: Hacken Smart contract vulnerabilities were second in Q3 losses. Smart contracts are sometimes vulnerable to reentrancy attacks, which involve calling the withdrawal function multiple times while the contract’s state fails to properly update before a withdrawal of funds is executed. This type of attack is especially detrimental for protocols with liquidity pools, as they can be drained by a series of multiple recursive calls in a single transaction. Minterest suffered from one of the three reentrancy attacks in Q3, suffering a $1.46 million loss. The execution of the hack is described in detail in the report. Download a full version of the report for free here Centralized exchanges endured the biggest losses Centralized exchanges were the most-exploited projects by amount of funds. The biggest hack was to WazirX India on July 18, when its Ethereum multisig wallet was compromised. The hacker manipulated the exchange’s multisig wallet by obtaining three signatures from employees and one from Liminal, a digital asset custody provider. With four signatures out of six, the actor was able to drain over $230 million. The stolen funds are yet to be recovered. The exchange and Liminal ran independent audits but found no security breaches, which has sparked debate about a possible inside job. Mostly due to the magnitude of the WazirX hack, exploits of centralized exchanges recorded the highest losses in Q3. The hacks of yield aggregators and cross-chain bridges come next in the statistics. Still, bridges were only compromised on three occasions. One victim was Ronin Bridge, but luckily for its users, a white hat MEV bot front ran the malicious transaction and returned the funds shortly afterward. Losses to crypto hacks across different project types: Source: Hacken Lending and borrowing protocols were deprived of $19.6 million in Q3. Even industry leader Aave fell victim to an exploit of a periphery contract, which resulted in a loss of $56,000. The attack on Aave was executed in one transaction, meaning that it could not have been spotted or stopped. The majority of decentralized finance (DeFi) exploits involve multiple transactions, such as a malicious proxy update or consecutive withdrawals from a pool. The consequences of such exploits can be mitigated if the state of smart contracts is constantly monitored and action is taken immediately. The Automated Incident Response Strategy system developed by Hacken can be customized to provide such protections. It can be triggered to pause a smart contract if certain conditions are met or to freeze funds withdrawn in a suspicious transaction. According to Hacken, about 28.7% of the losses from DeFi hacks could have been prevented if the target companies had used monitoring and automated incident report systems. Download a full version of the report for free here The Nexera exploit — a case study A scammer exploited the DeFi protocol Nexera and drained 47.2 million NXRA, the platform's native token. He managed to swap 15 million NXRA before the team was able to pause the contract. The attack resulted in a loss of $1.5 million. With the Automated Incident Response Strategy by Hacken, the pausing function could have been programmed to activate immediately when the proxy was upgraded. As soon as the pause function is activated, no tokens can be transferred, meaning that the stolen funds cannot be swapped. Five other such cases in which the Automated Incident Response strategy would have worked are discussed in the report. These include a reentrancy attack on Penpie causing $27 million in losses, and a Ronin bridge exploit resulting in $12 million siphoned from the protocol. Hacks that could have been averted with the Automated Incident Response Strategy. Source: Hacken The opinions expressed in this article are for general informational purposes only. They are not intended to provide specific advice or recommendations for any individual or on any particular security or investment product.

