Ataki na smart kontrakty: Najbardziej pamiętne hacki Blockchaina wszech czasów 

Paulina Lewandowska

30 gru 2022
Ataki na smart kontrakty: Najbardziej pamiętne hacki Blockchaina wszech czasów 

Smart kontrakty mają potencjał, aby zrewolucjonizować sposób prowadzenia biznesu poprzez automatyzację transakcji finansowych i procesów. Jednak, jak każda technologia, nie są one odporne na luki bezpieczeństwa. W przeszłości miało miejsce kilka przypadków włamań do smart kontraktów, które spowodowały znaczne straty i zachwiały zaufaniem społeczności. W tym artykule zbadamy niektóre z najbardziej pamiętnych hacków smart kontraktów wszech czasów i przeanalizujemy wnioski, jakie można z nich wyciągnąć. Od DAO do Bancor, te incydenty miały trwały wpływ na branżę blockchain i służą jako przestroga dla znaczenia właściwego zabezpieczenia i audytowania smart kontraktów.

Zhackowanie DAO

DAO, czyli Decentralized Autonomous Organization, została zaprojektowana jako zdecentralizowany fundusz venture capital dla sektora kryptowalut i technologii powiązanych. Jego zdecentralizowana struktura miała na celu zmniejszenie kosztów oraz zwiększenie kontroli i dostępu dla inwestorów. Bez centralnego organu, DAO miał działać w oparciu o zbiorowe podejmowanie decyzji przez jego inwestorów.

17 czerwca 2016 r. haker odkrył lukę w kodzie DAO, smart kontraktu na blockchainie Ethereum. Dzięki temu atakujący mógł wielokrotnie żądać, aby kontrakt przekazał mu środki z powrotem, co doprowadziło do kradzieży 3,6 mln ETH, wartych wówczas około 70 mln dolarów. Kradzież była możliwa dzięki dwóm problemom z projektem kontraktu: brakiem uwzględnienia możliwości wywołań rekurencyjnych oraz procesem, który najpierw wysyłał ETH, a następnie aktualizował wewnętrzne saldo tokenów.

Atak smart kontraktu DAO wywołał duże kontrowersje wśród użytkowników Ethereum, a szkody dla reputacji DAO zostały spotęgowane, gdy giełdy kryptowalutowe Poloniex i Kraken wycofały tokeny DAO w miesiącach następujących po hakach.

Zhackowanie Veritaseum

Veritaseum to kryptowaluta, która została uruchomiona w 2017 roku. W kwietniu 2018 roku Veritaseum doznało hakowania, które spowodowało utratę kryptowaluty o wartości około 8,4 miliona dolarów.

Hack nastąpił z powodu luki w smart kontrakcie, który kierował kryptowalutą Veritaseum. Niedopatrzenie umożliwiło atakującemu opróżnienie funduszy z smart kontraktu Veritaseum poprzez wykonanie ataku reentrancji, dzięki któremu możliwe było wielokrotne wywoływanie funkcji na kontrakcie, zanim jego stan został zaktualizowany, umożliwiając atakującemu opróżnienie funduszy.

Hack Veritaseum był przypomnieniem znaczenia właściwego zabezpieczenia smart kontraktów i potencjalnego ryzyka związanego z ich wykorzystaniem. Podkreśliło to również potrzebę solidnego testowania i audytowania smart kontraktów w celu zapewnienia, że są one bezpieczne i wolne od luk.

Zhackowanie Bancor

Sieć Bancor to zdecentralizowana giełda zbudowana na blockchainie Ethereum, która pozwala użytkownikom kupować i sprzedawać różne kryptowaluty. W lipcu 2018 roku sieć Bancor została zhakowana, co spowodowało utratę kryptowalut o wartości około 12 milionów dolarów.

Atak został przeprowadzony poprzez wykorzystanie luki w smart kontrakcie, który zarządzał siecią Bancor. Luka pozwoliła atakującemu na przejęcie kontroli nad kontraktem i odprowadzenie z niego środków. Naszczęście zespół Bancor był w stanie szybko zareagować na atak i wstrzymać handel na platformie, aby zapobiec dalszym stratom.

Hacki w DEFI

Smart kontrakty są ważnym elementem projektów zdecentralizowanych finansów (DeFi), ponieważ pozwalają na zautomatyzowane, samorealizujące się transakcje i procesy finansowe. Są one wykorzystywane do ułatwienia, weryfikacji i egzekwowania negocjacji lub wykonania umowy.

