17 miliardów dolarów skradzionych z kryptowalut w ciągu dekady — Oto, gdzie faktycznie trafiły te pieniądze

Siedemnaście miliardów dolarów to oszałamiająca kwota pieniędzy skradzionych z branży kryptowalut przez hakerów w ciągu dziesięciu lat, jak wynika z raportów DefiLlama dotyczących skradzionych kwot w branży kryptowalut od 2010 roku. Za każdym razem, gdy czytam tę statystykę, zatrzymuję się na chwilę, aby ją przyswoić, zanim spojrzę na nią z szerszej perspektywy. Siedemnaście miliardów dolarów to ogromna suma. Liczba „utracona” poprzez wszystkie różne sposoby kradzieży kryptowalut, takie jak ataki exploitacyjne, ataki na mosty, protokoły opróżniające i włamania na giełdy (niektóre znacznie bardziej złożone niż inne), potwierdza, że ta branża ma problem z bezpieczeństwem. Zmieniło się to, że te incydenty wzrosły wykładniczo.

Jak rozkłada się ta liczba

Usługa o nazwie DefiLlama agreguje ataki w wielu aspektach świata kryptowalut jako narzędzie pomagające zwiększyć świadomość na temat tego istotnego tematu w branży. Na podstawie danych przeanalizowanych przez DefiLlama, w ciągu ostatnich dziesięciu lat z różnych aspektów kryptowalut skradziono 17 miliardów dolarów. Jednak te kwoty dolarów nie są równomiernie rozłożone na przestrzeni tych 10 lat; znaczące zdarzenia hakerskie miały miejsce w ciągu trzech lat od 2021 do 2023 roku, kiedy to całkowita wartość zablokowana w zdecentralizowanych finansach (DeFi) gwałtownie wzrosła, i równie szybko wzrosła liczba prób włamań, gdy atakujący zdali sobie sprawę, że w DeFi lokowano dużo pieniędzy po zaledwie kilku miesiącach audytów bezpieczeństwa i testów.

Wzór ataków jest podobny. Nowy sektor kryptowalut szybko przyciąga duże przepływy kapitału – szybciej niż pieniądze mogą zostać zabezpieczone poprzez formalne audyty bezpieczeństwa kodu, szybciej niż można wyprodukować i przetestować bezpieczne technologie, i szybciej niż ktokolwiek może w pełni przeprowadzić testy warunków skrajnych, aby zobaczyć, co się dzieje, gdy 100 milionów dolarów aktywów osoby fizycznej jest przechowywanych w kontrakcie, który ma zaledwie trzy tygodnie. Atakujący obserwują te szybkie napływy pieniędzy i zaczynają szukać okazji, aby dowiedzieć się, jak mogą je naruszyć.

Mosty międzyłańcuchowe mają historię bycia celem ataków na dużą skalę. W 2022 roku exploit mostu Ronin doprowadził do utraty 625 milionów dolarów. Exploit Wormhole spowodował straty w wysokości 320 milionów dolarów, a Nomad poniósł straty w wysokości 190 milionów dolarów. Jednym z głównych powodów, dla których mosty międzyłańcuchowe są tak atrakcyjnym celem dla potencjalnych atakujących, jest to, że przechowują one wiele dużych pul aktywów po obu stronach dwóch obsługiwanych przez nie łańcuchów – w ten sposób mosty międzyłańcuchowe można rozumieć jako skarbiec znajdujący się na skrzyżowaniu dwóch systemów; zatem zabezpieczenie tego skrzyżowania jest bardzo trudne.

Anatomia ataku kryptowalutowego

Istnieje wiele różnych sposobów, w jakie hakerzy mogą kraść kryptowaluty, a ich grupowanie utrudnia zrozumienie, co się faktycznie dzieje.

Niektóre z tych ataków mają miejsce na poziomie smart kontraktów. W tego typu atakach, atakujący wykorzystuje jakąś wadę w sposobie kodowania smart kontraktu i używa tej wady do przeprowadzenia transakcji finansowej, którą smart kontrakt by na to pozwolił. Atak typu flash loan (błyskawicznej pożyczki) jest jednym z przykładów tego typu włamania. W tym przypadku, atakujący może pożyczyć dużą kwotę pieniędzy, a następnie, w ramach tej samej transakcji, manipulować wyrocznią cenową lub pulą płynności, czerpać wartość z transakcji i zwrócić pożyczone środki. Wszystko to nastąpi w ciągu kilku sekund – bez skradzionego hasła czy nieautoryzowanego użycia serwera; jedyne, co się wydarzyło, to to, że matematyka została użyta przeciwko sobie.

