Topic: DeFi - "Атаки" и Безопасность - page 24. (Read 10023 times)

О Bancor были переводы?

https://decrypt.co/32720/a-cryptocurrency-bug-put-545000-of-defi-funds-at-risk
Daniel Phillips (С)


Ошибка в протоколе поставила под угрозу средства DeFi в размере $ 545 000
Команда Bancor и несколько помощников взломали свой собственный протокол, чтобы спасти от кражи 545 000 долларов. Но это мог быть еще один крупный эксплойт DeFi.

Вкратце
Здесь все обошлось, команда с "дружественными" хакерами взломали протокол раньше злоумышленников

https://decrypt.co/37671/blatant-bug-led-to-370000-defi-hack-say-experts

Blatant “bug” led to $370,000 DeFi hack, say experts
Will Heasman (С)
Перевод

Вопиющая "ошибка" привела привела к взлому DeFi на $ 370 000, говорят эксперты

Децентрализованный финансовый протокол Opyn лишился 370 000 USDC в результате атаки с двойным расходованием средств. По мнению экспертов, не столь хитрый эксплойт должен был быть обнаружен раньше.

Вкратце
Ошибка в протоколе Defi Opyn позволила хакерам уйти с 370 000 USDC.
Эксперты говорят, что взлома можно было избежать.
Это уже шестой взлом DeFi только в 2020 году.

Вчера злоумышленники совершили атаку на протокол децентрализованного финансирования (DeFi) Opyn, получив более 370000 долларов США.

Opyn, который работает главным образом с опционами  ETH, подвергся атаке с двойным расходованием средств.

На момент написания этой статьи мы обнаружили 371 260 долларов США, которые были украдены из этих контрактов », - говорится в  отчете Opyn.
https://blog.peckshield.com/2020/08/05/opyn/

Анализ, проведенный исследователями в области безопасности PeckShield, уточняет, что двойные траты произошли из-за использованной ошибки смарт-контракта, что позволяет злоумышленникам открыто грабить все USDC в смарт-контрактах Opyn.

Вице-президент PeckShield Chiachih Wu  и автор исседования сказали Decrypt, что, хотя сам по себе эксплойт не имел разрушительных финансовых последствий,репутационные последствия для Opyn могут быть ужасными.

«Я бы сказал, что это вредит репутации больше», сказал Chiachih Wu. «Так как это не хитрый баг. Разработчики Solidity должны быть в состоянии его предотвратить».

Взлом Opyn
После того, как во вторник во второй половине дня стало известно о проблеме, команда Opyn начала работу, удалила ликвидность из децентрализованного обмена Uniswap, чтобы предотвратить дальнейшие проблемы.

https://twitter.com/opyn_/status/1290692986024505344
"Привет всем, похоже, возникла проблема с некоторыми oTokens контрактами . Мы прилагаем все усилия для понимания этой проблемы, поэтому мы можем помочь пользователям как можно лучше. Тем временем мы удалили ликвидность из Uniswap. Лучше всего не открывать новые хранилища на данный момент."

Команда также обратилась за помощью к white-hat hacker, известному как samczsun, чтобы извлечь в общей сложности 572 165 долларов США из оставшихся смарт-контрактов Opyn в попытке уменьшить дальнейшие потери.

Тем, кто все еще владеет неликвидными токенами платформы, Opyn предложила купить их с наценкой 20% на криптовалютной бирже Deribit.

Несмотря на то, что Opyn предоставляет множество средств правовой защиты, включая программу вознаграждения за ошибки и расширенный аудит, Chiachih Wu из PeckSheild скептически относится к тому, что DeFi больше не будет страдать от того же.

«До того дня, как люди перестанут программировать, люди будут продолжать генерировать ошибки», - сказал он. «С другой стороны, идеальной системы не существует. Я уверен, что в будущем мы увидим больше нулевых дней или новые уловки для атаки на программное обеспечение на основе Ethereum.»

