Distribuídos e indefesos: como acontecem os hacks em DeFi

O número de ataques a plataformas DeFi está crescendo constantemente. Isso não é surpresa, já que dezenas de bilhões de dólares circulam no universo das finanças descentralizadas. Segundo especialistas, o principal motivo desses ataques é o desenvolvimento acelerado do setor DeFi, a realização de testes insuficientes e a falta de auditorias de segurança, pois muitos projetos correm para entrar no mercado. Hackers utilizam diferentes métodos para obter criptomoedas, mas a causa mais comum dos hacks são as vulnerabilidades em smart contracts.

Os smart contracts são um elemento central do ecossistema DeFi. Assim como qualquer outro software, eles são desenvolvidos por pessoas, o que significa que sempre haverá risco de erro no código do programa e nas configurações. Se um smart contract for vulnerável, o aplicativo descentralizado construído sobre ele também será, abrindo uma porta de entrada para invasores.

Os 5 maiores hacks em plataformas DeFi em 2022

O ano passado foi marcado por diversos hacks em criptomoedas. De acordo com um relatório da Chainalysis, um total de US$ 3 bilhões em moedas e tokens foi roubado por hackers. Os maiores roubos estiveram ligados a bridges cross-chain e protocolos DeFi.

Ronin (US$ 625 milhões)

A rede Ronin – que hospeda o popular jogo baseado em blockchain Axie Infinity, desenvolvido pela Sky Mavis – foi alvo de um roubo de US$ 625 milhões em ETH e USDC em março de 2022. O ataque só foi descoberto uma semana depois, quando um usuário reclamou que não conseguia sacar seu ETH do Axie Infinity. Esse é o maior roubo de cripto até hoje e foi atribuído ao Lazarus Group, um grupo de hackers da Coreia do Norte.

Os invasores conseguiram acessar a infraestrutura de TI da empresa usando um ataque de phishing por e-mail direcionado a um ex-funcionário da Sky Mavis. Após localizar as chaves privadas dos nós validadores da rede nos servidores internos da empresa, eles as roubaram e assumiram o controle de toda a rede Ronin.

A rede Ronin era protegida por apenas 9 validadores, 4 deles gerenciados pela Sky Mavis, e apenas 5 dos 9 validadores eram necessários para aprovar depósitos e saques de fundos. Isso significava que, ao obter o controle de um quinto nó (gerenciado pela Axie DAO) por meio de uma backdoor, os hackers puderam simplesmente retirar fundos da rede. Foram retirados mais de 173.600 ETH e 25,5 milhões de USDC.

Segundo especialistas, os hackers movimentaram as moedas roubadas por diversos mixers, incluindo Tornado Cash, Blender e ChipMixer, antes de aparentemente transferi-las para a rede Bitcoin.

A Sky Mavis anunciou que a maioria das vítimas do roubo foi ressarcida integralmente com recursos próprios da empresa, além de US$ 150 milhões arrecadados em uma rodada liderada pela Binance.

Wormhole (US$ 325 milhões)

Wormhole é um protocolo de bridge cross-chain que permite aos usuários transferir ETH para tokens WETH (Wormhole ETH) na rede Solana.

Em fevereiro de 2022, um hacker desconhecido atacou a bridge cross-chain. Ele forjou assinaturas de segurança, criou 120.000 WETH do nada e trocou por ETH na rede Ethereum, esvaziando o pool de liquidez da Wormhole.

A bridge parou de funcionar após o ataque, mas voltou ao ar alguns dias depois. Todos os fundos roubados foram devolvidos aos donos usando recursos da Jump Crypto, empresa criadora da Wormhole.

Nomad (US$ 190 milhões)

Outra bridge foi comprometida em agosto de 2022. A Nomad, que conecta as redes Ethereum, Avalanche, Moonbeam, Evmos e Milkomeda, sofreu um ataque de US$ 190 milhões.

A vulnerabilidade foi causada por uma configuração incorreta do smart contract principal do projeto. Os desenvolvedores cometeram um erro durante uma atualização, permitindo que qualquer pessoa com conhecimento básico de programação concedesse permissão para sacar fundos. Quando o erro foi percebido, mais de 300 usuários já haviam corrido para retirar fundos ilegalmente da bridge. Alguns deles, no entanto, eram hackers "white hat" e devolveram US$ 22 milhões à plataforma. Especialistas chamam esse ataque de "o primeiro roubo em massa descentralizado".

Beanstalk Farms (US$ 182 milhões)

Esse protocolo de stablecoin construído sobre a Ethereum foi atacado em abril de 2022. O hacker invadiu a rede seguindo estes passos:

• Usou flash loans sem garantia para levantar mais de US$ 1 bilhão em USDC, USDT, DAI e outras stablecoins em várias plataformas descentralizadas (Uniswap, SushiSwap e Aave);
• Adicionou esses fundos ao pool BEAN e recebeu 67% dos tokens de governança Stalk, usados para votar na rede;
• Implantou e aprovou duas propostas de governança maliciosas (BIP-18 e BIP-19) que solicitavam um protocolo de doação de fundos para a Ucrânia. O hacker incluiu código malicioso nessas propostas que, segundo a auditoria de smart contracts da BlockSec, permitiu o desvio dos fundos do protocolo.

A empresa de cibersegurança PeckShield estima que o incidente causou um prejuízo de US$ 182 milhões à Beanstalk.

Mango Markets (US$ 114 milhões)

Essa plataforma de empréstimos e negociações, construída na Solana, perdeu US$ 114 milhões em outubro de 2022 devido à manipulação de mercado.

O hacker – mais tarde revelado como o trader Avraham Eisenberg – planejou sacar os depósitos dos clientes da Mango Markets manipulando o preço do token MNGO. Ele seguiu os seguintes passos:

• Depositou 5 milhões de USDC na Mango Markets;
• Abriu uma posição long enorme no token MNGO, fazendo seu preço subir mais de 1.000% em apenas uma hora. O saldo na conta do hacker também aumentou;
• Tomou US$ 114 milhões em empréstimos usando o valor inflado como garantia em uma cesta de diferentes moedas e tokens, sacou os fundos e fugiu com o dinheiro.

Depois, Eisenberg fechou um acordo com os desenvolvedores do projeto e devolveu US$ 69 milhões. Ele revelou sua identidade, o que não foi uma boa ideia, pois o Departamento de Justiça dos Estados Unidos o prendeu em dezembro de 2022 e o acusou de crimes relacionados à manipulação de mercado.

Como está 2023 para os aproveitadores do cripto sem lei?

Segundo analistas da PeckShield, hackers realizaram 24 ataques a criptomoedas somando US$ 8,8 milhões em janeiro de 2023. Isso é 14 vezes menos do que foi roubado no mesmo período do ano anterior. O maior ataque foi no LendHub, quando hackers sacaram US$ 6 milhões da plataforma em um único golpe. Outros projetos de cripto que já foram hackeados este ano incluem Mycelium, Thoreum Capital, Midas Capital e OMNI.

A PeckShield também revelou que fevereiro de 2023 teve 209 ataques totalizando US$ 35 milhões, dez vezes menos do que foi roubado no mesmo mês em 2022.

Nenhuma inovação de segurança relevante surgiu nesse período, o que significa que os hacks em protocolos DeFi devem continuar. Aqui vale um conselho antigo: não coloque todos os ovos na mesma cesta, ou você pode perder tudo de uma vez só.