Revisão dos ataques a pontes de cadeia cruzada: 10 casos significativos envolvendo 1.9 bilhões de dólares, 1.55 bilhões já recuperados ou compensados
Com o contínuo desenvolvimento do ecossistema blockchain, as pontes de cadeia cruzada, como infraestrutura fundamental que conecta diferentes blockchains, têm atraído grande atenção quanto à sua segurança. Nos últimos anos, vários ataques a pontes de cadeia cruzada resultaram em enormes perdas financeiras, gerando amplas discussões na indústria. Este artigo revisará 10 casos de ataques a pontes de cadeia cruzada que tiveram um impacto profundo, resumindo as lições e insights aprendidos.
ChainSwap: Perda de 8 milhões de dólares em dois ataques
Em julho de 2021, o ChainSwap sofreu dois ataques de hackers em apenas 9 dias. O primeiro ataque resultou em uma perda de cerca de 800 mil dólares, enquanto o segundo atingiu até 8 milhões de dólares, afetando mais de 20 projetos que usavam o ChainSwap para realizar operações de cadeia cruzada.
Após investigação, os atacantes exploraram uma vulnerabilidade no protocolo relacionada à validação da validade das assinaturas, conseguindo concluir transações utilizando assinaturas geradas por eles mesmos. Como a principal perda foi dos tokens de governança do projeto, vários projetos afetados optaram por realizar um snapshot e reemitir os tokens para compensar as perdas dos detentores e LP.
Poly Network: 610 milhões de dólares recuperados na totalidade após o roubo
No dia 10 de agosto de 2021, a Poly Network sofreu o maior ataque DeFi da época. Os hackers roubaram cerca de 610 milhões de dólares em ativos nos três redes: Ethereum, Binance Smart Chain e Polygon.
O ataque explorou uma vulnerabilidade na lógica de gestão de permissões do contrato Poly Network. O hacker conseguiu substituir o Keeper da cadeia alvo por um endereço que controlava, obtendo assim a permissão para assinar a transferência de ativos.
Apesar de os hackers terem planejado cuidadosamente o ataque, acabaram por escolher devolver todos os fundos roubados. A Poly Network chamou-os de "hackers de chapéu branco" e propôs contratar a outra parte como conselheiro de segurança chefe. Este incidente destaca os enormes desafios de segurança que as pontes de cadeia cruzada enfrentam.
Multichain: Perda de 6 milhões de dólares devido a vulnerabilidade já compensada
Em janeiro de 2022, a Multichain descobriu uma vulnerabilidade significativa que afetava vários tokens. Embora a vulnerabilidade tenha sido corrigida, ainda há alguns usuários que sofreram perdas devido à falta de revogação de autorização em tempo hábil. De acordo com o relatório oficial, um total de 7962 endereços de usuários foram afetados, resultando em cerca de 6,04 milhões de dólares em ativos roubados.
A análise da equipe de segurança indicou que o ataque se originou da negligência da Multichain ao validar a legitimidade dos Tokens enviados pelos usuários. A equipe já recuperou cerca de 50% dos fundos roubados e propôs um plano de compensação, mas limitado apenas aos usuários que revogaram a autorização dentro do prazo estipulado.
QBridge: perda de 80 milhões de dólares apenas compensada em 2%
No final de janeiro de 2022, a ponte de cadeia cruzada QBridge do protocolo de empréstimo Qubit foi atacada, resultando em uma perda de cerca de 80 milhões de dólares. O atacante explorou uma vulnerabilidade lógica do QBridge ao processar transferências de tokens na lista branca, conseguindo cunhar uma grande quantidade de tokens xETH do nada na BSC e usar esses tokens falsos para emprestar outros ativos do Qubit.
Atualmente, o projeto Qubit está quase paralisado, 98% dos fundos roubados ainda não foram reembolsados, refletindo a realidade de que alguns projetos têm dificuldade em se recuperar após sofrerem um grande incidente de segurança.
Meter.io: perda de 4,4 milhões de dólares, compromete-se a pagar com futuros lucros
Em fevereiro de 2022, a ponte de cadeia cruzada Meter Passport sofreu um ataque, resultando em uma perda de 4,4 milhões de dólares. As autoridades reconheceram que o problema estava na "supondo confiança errada" no código subjacente, permitindo que os atacantes falsificassem transferências de BNB e ETH.