Эксплойт Opyn стал шестым взломом DeFi в этом году, и, поскольку эксперты по безопасности ожидают, что в будущем появятся новые возможности, рассказ о DeFi как о новом финансовом рубеже может быть больше похож на дикий запад.

Не будь в дефи косяков, не было бы и прибыли. Извините, но так этот мир и работает. Кто прыгает в тему раньше и берёт на себя больше рисков, тот и считает прибыль. Надо просто понимать баланс риск-профит и у каждого он свой. Понимать его важно, чтобы хотя бы не трать время на возмущения. Если для тебя опасно, забираешь бабло и ищешь что-то другое. На мой взгляд участие в дефи менее опасно, чем участи в ICO и не даст тех сотен иксов. Катить на дефи, значит 9тиметровой палкой не касаться бума ICO. Мы его пережили и не надо нам тут про сверхриск лапшу вешать.
Открою тайну, но без риска вообще ничего. И даже рабочий класс, который тотально подписался на полное и пожизненное ограничение профита вдруг столкнулся с пандемией и очень серьезно залетел. На мой вгляд, лучше взять большой риск осознанно, чем иметь кучу не очевидных и плыть всю жизнь по реке самообмана.

Не увидел сразу, но все равно отвечу. Есть одно простое и хорошее правило, которое особенно актуально в наших любимых defi проектах: "если дерьмо может случиться - оно случиться". После объявления об атаке https://twitter.com/Hex_Capital написали комментарий о том, что они указывали в рамках баг баунти о такой возможности, но их проигнорировали и выплату зажали. Правда после этого Балансер признали свою ошибку и выплатили все что причитается: https://twitter.com/BalancerLabs/status/1277600623865847808

https://thedefiant.substack.com/

In DEX Offerings, Open Doesn’t Mean Fair
Cooper Turley (С)
Перевод

В DEX Offerings открытое не означает справедливое

Ситуация с токенами bZx поднимает вопросы о последнем механизме сбора средств в сети Ethereum.

 Команда bZx разместила токены    чтобы претендовать на ликвидные токены BZRX. чтобы претендовать на ликвидные токены BZRX..
Кредитная платформа bZx как и другие проекты Etehruem, разместила свои токены BZRX на децентрализованной бирже Uniswap, добавив себя к волне так называемых предложений  Initial DEX Offerings или IDO. Команда bZx разместила токены на $ 500 тыс. и включила мост для предпродажных инвесторов, чтобы претендовать на ликвидные токены BZRX.

Разные животные  
IDO в Uniswap не похожи на ICO, в которых инвесторы направляли средства непосредственно в кошельки команд по заранее определенным ценовым диапазонам, поскольку автоматическая модель ценообразования означает, что цена токена может начать расти, как только начнутся продажи. Кроме того, пул ликвидности в основе DEX, таких как Uniswap, означает, что трейдеры могут мгновенно выводить деньги.

Предложения DEX также отличаются от листингов на централизованных биржах, таких как Binance, так как любой может разместить свои токены на открытой платформе Uniswap. Теоретически, точно так же, как IDO позволяют любому залистить токены, они также позволяют любому покупать их. Однако на практике это не всегда получается так.

12х Памп
Менее чем через 60 секунд после того, как был ликвидирован пул ликвидности Uniswap, цена BZRX подскочила в 12 раз по сравнению с листинговой ценой с 0,0002 ETH до 0,0024 ETH. Вы думаете, что это верная победа для ранних инвесторов. Однако, глядя на то, что произошло, главными «победителями» стали те, кто запустил скрипты для покупки BZRX в том же блоке, где он стал доступен.

Самая первая покупка на 650ETH была завершена в том же блоке ликвидности, который был добавлен.

