Kapag milyun-milyong dolyar sa crypto ang ninakaw mula sa isang decentralized finance protocol, madalas na sinusundan ito ng mahihirap na tanong—at ang $285 milyong exploit ng Drift Protocol nitong Miyerkules ay hindi naiiba.
Ang proyektong nakabase sa Solana ay naging sentro ng atensyon habang sinisiyasat ng mga mananaliksik at eksperto ang disenyo nito, nagtatanong kung ang ilang partikular na disenyo o pamamaraan ay maaaring nakapigil sa isang tao na isagawa ang isa sa mga pinakamalaking pag-atake sa DeFi kamakailan.
Sa isang post sa X, sinabi ng Drift na isang malisyosong aktor ang nakakuha ng hindi awtorisadong access sa platform nito sa pamamagitan ng isang “nobelang pag-atake,” na nagbigay ng mga kapangyarihang administratibo sa tinatawag na security council ng Drift. Idinagdag nila na ang pag-atake ay malamang na nagsasangkot ng ilang antas ng “sopistikadong social engineering.”
Ang pagnanakaw, na kabilang sa pinakamalaki sa DeFi sa kasaysayan kamakailan, ay nakasalalay sa pagpapakilala ng isang pekeng digital asset sa decentralized exchange at pagbabago ng mga limitasyon sa pag-withdraw ng platform. Matapos palakihin ang halaga ng malisyosong token, nagawa ng umaatake na mabilis na kunin ang tunay na liquidity mula sa Drift sa pamamagitan ng pag-abuso sa mga mekanismo ng paghiram.
May mga indikasyon na ang exploit ay konektado sa Democratic People's Republic of Korea, sinabi ng blockchain intelligence firm na Elliptic sa isang ulat noong Huwebes. Itinuro nila ang on-chain behavior ng umaatake, mga pamamaraan ng paglilinis ng pera, at mga indikasyon sa antas ng network.
Dahil apektado ang mga deposito ng user—at pansamantalang sinuspinde ang protocol bilang pag-iingat—nakatuon din ang mga nagmamasid sa isang pangunahing elemento ng disenyo ng Drift: isang multisignature wallet, kung saan ang mga lagda na ginawa ng dalawang pribadong key ay nagbigay-daan sa umaatake na makakuha ng malawak na kapangyarihan.
Ang mga multisignature wallet ay kumakatawan sa isang punto ng sentralisasyon para sa maraming proyekto ng DeFi, at ang insidente ay naglalantad ng hindi komportableng katotohanan na ang mga audit ng smart contract ay limitado lamang ang maaaring pigilan na pinsala, ayon kay David Schwed, COO ng SVRN at eksperto sa seguridad ng blockchain.
Sinabi niya sa Decrypt na ang Drift ang naging pinakabagong halimbawa kung paano ang mga serbisyo na naglalayong palitan ang mga financial intermediary gamit ang code ay madalas na umaasa sa maliliit na team at mga punto ng sentralisasyon tulad ng mga multisignature wallet na nagdudulot ng mga panganib sa cybersecurity.
“Lahat ng mga inhinyero ngayon ay nakatuon sa teknolohikal na bahagi ng seguridad, hindi sila nakatuon sa mga tao sa proseso,” aniya. “Kaya oo, desentralisado ang protocol, ngunit ang pamamahala nito ay sentralisado sa limang tao.”
Inihambing ni Schwed ang pagpapabaya sa seguridad ng Drift sa isa sa mga pinakakilalang hack sa DeFi, kung saan mahigit $625 milyong halaga ng digital assets ang ninakaw ng mga hacker na konektado sa North Korea noong 2022. Target nila ang Ronin, isang Ethereum sidechain na binuo para sa sikat na NFT game na Axie Infinity. Ang pag-atake ay umasa sa pagkuha ng access sa limang pribadong key, ayon sa blockchain security firm na Chainalysis.
Bagaman nakikita ng mga analyst ng blockchain ang mga bakas ng isang estado, iginigiit ng iba na ang katumpakan ng pag-atake ay nagpapahiwatig ng mas malalim na kaalaman sa protocol. Nagduda si Schwed na ang mga hacker na konektado sa North Korea ang sangkot sa hack laban sa Drift dahil pakiramdam niya, tila alam ng umaatake, marahil ay isang insider, “kung sino ang target.”
Nag-espekulasyon ang mga nagmamasid na maaaring napigilan ng isang “time lock” ang mabilis na paglitaw ng exploit. Ang feature ng smart contract na ito ay naglilimita sa pagpapatupad ng mga transaksyon o access sa mga pondo hanggang sa maabot ang isang partikular na oras sa hinaharap, na posibleng magbigay ng pagkakataon sa team ng Drift na makialam.
“Nakakatulong ang time lock para magkaroon ng oras na tumugon sa ganoong pag-atake, at makakatulong sana dito—ngunit hindi iyon ang ugat ng problema,” sabi ni Stefan Byer, managing partner sa Oak Security, sa Decrypt. “Ang pinakamalaking isyu ay—muli na naman—nakompromiso ang isang privileged key.”
Gayunpaman, iginiit ni Dan Hongfei, founder at chairman ng Neo Blockchain, na ang mga protocol tulad ng Drift na may milyun-milyong dolyar na pondo ay hindi dapat madaling maubos agad.
Sa isang post sa X, sinabi niya na ang mga time lock na nakatali sa mga kritikal na aksyon tulad ng paglilista ng mga high-risk na asset ay dapat ipatupad upang “pigilan ang isang umaatake na tapusin ang buong exploit chain sa loob ng ilang segundo.”
Ang sentimyento ay sinang-ayunan din ni Or Dadosh, founder ng crypto security infrastructure provider na Venn Network. Itinuro din niya ang mga awtomatikong circuit breaker, na nagbibigay-daan sa mga proyekto na agad na ipahinto ang operasyon kung malampasan ang abnormal na bilis ng paglabas o mga threshold ng volume.
Ilang eksperto sa seguridad ang nagtaya na hindi ang Drift ang huling proyekto ng DeFi na dumanas ng exploit tulad ng nangyari nitong Miyerkules. Binanggit nila na ang mga masasamang aktor ay lalong bumabaling sa AI, gumagamit ng mga algorithm upang magkaroon ng komprehensibong pag-unawa sa kanilang susunod na target.
“Narating na natin ang antas kung saan ang isang masamang aktor ay maaaring pekehin ang boses ng iyong ina sa isang tawag sa telepono,” sabi ni Dadosh sa Decrypt. “Nasa bagong panahon tayo kung saan ang mga financial attack ay maaaring lumitaw sa mga lugar at format na hindi man lang natin naiisip noon, isang taon na ang nakalipas.”