Saskaņā ar kiberdrošības uzņēmuma Hacken ziņojumu trešajā ceturksnī bija mazākie zaudējumi no uzlaušanas, kādu nozare ir piedzīvojusi pēdējo trīs gadu laikā. 28 incidentu laikā tika nozagti aptuveni 460 miljoni USD. Tomēr atgūšanas līmenis bija zemākais pēdējos gados - tikai 5%. Hacken sadala šos datus kopā ar plašāku Web3 drošības stāvokli trešajā ceturksnī. Tajā aplūkoti arī galvenie uzbrukumu veidi, visvairāk skartās projektu kategorijas un to mazināšanas stratēģijas. 
Lejupielādējiet pilnu pārskata versiju bez maksas šeit
Piekļuves kontroles uzbrukumi joprojām ir viskaitīgākie
Piekļuves kontroles mehānismu izmantošana veidoja 316 miljonus ASV dolāru jeb gandrīz 70% no kopējiem līdzekļiem, kas tika nozagti kriptovalūtu uzlaušanā trešajā ceturksnī. Šādu uzbrukumu veicēji iegūst kontroli pār atslēgām, kas kontrolē viedos līgumus. Kad viņi pārvalda atslēgas, viņi var izņemt līdzekļus no līguma savā makā vai jaunināt starpniekservera līguma ieviešanu, lai aktivizētu izņemšanas funkciju.
Zaudējumi dažādu veidu uzbrukumos 2024. gadā. Avots: Hacken
Viedā līguma ievainojamība bija otrā ceturkšņa zaudējumos. Viedie līgumi dažkārt ir neaizsargāti pret atkārtotas ienākšanas uzbrukumiem, kas ietver izņemšanas funkcijas izsaukšanu vairākas reizes, kamēr līguma stāvoklis netiek pareizi atjaunināts, pirms tiek veikta līdzekļu izņemšana. Šāda veida uzbrukumi ir īpaši kaitīgi protokoliem ar likviditātes pūliem, jo ​​tos var iztukšot vairāku rekursīvu zvanu sērija vienā darījumā. Minterests cieta no viena no trim atkārtotas ienākšanas uzbrukumiem trešajā ceturksnī, ciešot 1,46 miljonu dolāru zaudējumus. Uzlaušanas izpilde ir detalizēti aprakstīta ziņojumā. 
Šeit bez maksas lejupielādējiet pilnu pārskata versiju
Lielākos zaudējumus cieta centralizētās biržas
Centralizētās biržas bija visvairāk izmantotie projekti pēc līdzekļu apjoma. Lielākais uzlauzts WazirX India tika veikts 18. jūlijā, kad tika apdraudēts tā Ethereum multisig maciņš. Hakeris manipulēja ar biržas multisig maku, iegūstot trīs parakstus no darbiniekiem un vienu no Liminal, digitālo aktīvu glabāšanas nodrošinātāja. Ar četriem parakstiem no sešiem aktieris spēja iztērēt vairāk nekā 230 miljonus dolāru. Nozagtie līdzekļi vēl nav atgūti. Birža un Liminal veica neatkarīgas revīzijas, taču neatrada nekādus drošības pārkāpumus, kas ir izraisījis diskusijas par iespējamu iekšējo darbu.
Lielākoties WazirX uzlaušanas apjoma dēļ centralizēto biržu ekspluatācijas 3. ceturksnī reģistrēja lielākos zaudējumus. Nākamais statistikā ir ienesīguma apkopotāju un šķērsķēžu tiltu uzlauzumi. Tomēr tilti tika apdraudēti tikai trīs reizes. Viens upuris bija Ronin Bridge, taču par laimi tā lietotājiem, balta cepure MEV robota priekšpuse veica ļaunprātīgu darījumu un neilgi pēc tam atgrieza līdzekļus.
Zaudējumi kriptovalūtu uzlaušanas rezultātā dažādos projektu veidos: Avots: Hacken
Kreditēšanas un aizņemšanās protokoliem trešajā ceturksnī tika atņemti 19,6 miljoni ASV dolāru. Pat nozares līderis Aave kļuva par upuri perifērijas līguma izmantošanai, kā rezultātā tika zaudēti 56 000 USD. Uzbrukums Aave tika veikts vienā darījumā, kas nozīmē, ka to nevarēja pamanīt vai apturēt. Lielākā daļa decentralizētās finansēšanas (DeFi) darbību ietver vairākus darījumus, piemēram, ļaunprātīgu starpniekservera atjauninājumu vai secīgu izņemšanu no kopas. Šādas izmantošanas sekas var mazināt, ja viedo līgumu stāvoklis tiek pastāvīgi uzraudzīts un nekavējoties tiek veikti pasākumi. 
Hacken izstrādāto automatizēto incidentu reaģēšanas stratēģijas sistēmu var pielāgot, lai nodrošinātu šādu aizsardzību. To var aktivizēt, lai apturētu viedo līgumu, ja ir izpildīti noteikti nosacījumi, vai iesaldētu līdzekļus, kas izņemti aizdomīgā darījumā. Pēc Hakena teiktā, aptuveni 28,7% no DeFi uzlaušanas zaudējumiem būtu bijis iespējams novērst, ja mērķa uzņēmumi būtu izmantojuši uzraudzības un automatizētas incidentu ziņošanas sistēmas. 
Šeit bez maksas lejupielādējiet pilnu pārskata versiju
Nexera izmantošana — gadījuma izpēte
Krāpnieks izmantoja DeFi protokolu Nexera un iztērēja 47,2 miljonus NXRA, platformas sākotnējo marķieri. Viņam izdevās apmainīt 15 miljonus NXRA, pirms komanda paspēja pārtraukt līguma darbību. Uzbrukuma rezultātā tika nodarīti zaudējumi 1,5 miljonu dolāru apmērā. 
Izmantojot Hacken automatizēto reaģēšanas uz incidentiem stratēģiju, pauzes funkciju varēja ieprogrammēt tā, lai tā tiktu aktivizēta nekavējoties, kad tika jaunināts starpniekserveris. Tiklīdz pauzes funkcija ir aktivizēta, žetonus nevar pārsūtīt, kas nozīmē, ka nozagtos līdzekļus nevar apmainīt. Ziņojumā ir apskatīti vēl pieci šādi gadījumi, kuros būtu darbojusies automatizētās reaģēšanas uz incidentiem stratēģija. Tajos ietilpst atkārtots uzbrukums Penpie, radot 27 miljonu dolāru zaudējumus, un Roninas tilta ekspluatācija, kā rezultātā no protokola tika izņemti 12 miljoni dolāru. 
Uzlauzumi, kurus varēja novērst, izmantojot automatizēto incidentu reaģēšanas stratēģiju. Avots: Hacken
Šajā rakstā izteiktie viedokļi ir paredzēti tikai vispārīgiem informatīviem nolūkiem. Tie nav paredzēti, lai sniegtu īpašus padomus vai ieteikumus kādai fiziskai personai vai par kādu konkrētu vērtspapīru vai ieguldījumu produktu.

Apskati vairāk satura no autora

Jaunākās ziņas