Wanneer miljoenen dollars aan crypto worden gestolen van een gedecentraliseerd financiën protocol, volgen er vaak lastige vragen—en de exploitatie van $285 miljoen van Drift Protocol op woensdag is daarop geen uitzondering.
Het op Solana gebaseerde project is in de schijnwerpers komen te staan nu onderzoekers en experts het ontwerp ervan grondig bekijken, en vragen oproepen over de vraag of bepaalde ontwerpkenmerken of procedures hadden kunnen voorkomen dat iemand een van de meest lucratieve DeFi-aanvallen uit het recente verleden kon uitvoeren.
In een bericht op X meldde Drift dat een kwaadwillende actor ongeautoriseerde toegang kreeg tot hun platform via een "nieuwe aanval", die administratieve bevoegdheden verleende over de zogenaamde veiligheidsraad van Drift. Ze voegden eraan toe dat de aanval waarschijnlijk een zekere mate van "geavanceerde social engineering" met zich meebracht.
De diefstal, een van de grootste in de recente DeFi-geschiedenis, draaide om het introduceren van een nep digitaal activum op de gedecentraliseerde exchange en het aanpassen van de opnamelimieten van het platform. Na het opblazen van de waarde van de kwaadwillende token, kreeg de aanvaller de mogelijkheid om snel echte liquiditeit uit Drift te onttrekken door misbruik te maken van leenmechanismen.
Er zijn aanwijzingen dat de exploitatie verband houdt met de Democratische Volksrepubliek Korea, zo zei blockchain-intelligentiebedrijf Elliptic in een rapport op donderdag. Ze wezen op het on-chain gedrag van de aanvaller, witwasmethodologieën en netwerkniveau-indicatoren.
Nu gebruikersdeposito's zijn getroffen—en het protocol uit voorzorg is bevroren—richten toeschouwers zich ook op een kernelement van het ontwerp van Drift: een multisignature wallet, waarbij handtekeningen geproduceerd door twee private keys de aanvaller in staat stelden om verregaande bevoegdheden te verkrijgen.
Multisignature wallets vertegenwoordigen een punt van centralisatie voor veel DeFi-projecten, en het incident legt de ongemakkelijke realiteit bloot dat smart contract audits slechts zoveel schade kunnen voorkomen, aldus SVRN COO en blockchain-beveiligingsexpert David Schwed.
Hij vertelde Decrypt dat Drift het nieuwste voorbeeld is geworden van hoe diensten die financiële intermediairs willen vervangen door code, vaak afhankelijk zijn van kleine teams en centralisatiepunten zoals multisignature wallets die cyberbeveiligingsrisico's met zich meebrengen.
"Alle ingenieurs richten zich vandaag de dag op de technologische kant van beveiliging, ze richten zich niet op de mensen in het proces," zei hij. "Dus ja, het protocol is gedecentraliseerd, maar de governance ervan is gecentraliseerd bij vijf mensen."
Schwed vergeleek het beveiligingslek van Drift met een van de meest beruchte DeFi-hacks, waarbij in 2022 meer dan $625 miljoen aan digitale activa werd gestolen door hackers die gelinkt waren aan Noord-Korea. Ze viseerden Ronin, een Ethereum sidechain ontwikkeld voor het populaire NFT-spel Axie Infinity. De aanval vertrouwde op het verkrijgen van toegang tot vijf private keys, aldus blockchain-beveiligingsbedrijf Chainalysis.
Terwijl blockchain-analisten de vingerafdrukken van een natiestaat zien, beweren anderen dat de precisie van de aanval duidt op een intiemere kennis van het protocol. Schwed betwijfelde of hackers gelinkt aan Noord-Korea betrokken waren bij de hack tegen Drift, omdat het lijkt alsof de aanvaller, mogelijk een insider, "wist wie hij moest aanvallen."
Toeschouwers hebben gespeculeerd dat een "time lock" had kunnen voorkomen dat de exploitatie zo snel plaatsvond. De smart contract-functie beperkt de uitvoering van transacties of toegang tot fondsen totdat een specifiek toekomstig tijdstip is bereikt, wat het team van Drift mogelijk een venster zou bieden om in te grijpen.
"Time locks zijn nuttig om tijd te winnen om op zo'n aanval te reageren, en zouden hier geholpen hebben—maar dat is niet de hoofdoorzaak," vertelde Stefan Byer, managing partner bij Oak Security, aan Decrypt. "Het grootste probleem was dat—alweer—een bevoorrechte sleutel was gecompromitteerd."
Toch betoogde Dan Hongfei, oprichter en voorzitter van Neo Blockchain, dat protocollen zoals Drift die miljoenen dollars aan fondsen bevatten, niet direct leeg te halen moeten zijn.
In een bericht op X zei hij dat time locks gekoppeld aan kritieke acties zoals het noteren van activa met een hoog risico, moeten worden afgedwongen om "te voorkomen dat een aanvaller de gehele exploitatieketen binnen enkele seconden voltooit."
Dit sentiment werd herhaald door Or Dadosh, oprichter van crypto-beveiligingsinfrastructuurprovider Venn Network. Hij wees ook op automatische stroomonderbrekers, die projecten in staat stellen om operaties onmiddellijk te pauzeren als abnormale uitstroomssnelheid of volumelimieten worden overschreden.
Verschillende beveiligingsexperts gokten dat Drift niet het laatste DeFi-project zou zijn dat te lijden heeft onder een exploit zoals die van woensdag. Ze merkten op dat kwaadwillende actoren steeds vaker hun toevlucht nemen tot AI, waarbij ze algoritmen gebruiken om een uitgebreid inzicht te krijgen in hun volgende doelwit.
"We hebben een niveau bereikt waarop een kwaadwillende actor de stem van je moeder kan spoofen tijdens een telefoongesprek," vertelde Dadosh aan Decrypt. "We leven in een nieuw tijdperk waarin financiële aanvallen kunnen opduiken op plaatsen en in formaten die we een jaar geleden niet eens hadden kunnen bedenken."