«В блоке 10451767 пул Uniswap создается с 1k ETH и 1M BZRX, что предполагает цену $ 0,04, как и ожидалось», - написал соучредитель Dex.Blue Анджело Мин. «Но в том же блоке 3 адресам удалось купить BZRX стоимостью ~ 187 тыс. Долл., Что сразу привело к цене до 0,15 долл.»

По словам Roman Storm, основателя Peppersec, боты не только смогли войти и забрать токены рано, но и, возможно, спамили сеть, чтобы помешать другим войти.

https://twitter.com/rstormsf/status/1282734073081823232?s=20
Roman Storm
@rstormsf
13 июля
Как кто-то заработал миллион долларов за 30 минут?
1. Ждите новостей о запуске BZRX.
2. Напишите умный контракт, который покупает токен на Uniswap
3. Спамим сеть ETH чтобы другие не смогли войти с неудачными TXS

Менее чем через 5 минут, когда команда официально объявила о пуле Uniswap в Discord и Twitter, цена уже колебалась на отметке $ 0,60. В этот момент другие трейдеры собрались, чтобы купить токен, и первоначальные трейдеры смогли продать, причем один из «снайперов» получил почти 500 тысяч долларов прибыли.

С тех пор BZRX резко упал с своего максимума с $0,6 до $0,2.

Преимущество ботов
Команда bZx сообщила адрес токена, время старта и предупредила о мошеннических адресах, появившихся через несколько минут после продажи.

Но можно сделать так много, чтобы дать менее опытным и опытным инвесторам реальный шанс против своих автоматизированных коллег. Как подчеркнул основатель CoinFund Джейк Брукман после первоначального листинга ясно, что "мелкая рыба может поджариться" при использовании предложений Uniswap.

https://twitter.com/sassal0x/status/1282881402657095681?s=20
Энтони Сассано | sassal.eth 👨‍🌾
@ sassal0x
Люди только злятся на то, что они не попали на дешевую распродажу BZRX, потому что кто-то другой опередил их этим.


Событие вызвало дебаты по поводу открытости и справедливости: действительно ли открытые протоколы создают равную торговую площадку, когда автоматизированные трейдеры могут опередить менее опытных участников?

https://twitter.com/kaiynne/status/1282889577166811137?s=20
kain.eth
@kaiynne
Лично я сторонник Rawlsian, когда речь заходит об этике, но я также признаю, что существует жесткий компромисс, когда попытка добиться справедливости происходит в ущерб эффективности. Это вызов, закаляющий эффективные рынки для достижения справедливости, с чего мы вообще начнем?
14 июля 2020 г.

В будущем нам будет интересно посмотреть, как команды готовятся к манипуляциям от пользователей DeFi, увидев, что произошло, когда распродажа не удалась в их пользу. Это, конечно, не будет последним IDO, и ясно, что другие протоколы, такие как Mesa, ставят свою шляпу на ринг, чтобы начать обсуждение более справедливой модели распределения.

Кто их предупреждал об этом? Существование функции gulp() не является вектором атаки. Тот злоумышленник вытащил всю STA из бассейна, прежде чем забрать все. Это просто позволило злоумышленнику истощить другие ресурсы в пуле.
Основным вариантом использования gulp () являются такие вещи, как аирдропы или процентные токены.

Балансер как раз был виноват, т.к. их предупреждали о такой вероятности, но они не стали слушать и не заплатили аудиторам в рамках баг баунти. К их чести, они полностью признали свою вину, заплатили баг баунти и пообещали компенсировать все потери за свой счет.

Да именно хайп идет и 2020 год будет годом DeFi, так же как прошлый был годом ИЕО. Что касается безопасности, да есть сырые моменты, но крупные проекты, думаю проблематично будет взломать. Недавний случай с балансером, сам проект тут не виноват был, здесь именно была проблема в специфике токена, где взломали пул (там было сжигание каждый раз при тразе), и также в этом году в марте, когда макер дао понес убытки из за резкого падения эфира, газ подскочил до 250, из за этого не сработали ликвидации и этим воспользовались даже не хакеры, а те кто постоянно пользовался и вывели за копейки эфир у жирных кредиторов.

