Смарт-контракты - это технология, которая, безусловно, имеет потенциал для революционного изменения способа торговли за счет полной автоматизации финансовых операций и связанных с ними процессов. Однако, как и любое другое технологическое решение, они не застрахованы от внешних атак, направленных на потенциальные сбои в системе безопасности. Опытные пользователи криптовалют и блокчейна хорошо знают, что в прошлом было как минимум несколько случаев взлома смарт-контрактов, которые привели к значительным финансовым потерям и сильно подорвали доверие криптовалютного сообщества. В следующей публикации мы попытаемся проиллюстрировать некоторые из самых запоминающихся взломов смарт-контрактов и проанализировать уроки, которые можно извлечь из них. От DAO до Bancor, эти негативные факты из истории криптовалют оказали длительное и значительное влияние на весь сектор блокчейна, а также послужили дорожной картой для понимания важности профессиональной защиты и аудита смарт-контрактов.
Атака на DAO
DAO, или Децентрализованная автономная организация, была задумана как децентрализованный венчурный фонд для мира цифровых валют и связанных с ними технологий. Его полностью децентрализованный характер был призван снизить затраты, а также повысить контроль, прозрачность и доступность для инвесторов. Механизм работы этих фондов предполагал отсутствие центрального органа, ответственного за управление этим проектом. DAO был разработан для работы на основе коллективного принятия решений инвесторами, участвующими в проекте.
17 июня 2016 года произошел поворотный момент в истории DAO. Это произошло потому, что хакер обнаружил недостаток безопасности в коде DAO, а именно в смарт-контракте, созданном на блокчейне Ethereum. Эта уязвимость привела к тому, что злоумышленник смог неоднократно запрашивать у смарт-контракта неправомерные средства, что привело к краже 3,6 миллиона ETH, которые на тот момент оценивались примерно в 70 миллионов долларов. Эта мошенническая деятельность стала возможной благодаря двум проблемам, возникшим на этапе разработки контракта. Первая проблема заключалась в том, что не была учтена возможность рекурсивных вызовов. Вторая причина кражи заключалась в существовании процесса, который сначала отправлял ETH и только потом обновлял внутренний баланс токенов.
Успешная атака на смарт-контракт DAO вызвала огромные споры среди пользователей Ethereum и всего криптовалютного сообщества. Масштабы репутационной катастрофы DAO возросли, когда криптовалютные биржи Poloniex и Kraken провели делистинг токенов DAO в течение нескольких месяцев после атаки на смарт-контракт DAO.
Атака на Veritaseum
Veritaseum - это цифровая валюта, которая была запущена в 2017 году. Всего через несколько месяцев, в апреле 2018 года, Veritaseum подверглась массированной атаке, в результате которой были потеряны цифровые активы на сумму около 8,4 миллиона долларов.
В этом случае взлом снова произошел из-за уязвимости в смарт-контракте, который управлял всей криптовалютной экосистемой Veritaseum. Ошибка разработчиков позволила злоумышленнику выкачать средства из смарт-контракта Veritaseum, выполнив реентерабельную атаку. Это привело к тому, что функцию смарт-контракта можно было вызвать несколько раз до того, как ее состояние обновится, что фактически позволило злоумышленнику украсть средства.
Впечатляющий взлом Veritaseum стал важной вехой в понимании важности надлежащей защиты смарт-контрактов и ряда потенциальных рисков, которые могут возникнуть в связи с их использованием. Он также подчеркнул важность точного тестирования, а также аудита кода смарт-контрактов для обеспечения их безопасности и отсутствия каких-либо опасных уязвимостей.
Атака на Bancor
Сеть Bancor - это децентрализованная криптовалютная биржа, построенная на блокчейне Ethereum. Она позволяет пользователям покупать и продавать различные цифровые валюты. В июле 2018 года сеть Bancor была взломана, в результате чего были потеряны криптовалюты на сумму около 12 миллионов долларов.