A Meter inicialmente planejou compensar os usuários por perdas com o token MTRG, mas após votação da comunidade decidiu emitir um novo token PASS como compensação e prometeu recomprar com os lucros futuros. No entanto, até agora nenhuma ação de recompra substancial foi realizada.
Ronin: 620 milhões de dólares foram roubados, já foram reembolsados na totalidade
Em março de 2022, a cadeia Ronin por trás do Axie Infinity sofreu um roubo significativo de 620 milhões de dólares. Este ataque destacou o perigo da engenharia social na segurança cibernética. Os atacantes conseguiram infiltrar-se no sistema da Sky Mavis através de um elaborado esquema de recrutamento falso, conseguindo controlar a maioria dos nós de validação da rede Ronin.
Apesar de os fundos roubados não terem sido recuperados, a Sky Mavis conseguiu fornecer aos usuários uma compensação total através de um financiamento adicional de 150 milhões de dólares. Este evento também levou a uma atualização abrangente dos mecanismos de segurança da rede Ronin.
Wormhole: 326 milhões de dólares em perdas, rapidamente compensados
Em fevereiro de 2022, o protocolo de cadeia cruzada Wormhole foi alvo de um ataque hacker, resultando numa perda de cerca de 120 mil ETH, no valor de 326 milhões de dólares. O atacante explorou uma vulnerabilidade de verificação de assinatura no contrato do lado Solana, conseguindo cunhar uma grande quantidade de whETH falso.
É importante notar que a Jump Crypto injetou rapidamente 120 mil ETH, preenchendo a lacuna de financiamento do Wormhole, permitindo que o protocolo retomasse rapidamente suas operações. Esta ação demonstra a importância de um forte apoio financeiro na gestão de crises.
EvoDeFi: milhões de dólares em perdas não foram tratadas
Em junho de 2022, o USDT desestabilizou-se severamente na DEX ValleySwap do ecossistema Oasis, causando perdas estimadas em dezenas de milhões de dólares. O problema originou-se da falta de liquidez na cadeia de origem da ponte de cadeia cruzada EVODeFi utilizada.
Infelizmente, este evento ainda não foi tratado adequadamente. As partes envolvidas rapidamente se desassociaram, a equipe do projeto está na verdade em estado de desaparecimento, e as perdas dos usuários não podem ser compensadas. Isso destaca a falta de responsabilidade e capacidade de resposta de alguns projetos quando enfrentam uma crise significativa.
Horizon: Quase 100 milhões de dólares foram roubados, o plano de compensação ainda está em discussão
Em junho de 2022, a ponte de cadeia cruzada Horizon da Harmony foi atacada, resultando em uma perda de cerca de 100 milhões de dólares. A investigação revelou que o ataque provavelmente foi causado por uma violação da chave privada, expondo os riscos potenciais do mecanismo de múltiplas assinaturas.
A Harmony propôs anteriormente compensar os usuários gradualmente ao longo de 3 anos através da emissão de novos tokens, mas não conseguiu obter o apoio unânime da comunidade. Atualmente, um novo plano de compensação ainda está em elaboração, refletindo os desafios em equilibrar os interesses de todas as partes e manter a estabilidade do ecossistema.
Nomad: 190 milhões de dólares desaparecidos, parte dos fundos pode ser recuperada
Em agosto de 2022, a ponte de cadeia cruzada Nomad perdeu cerca de 190 milhões de dólares devido a um simples erro de programação. Os atacantes exploraram um erro na configuração de um parâmetro crucial durante a atualização do contrato, permitindo um ataque para retirar fundos sem qualquer operação complexa.
Este evento envolve um grande número de endereços, incluindo hackers éticos. Atualmente, parte dos fundos já foi comprometida a ser devolvida, mas o plano de compensação específico ainda não foi determinado. Isso destaca a importância da auditoria de código e da gestão de upgrades em projetos DeFi.