Bezpieczeństwo smart kontraktów jest szczególnie istotne w projektach DeFi, ponieważ smart kontrakty obsługują znaczne kwoty wartości i mogą być wykorzystywane do ułatwienia szerokiego zakresu transakcji finansowych. Jeśli smart kontrakt nie jest odpowiednio zabezpieczony, może zostać wykorzystany przez napastników, którzy mogą wykorzystać luki w kontrakcie do wyprowadzenia z niego środków lub manipulować kontraktem w inny sposób. Może to spowodować znaczne straty dla użytkowników projektu DeFi oraz zaszkodzić wiarygodności i rzetelności projektu.

Zhackowanie bZx

BZx to zdecentralizowany protokół finansowy (DeFi), który pozwala użytkownikom pożyczać kryptowaluty za pomocą smart kontraktów. W lutym 2020 roku bZx doznał dwóch oddzielnych hacków, które wykorzystały luki w swoich smart kontraktach.

Pierwsze włamanie miało miejsce 14 lutego 2020 r., wtedy zostały ukradzione około 6 milionów dolarów kryptowaluty. Drugie włamanie miało miejsce 18 lutego 2020 r., wtedy natomiast zostało skradzione dodatkowe 350 000 USD. Haki bZx były wynikiem luk w smart kontraktach bZx, które pozwoliły atakującym wykorzystać kontrakty i wyprowadzić z nich środki.

Zhackowanie Harvest Finance

Harvest Finance to zdecentralizowany protokół finansowy (DeFi), który pozwala użytkownikom zarabiać na dochodach poprzez zapewnienie płynności na różnych rynkach finansowych. W październiku 2020 roku, miał miejsce atak na ten protokół, została wtedy wykorzystana luka w smart kontrakcie Harvest Finance, aby ukraść kryptowalutę o wartości około 24 milionów dolarów.

Luka w smart kontrakcie pozwoliła atakującemu na manipulowanie kontraktem w sposób, który umożliwił mu na wyprowadzenie z niego środków bez uruchamiania zabezpieczeń kontraktu. Hack został odkryty kilka godzin po jego wystąpieniu, a zespół Harvest Finance był w stanie wstrzymać handel na platformie, aby zapobiec dalszym stratom.

Zhackowanie Akropolis

12 listopada 2020 r. platforma Akropolis (DeFi) doświadczyła ataku, w którym błąd w protokole doprowadził do utraty około 2 030 841,0177 DAI z dotkniętych puli YCurve i sUSD. Problem powstał z powodu błędu w obsłudze logiki depozytu w smart kontrakcie platformy SavingsModule, co pozwoliło atakującemu na wybicie dużej liczby tokenów puli bez wsparcia wartościowych aktywów. Doszło do tego, ponieważ protokół nie zdołał prawidłowo zwalidować obsługiwanych tokenów i wymusić ochrony reentrancji na logice depozytu. Włamanie spowodowało znaczne zakłócenia i przede wszystkim straty dla użytkowników platformy Akropolis.

Wnioski

Znaczenie właściwego zabezpieczenia smart kontraktów jest nie do ocenienia. Smart kontrakty obsługują znaczne ilości wartości i mogą być wykorzystywane do ułatwienia szerokiego zakresu transakcji finansowych. Jeśli jednak kontrakt nie jest odpowiednio zabezpieczony, może to spowodować duże straty dla użytkowników i zaszkodzić wiarygodności oraz rzetelności projektu.

Dlatego tak ważne jest, aby smart kontrakty były dokładnie testowane i audytowane. Testowanie i audytowanie pomaga zapewnić, że smart kontrakty są bezpieczne i wolne od luk. Jest to kluczowy krok w procesie rozwoju i może pomóc w zapobieganiu incydentom bezpieczeństwa i zapewnić płynne działanie projektów opartych na technologii blockchain.

Most viewed


Never miss a story

Stay updated about Nextrope news as it happens.

You are subscribed

Nextrope realizuje projekt „Audyt smart kontraktów z AI”

Miłosz Mach

27 lut 2025
Nextrope realizuje projekt „Audyt smart kontraktów z AI”

Next Enterprises Sp. z o.o. realizuje projekt współfinansowany z Funduszy Europejskich pt. „Audyt smart kontraktów z wykorzystaniem sztucznej inteligencji”. Celem projektu jest opracowanie i wdrożenie zaawansowanego modelu AI, który pozwoli na efektywną analizę, identyfikację luk oraz audyt bezpieczeństwa smart kontraktów, uwzględniając ich złożoność i unikalność.