Ни о каком доверии всему этому хайпу под названием "дефи-проекты" не может быть и речи. И 100% защиты никогда не будет, нет ничего такого, что нельзя было бы взломать. Скоро только наверное ленивый себе дефи не запилит и всё равно средства понесут, как снова заносят в ранее уже взломанные проекты.

Подобные атаки не особо внушают доверия к DeFi, я думаю, что пока разработчики не придумают 100% систему защиты от хакерских атак-ни о каком серьезном развитии DeFi речи быть не может. Слишком уж рискованно все это выглядит.

У вас, вернее у Forklog не достоверная информация. Один из разрабов отписался, что на самом деле это не «атака», а просто хорошая арбитражная возможность (которая является одним из фундаментальных механизмов, управляющих протоколом Balancer). Более подробно можно в дискорте проекта все прочитать.

DeFi-протокол Balancer был повторно атакован в течение 24 часов. В результате атаки выведено $2300 в токенах Compound (COMP).
(c) Forklog. Что то не прёт пока у балансера, не получается повторить успех компаунда )

https://medium.com/balancer-protocol/incident-with-non-standard-erc20-deflationary-tokens-95a0f6d46dea
Адрес
https://etherscan.io/address/0xbf675c80540111a310b06e1482f9127ef4e7469a

Взломан протокол balancer, украдено валют на  ~500 000$

Balancer компенсирует  потерянные деньги
https://twitter.com/BalancerLabs/status/1277600623865847808

Повторная атака 30 июня
Хакеры повторно взломали протокол Balancer
https://forklog.com/hakery-povtorno-vzlomali-protokol-balancer/

ущерб ~3000$
https://etherscan.io/tx/0x70959fef9d7cc4643a0e885f66ec21732e9243ffd3773e4a9ea9b5ab669bab4d

Пользователи Bancor сообщили о потере средств после обнаруженной уязвимости
https://forklog.com/polzovateli-bancor-soobshhili-o-potere-sredstv-posle-obnaruzhennoj-uyazvimosti/

Все говорят о децентрализации, но я сейчас не вижу ни одного проекта полностью децентрализованным. Defi так же в любое время может закрыться. Так же и с криптой если захотят то кошелек будет выделен мошенническим, и все активы станут блокироваться на биржах и обменниках.

Если я не ошибаюсь, то BlockFi это ни разу не DeFi, а вполне себе централизованная платформа по криптокредитованию, так что это к взломам DeFi (связанным с уязвимостью в смартконтрактах) отношения не имеет.

У технологии огромный потенциал, но вообще косяков и взломов и вправду слишком много и за относительно небольшой период времени. Если так и дальше будет, да еще и с ростом количества потерь а не когда вайтхэт хакеры еще и возвращают все, то ажиотаж и рост денег в DeFi может прекратиться и пойти на убыль.

DeFi не недооценена, я говорю о технологии.
Технология объединяет все сферы: торговлю, услуги, банкинг, страхование.
Лет через 5-7 поговорим

в 2016 году на solidity работали удвоители, а сегодня?

https://defirate.com/blockfi-hack/
BlockFi Experiences Data Breach – Crypto Lending Hack
Перевод

Взлом данных BlockFi Experiences


Крипто-кредитная платформа BlockFi( основанная в США)  опубликовала подробности взлома данных, раскрывающие информацию о пользователях.

https://twitter.com/sassal0x


Согласно отчету BlockFi, информация об учетной записи, к которой был получен доступ, включала: имя, адрес электронной почты, дату рождения, почтовый адрес и историю операций. При этом все пользовательские средства, пароль и непубличная идентификационная информация BlockFi, такие как номер социального страхования пользователя, налоговые идентификационные номера, и т. д., не были украдены. Средства клиентов или компании не были украдены.