Resumo e Sugestões
Ao rever esses eventos de ataque a pontes de cadeia cruzada, podemos tirar as seguintes lições importantes:
As pontes de cadeia cruzada, como alvos de alto valor, enfrentam sempre grandes ameaças à segurança. Mesmo os projetos com alta classificação de liquidez não estão isentos de ataques, e os usuários devem manter-se altamente vigilantes ao utilizá-los.
O histórico e a solidez financeira da equipe do projeto são cruciais para a resolução após um incidente. Equipes com recursos geralmente conseguem recuperar ativos ou efetuar compensações mais rapidamente, como demonstrado pelos casos da Poly Network, Ronin e Wormhole.
A monitorização em tempo real e um mecanismo de resposta rápida são fundamentais para prevenir ataques. Alguns projetos, como o Hop Protocol e o StarGate, conseguiram impedir ataques potenciais através da deteção e tratamento oportuno de atividades suspeitas.
A importância da auditoria de código, testes de segurança e gestão de atualizações não pode ser subestimada. Muitos ataques têm origem em simples erros de programação ou falhas lógicas, destacando a necessidade de medidas de segurança abrangentes e rigorosas.
A governança da comunidade desempenha um papel importante na gestão de crises. Um processo de elaboração de um plano de compensação transparente e justo ajuda a manter a confiança dos usuários e o desenvolvimento a longo prazo do projeto.
Com o contínuo desenvolvimento da tecnologia de cadeia cruzada, a segurança continuará a ser um tema central nesta área. As partes do projeto, desenvolvedores e usuários precisam permanecer vigilantes e trabalhar juntos para construir um ecossistema de cadeia cruzada mais seguro e confiável.
Ver original
Esta página pode conter conteúdo de terceiros, que é fornecido apenas para fins informativos (não para representações/garantias) e não deve ser considerada como um endosso de suas opiniões pela Gate nem como aconselhamento financeiro ou profissional. Consulte a Isenção de responsabilidade para obter detalhes.
23 Curtidas
Recompensa
23
4
Compartilhar
Comentário
0/400
CryptoComedian
· 08-05 08:35
Hacker: Nove dias, dois ataques, esta onda é um duplo prazer.
Ver originalResponder0
OvertimeSquid
· 08-03 14:53
As explorações de vulnerabilidades são todas tão semelhantes, não é? Muda o script, copia e cola.
Ver originalResponder0
FUD_Whisperer
· 08-03 14:52
O maior risco de segurança são os profissionais de tecnologia.
10 casos de ataque a pontes de cadeia cruzada: lições e insights por trás da perda de 1,9 mil milhões de dólares
Revisão dos ataques a pontes de cadeia cruzada: 10 casos significativos envolvendo 1.9 bilhões de dólares, 1.55 bilhões já recuperados ou compensados
Com o contínuo desenvolvimento do ecossistema blockchain, as pontes de cadeia cruzada, como infraestrutura fundamental que conecta diferentes blockchains, têm atraído grande atenção quanto à sua segurança. Nos últimos anos, vários ataques a pontes de cadeia cruzada resultaram em enormes perdas financeiras, gerando amplas discussões na indústria. Este artigo revisará 10 casos de ataques a pontes de cadeia cruzada que tiveram um impacto profundo, resumindo as lições e insights aprendidos.
ChainSwap: Perda de 8 milhões de dólares em dois ataques
Em julho de 2021, o ChainSwap sofreu dois ataques de hackers em apenas 9 dias. O primeiro ataque resultou em uma perda de cerca de 800 mil dólares, enquanto o segundo atingiu até 8 milhões de dólares, afetando mais de 20 projetos que usavam o ChainSwap para realizar operações de cadeia cruzada.
Após investigação, os atacantes exploraram uma vulnerabilidade no protocolo relacionada à validação da validade das assinaturas, conseguindo concluir transações utilizando assinaturas geradas por eles mesmos. Como a principal perda foi dos tokens de governança do projeto, vários projetos afetados optaram por realizar um snapshot e reemitir os tokens para compensar as perdas dos detentores e LP.