Вражеская операция была проведена в связи с использованием уязвимости в коде смарт-контракта, который управлял всей сетью Bancor. Недосмотр разработчиков позволил злоумышленнику взять под контроль контракт и выкачать из него средства. К счастью, команда, ответственная за надлежащее функционирование проекта Bancor, смогла быстро отреагировать на действия хакера и остановить торговлю на платформе, чтобы предотвратить дальнейшие потери средств.
Взломы в DeFi
Смарт-контракты являются важнейшим строительным блоком в секторе децентрализованных финансов (DeFi). Это связано с тем, что они позволяют полностью автоматизировать и самореализовывать финансовые операции и процессы. Они используются для ускорения, проверки и обеспечения соблюдения переговорных процессов или исполнения контрактов.
Безопасность и профессиональный аудит смарт-контрактов особенно важны для проектов DeFi, поскольку смарт-контракты являются двигателем децентрализованных финансов, которые обрабатывают значительные суммы транзакций. В случае, если смарт-контракт не защищен и не проверен должным образом, он может быть использован потенциальными агрессорами, которые могут воспользоваться любыми недостатками. Наиболее распространенные последствия, связанные с обнаружением недостатков в программном обеспечении смарт-контракта, включают кражу средств или другие манипуляции с контрактом. Это обычно приводит к значительным финансовым потерям для пользователей протокола DeFi, а также разрушает доверие к конкретному проекту.
Атака на bZx
BZx - это децентрализованная финансовая система (DeFi), которая позволяет потенциальным пользователям заимствовать криптовалюты, используя смарт-контракты в качестве механизма расчетов. В феврале 2020 года сеть bZx подверглась двум отдельным и мощным взломам, которые стали результатом эксплуатации ошибки в программном обеспечении смарт-контрактов.
Первый взлом произошел 14 февраля 2020 года. В тот день были украдены цифровые активы на сумму около 6 миллионов долларов. Вторая атака произошла 18 февраля 2020 года, и масштаб потерь составил еще 350 000 долларов США. Атаки на смарт-контракты сети bZx стали результатом просчетов в проектировании программного обеспечения, что позволило хакерам воспользоваться ошибками разработчиков и похитить средства.
Harvest Finance взломан
Harvest Finance - это децентрализованная финансовая сеть, работающая в секторе DeFi, которая позволяет пользователям получать доход, предоставляя ликвидность на различных финансовых рынках. В октябре 2020 года этот децентрализованный финансовый протокол подвергся атаке. Причиной этого события стала эксплуатация ошибки в смарт-контракте Harvest Finance, что привело к краже цифровых активов на сумму около 24 миллионов долларов США.
Уязвимость в смарт-контракте позволила хакеру манипулировать функциями контракта таким образом, что он смог украсть средства без срабатывания защитных механизмов, предусмотренных контрактом. Атака была обнаружена через несколько часов после ее совершения, и команда разработчиков Harvest Finance смогла остановить торговлю на платформе, чтобы предотвратить дальнейшие потери.
Заключительные мысли
Важность надлежащей безопасности смарт-контрактов огромна. Зачастую смарт-контракты управляют огромными криптовалютными активами и могут использоваться для оптимизации широкого спектра финансовых операций. Однако если контракт не проверен и не защищен должным образом, это может привести к значительным убыткам для пользователей и нанести ущерб доверию и целостности проекта.
Примеры катастроф, связанных с отдельными проектами, использующими смарт-контракты, прекрасно иллюстрируют, насколько важно, чтобы эти технологии проходили тщательное тестирование и аудит. Тестирование и аудит помогают гарантировать, что смарт-контракты должным образом защищены и не имеют потенциальных уязвимостей. Это является ключевым элементом развития финансового сектора и может внести значительный вклад в предотвращение инцидентов безопасности, а также обеспечить безопасную и долгосрочную работу проектов, использующих технологию блокчейн.