Ключевые моменты
В отчете об инциденте в BlockFi указывалось, что номер телефона сотрудника был взломан и использовался  третьей стороной для доступа к части базы данных платформы. Этот тип атаки также известен как замена SIM-карты( SIM swap).

В ответ на утечку данных BlockFi предпринял некоторые дополнительные меры предосторожности, чтобы исключить и снизить вероятность повторения этой атаки. Это включает обновления безопасности для систем BlockFi, которые дополнительно ограничивают доступ сотрудников к информации о клиентах, а также обновления телефонных номеров сотрудников и обновления протокола реагирования на инциденты BlockFi. В то время как взлом данных не обязательно раскрывает какую-либо конфиденциальную информацию, такую ​​как номера социального страхования, которая позволит злоумышленнику открывать кредитные карты и / или банковские счета на имя клиента, BlockFi призывает пользователей принять дополнительные меры безопасности для устранения любых дальнейших рисков.

Это включает в себя настройку 2FA для учетных записей пользователей и персональных устройств, а также включение адресов из белого списка. Включив адреса из белого списка в вашей учетной записи BlockFi, в любое время, когда вы захотите снять деньги, вам нужно будет добавить новый адрес из белого списка, который вызывает задержку в 72 часа. В конечном итоге, эти две меры предосторожности могут значительно снизить риск того, что BlockFi будет скомпрометирован в будущем.

Замечательно видеть, как ведущая проект повышает безопасность до взлома, который приводит к потере средств.

Централизованные компромиссы
Сделав шаг назад, нарушение безопасности для крупных централизованных бирж не должно удивлять многих ветеранов DeFi. Вообще говоря, эти типы нарушений подчеркивают ценность и важность срвисов, связанных с хранением средств и децентрализованных решений, когда пользователи несут ответственность за обеспечение своих собственных средств. Таким образом, пользователи DeFi могут устранить риск централизации.


https://twitter.com/lawmaster
"BlockFi также невероятно повезло. Так же, как они объявляют о большой краже данных, биржа BitMEX выходит из строя, и никто не говорит ни о чем другом. Трудный день для проекта BlockFi, который, по моему мнению, только что потерял доверие множества клиентов" (С) Larry Cermak @lawmaster

Тем не менее, есть компромиссы для обоих. Для пользователей, которые используют протоколы кредитования DeFi, такие как Compound, вся ваша торговая деятельность и активы находятся в открытом доступе. Это может стать проблемой, если пользователи прикрепят имя ENS, связанное с идентификацией (например, их дескриптор Twitter), к своему адресу Ethereum, который они активно используют для взаимодействия с основными приложениями DeFi.

С другой стороны, BlockFi и другие централизованные провайдеры снимают проблемы  управления и защиты пользовательских закрытых ключей, а другие идентифицируют информацию с предостережением, что эти типы атак и взломов происходят на довольно регулярной основе на централизованных биржах. Для справки: в 2019 году централизованные биржи в течение года столкнулись с дюжиной утечек данных, в результате чего активы на сумму 292,6 млн. Долларов США и ~ 510 000 учетных записей пользователей были скомпрометированы только в этом году. Однако, как видно из хака bZx, протоколы DeFi также не защищены от подобных атак и нарушений.
https://www.coindesk.com/defi-project-bzx-exploited-for-second-time-in-a-week-loses-630k-in-ether

Учитывая все это, мы призываем всех пользователей сервисов - централизованных и децентрализованных - принять все необходимые меры предосторожности при работе с вашими крипто-активами. Это означает практику безопасного хранения закрытых ключей, настройку 2FA, добавление адресов из белого списка, отсутствие связи аккаунта через ENS и другие меры по защите вашего драгоценного капитала.

Чтобы не отставать от развивающейся ситуации BlockFi, обязательно следите за проектом в Twitter.
https://twitter.com/TheRealBlockFi