Poly Network: 610 milhões de dólares recuperados na totalidade após o roubo
No dia 10 de agosto de 2021, a Poly Network sofreu o maior ataque DeFi da época. Os hackers roubaram cerca de 610 milhões de dólares em ativos nos três redes: Ethereum, Binance Smart Chain e Polygon.
O ataque explorou uma vulnerabilidade na lógica de gestão de permissões do contrato Poly Network. O hacker conseguiu substituir o Keeper da cadeia alvo por um endereço que controlava, obtendo assim a permissão para assinar a transferência de ativos.
Apesar de os hackers terem planejado cuidadosamente o ataque, acabaram por escolher devolver todos os fundos roubados. A Poly Network chamou-os de "hackers de chapéu branco" e propôs contratar a outra parte como conselheiro de segurança chefe. Este incidente destaca os enormes desafios de segurança que as pontes de cadeia cruzada enfrentam.
Multichain: Perda de 6 milhões de dólares devido a vulnerabilidade já compensada
Em janeiro de 2022, a Multichain descobriu uma vulnerabilidade significativa que afetava vários tokens. Embora a vulnerabilidade tenha sido corrigida, ainda há alguns usuários que sofreram perdas devido à falta de revogação de autorização em tempo hábil. De acordo com o relatório oficial, um total de 7962 endereços de usuários foram afetados, resultando em cerca de 6,04 milhões de dólares em ativos roubados.
A análise da equipe de segurança indicou que o ataque se originou da negligência da Multichain ao validar a legitimidade dos Tokens enviados pelos usuários. A equipe já recuperou cerca de 50% dos fundos roubados e propôs um plano de compensação, mas limitado apenas aos usuários que revogaram a autorização dentro do prazo estipulado.
QBridge: perda de 80 milhões de dólares apenas compensada em 2%
No final de janeiro de 2022, a ponte de cadeia cruzada QBridge do protocolo de empréstimo Qubit foi atacada, resultando em uma perda de cerca de 80 milhões de dólares. O atacante explorou uma vulnerabilidade lógica do QBridge ao processar transferências de tokens na lista branca, conseguindo cunhar uma grande quantidade de tokens xETH do nada na BSC e usar esses tokens falsos para emprestar outros ativos do Qubit.
Atualmente, o projeto Qubit está quase paralisado, 98% dos fundos roubados ainda não foram reembolsados, refletindo a realidade de que alguns projetos têm dificuldade em se recuperar após sofrerem um grande incidente de segurança.
Meter.io: perda de 4,4 milhões de dólares, compromete-se a pagar com futuros lucros
Em fevereiro de 2022, a ponte de cadeia cruzada Meter Passport sofreu um ataque, resultando em uma perda de 4,4 milhões de dólares. As autoridades reconheceram que o problema estava na "supondo confiança errada" no código subjacente, permitindo que os atacantes falsificassem transferências de BNB e ETH.
A Meter inicialmente planejou compensar os usuários por perdas com o token MTRG, mas após votação da comunidade decidiu emitir um novo token PASS como compensação e prometeu recomprar com os lucros futuros. No entanto, até agora nenhuma ação de recompra substancial foi realizada.
Ronin: 620 milhões de dólares foram roubados, já foram reembolsados na totalidade
Em março de 2022, a cadeia Ronin por trás do Axie Infinity sofreu um roubo significativo de 620 milhões de dólares. Este ataque destacou o perigo da engenharia social na segurança cibernética. Os atacantes conseguiram infiltrar-se no sistema da Sky Mavis através de um elaborado esquema de recrutamento falso, conseguindo controlar a maioria dos nós de validação da rede Ronin.
Apesar de os fundos roubados não terem sido recuperados, a Sky Mavis conseguiu fornecer aos usuários uma compensação total através de um financiamento adicional de 150 milhões de dólares. Este evento também levou a uma atualização abrangente dos mecanismos de segurança da rede Ronin.
Wormhole: 326 milhões de dólares em perdas, rapidamente compensados
Em fevereiro de 2022, o protocolo de cadeia cruzada Wormhole foi alvo de um ataque hacker, resultando numa perda de cerca de 120 mil ETH, no valor de 326 milhões de dólares. O atacante explorou uma vulnerabilidade de verificação de assinatura no contrato do lado Solana, conseguindo cunhar uma grande quantidade de whETH falso.