Innym przykładem ataku jest sytuacja, gdy ktoś uzyskuje dostęp do klucza prywatnego, który pozwala mu kontrolować skarbca protokołu lub podpisywać transakcje dla mostu. Doskonałą ilustracją tego jest atak na Ronin, w którym hakerzy sponsorowani przez państwo północnokoreańskie celowali w poszczególnych pracowników Sky Mavis (twórcy Axie Infinity), aby uzyskać wystarczający dostęp do kluczy, by opróżnić most z funduszy, pozostając niezauważonym przez sześć dni.

Ten szczegół należy rozważyć: wykrycie największego pojedynczego ataku w historii kryptowalut zajęło cały tydzień.

Następnie są ataki na scentralizowane giełdy, takie jak te, które przechowują pieniądze klientów. Upadek FTX nie był wynikiem ataku w tradycyjnym sensie, ale 400 milionów dolarów wycofanych z jego portfeli w ciągu kilku godzin po złożeniu wniosku o upadłość było prawie na pewno wynikiem ataku. Mt. Gox stracił 850 000 Bitcoinów w ciągu kilku lat, a Mt. Gox nigdy nie był w stanie zidentyfikować, co się działo, gdy atak był w toku.

Kto kradnie

Wiele z najważniejszych ataków nie jest przypadkowym oportunizmem. Grupie Lazarus z Korei Północnej przypisuje się kradzież miliardów dolarów w kryptowalutach z kilku operacji. Rząd USA objął sankcjami różne adresy portfeli z nimi związane, a szereg firm analitycznych blockchain śledziło ruch aktywów w serii coraz bardziej skomplikowanych systemów prania pieniędzy (mikserów, przeskakiwania łańcuchów i za pośrednictwem brokerów zlokalizowanych w słabo regulowanych jurysdykcjach).

Kradzież kryptowalut na tym poziomie stała się źródłem dochodów dla oficjalnie usankcjonowanego państwa narodowego. Dziwnie to brzmi, ale istnieje wiele dowodów potwierdzających to, pochodzących od wielu niezależnych organizacji badawczych.

Inne ataki są zazwyczaj przeprowadzane przez mniej wyrafinowanych hakerów (np. deweloperów, którzy znaleźli niezaudytowany protokół, zespoły próbujące wzajemnie się wyprzedzić, osoby, które wyłudzają dane od indywidualnych użytkowników).

Co branża naprawiła, a czego nie

W dzisiejszym świecie audyty bezpieczeństwa są obecnie standardową praktyką przy każdym poważnym uruchomieniu protokołu. Programy nagród za błędy (bug bounty programs) to sposób dla badaczy na uzyskanie legalnego wynagrodzenia za odkrycie luk w zabezpieczeniach, zanim zrobią to hakerzy. Wiele mostów wykorzystuje teraz bardziej zdecentralizowane zestawy walidatorów, aby zmniejszyć ryzyko pojedynczego punktu awarii.

Pomimo tych wysiłków, ataki nadal zdarzają się z bezprecedensową częstotliwością. Chociaż podjęto pewne wysiłki, aby spowolnić częstotliwość naprawdę katastrofalnych pojedynczych incydentów, całkowite skumulowane straty nadal rosną.

Rzeczywistość jest taka, że wiele elementów infrastruktury kryptowalutowej powstawało jako pospiesznie budowane produkty małych zespołów, tworzone w pośpiechu konkurencyjnym, aby wprowadzić pieniądze do obiegu, nie mając czasu na pełne przemyślenie scenariuszy „co by było gdyby” z perspektywy atakującego, który ma nieograniczony czas na atak, a także nieograniczone środki finansowe do swojej dyspozycji.

To środowisko kosztowało branżę ponad 17 miliardów dolarów w ciągu ostatniej dekady. Wynik następnej dekady zależy od tego, czy branża skutecznie wyciągnęła wnioski z tych błędów, czy po prostu stała się lepsza w dokumentowaniu swoich analiz poincydentalnych.