É importante notar que a Jump Crypto injetou rapidamente 120 mil ETH, preenchendo a lacuna de financiamento do Wormhole, permitindo que o protocolo retomasse rapidamente suas operações. Esta ação demonstra a importância de um forte apoio financeiro na gestão de crises.
EvoDeFi: milhões de dólares em perdas não foram tratadas
Em junho de 2022, o USDT desestabilizou-se severamente na DEX ValleySwap do ecossistema Oasis, causando perdas estimadas em dezenas de milhões de dólares. O problema originou-se da falta de liquidez na cadeia de origem da ponte de cadeia cruzada EVODeFi utilizada.
Infelizmente, este evento ainda não foi tratado adequadamente. As partes envolvidas rapidamente se desassociaram, a equipe do projeto está na verdade em estado de desaparecimento, e as perdas dos usuários não podem ser compensadas. Isso destaca a falta de responsabilidade e capacidade de resposta de alguns projetos quando enfrentam uma crise significativa.
Horizon: Quase 100 milhões de dólares foram roubados, o plano de compensação ainda está em discussão
Em junho de 2022, a ponte de cadeia cruzada Horizon da Harmony foi atacada, resultando em uma perda de cerca de 100 milhões de dólares. A investigação revelou que o ataque provavelmente foi causado por uma violação da chave privada, expondo os riscos potenciais do mecanismo de múltiplas assinaturas.
A Harmony propôs anteriormente compensar os usuários gradualmente ao longo de 3 anos através da emissão de novos tokens, mas não conseguiu obter o apoio unânime da comunidade. Atualmente, um novo plano de compensação ainda está em elaboração, refletindo os desafios em equilibrar os interesses de todas as partes e manter a estabilidade do ecossistema.
Nomad: 190 milhões de dólares desaparecidos, parte dos fundos pode ser recuperada
Em agosto de 2022, a ponte de cadeia cruzada Nomad perdeu cerca de 190 milhões de dólares devido a um simples erro de programação. Os atacantes exploraram um erro na configuração de um parâmetro crucial durante a atualização do contrato, permitindo um ataque para retirar fundos sem qualquer operação complexa.
Este evento envolve um grande número de endereços, incluindo hackers éticos. Atualmente, parte dos fundos já foi comprometida a ser devolvida, mas o plano de compensação específico ainda não foi determinado. Isso destaca a importância da auditoria de código e da gestão de upgrades em projetos DeFi.
Resumo e Sugestões
Ao rever esses eventos de ataque a pontes de cadeia cruzada, podemos tirar as seguintes lições importantes:
As pontes de cadeia cruzada, como alvos de alto valor, enfrentam sempre grandes ameaças à segurança. Mesmo os projetos com alta classificação de liquidez não estão isentos de ataques, e os usuários devem manter-se altamente vigilantes ao utilizá-los.
O histórico e a solidez financeira da equipe do projeto são cruciais para a resolução após um incidente. Equipes com recursos geralmente conseguem recuperar ativos ou efetuar compensações mais rapidamente, como demonstrado pelos casos da Poly Network, Ronin e Wormhole.
A monitorização em tempo real e um mecanismo de resposta rápida são fundamentais para prevenir ataques. Alguns projetos, como o Hop Protocol e o StarGate, conseguiram impedir ataques potenciais através da deteção e tratamento oportuno de atividades suspeitas.
A importância da auditoria de código, testes de segurança e gestão de atualizações não pode ser subestimada. Muitos ataques têm origem em simples erros de programação ou falhas lógicas, destacando a necessidade de medidas de segurança abrangentes e rigorosas.
A governança da comunidade desempenha um papel importante na gestão de crises. Um processo de elaboração de um plano de compensação transparente e justo ajuda a manter a confiança dos usuários e o desenvolvimento a longo prazo do projeto.
Com o contínuo desenvolvimento da tecnologia de cadeia cruzada, a segurança continuará a ser um tema central nesta área. As partes do projeto, desenvolvedores e usuários precisam permanecer vigilantes e trabalhar juntos para construir um ecossistema de cadeia cruzada mais seguro e confiável.