Zadania zaplanowane w projekcie:

  • Opracowanie modelu AI uczonego na słowach kluczowych Solidity;
  • Opracowanie efektywnego modelu w warunkach symulowanych;
  • Badanie analizy nieprzewidywalności działania skompilowanego kodu w środowisku Ethereum Virtual Machine (EVM) w kontekście opracowywanego modelu w kontrolowanym środowisku;
  • Walidacja modelu w warunkach rzeczywistych.

Grupy docelowe:

  • Wyspecjalizowane firmy audytorskie skoncentrowane na smart kontraktach;
  • Firmy, które opracowują i/lub wdrażają smart kontrakty na różnych platformach;
  • Giełdy, dostawcy portfeli, zdecentralizowane aplikacje (dApps) w sektorze blockchain;
  • Organizacje odpowiedzialne za regulowanie technologii blockchain, takie jak agencje rządowe lub branżowe podmioty ds. zgodności;
  • Osoby odp. za bezpieczeństwo smart kontraktów, programiści.

Rezultaty projektu:

Zastosowanie opracowanego narzędzia umożliwi przeprowadzanie zautomatyzowanego i efektywnego audytu smart kontraktów. Model dostarczy szczegółowych informacji oraz rekomendacji dotyczących optymalizacji kosztów transakcyjnych, a także zwiększenia wydajności kontraktów. Dzięki temu użytkownicy będą mogli podejmować świadome decyzje, zwiększając bezpieczeństwo i efektywność operacji w ekosystemie blockchain. Kluczowe korzyści wynikają z wykorzystania modelu przeszkolonego na bazie kodu smart kontraktów oraz zbioru audytów i wykrytych w nich luk. Ponadto, wprowadzenie założeń teorii chaosu umożliwi dokładniejsze prognozowanie ryzyk i anomalii.

Efektem wdrożenia zaawansowanego modelu AI będzie zwiększenie bezpieczeństwa, efektywności i dostępności technologii blockchain dla użytkowników końcowych. Przełoży się to na konkretne korzyści społeczne i gospodarcze, takie jak:

  1. Bezpieczeństwo Ekonomiczne
  2. Bezpieczeństwo Biznesowo-Ekonomiczne
  3. Zwiększenie Zaufania Publicznego
  4. Optymalizacja Kosztów Transakcyjnych
  5. Wsparcie dla Innowacji i Przedsiębiorczości
  6. Edukacja i Świadomość Społeczna

Wartość projektu: 4 173 953,24 PLN

Wkład Funduszy Europejskich: 3 090 156,39 PLN

#FunduszeUE #FunduszeEuropejskie

Dotychczasowe wyzwania w audycie inteligentnych kontraktów

Smart kontrakty stały się nieodzownym elementem technologii blockchain, eliminując pośredników i zapewniając automatyzację procesów. Ich rosnące znaczenie wiąże się jednak z nowymi wyzwaniami, szczególnie w kontekście bezpieczeństwa i zgodności kodu ze standardami branżowymi.

Tradycyjne metody audytu smart kontraktów opierają się na manualnej analizie kodu. Proces ten jest kosztowny, czasochłonny i podatny na błędy ludzkie. W obliczu rosnącej liczby zagrożeń obszaru cybernetycznego konieczne jest wykorzystanie zaawansowanych technologii wspierających proces audytu.

Rola AI w procesie analizy danych

Sztuczna inteligencja (AI) oferuje nowe podejście do oceny bezpieczeństwa smart kontraktów, wykorzystując zdolność do przetwarzania ogromnych zbiorów danych i identyfikowania wzorców, które mogłyby umknąć tradycyjnym metodom audytu. Dzięki temu AI umożliwia:

  • Automatyczną analizę kodu i wykrywanie potencjalnych podatności w czasie rzeczywistym,
  • Optymalizację procesów audytowych poprzez redukcję błędów ludzkich i zwiększenie efektywności identyfikacji zagrożeń,
  • Lepsze dostosowanie do dynamicznie zmieniających się wymogów regulacyjnych oraz ewolucji zagrożeń w ekosystemie blockchain,
  • Analizę dużych wolumenów danych w krótkim czasie, co pozwala na szybkie wyciąganie wniosków i wykrywanie nieoczywistych zależności w kodzie smart kontraktów.

Dzięki wykorzystaniu AI proces audytu staje się bardziej kompleksowy, precyzyjny i skalowalny, pozwalając na bieżące monitorowanie ryzyka i adaptację do nowych wektorów ataku.

Nowa Era Bezpieczeństwa Smart Kontraktów Dzięki AI

Wsparcie Funduszy Europejskich, w ramach programu Fundusze Europejskie dla Nowoczesnej Gospodarki (FENG), pozwala na realizację badań nad nowoczesnymi metodami audytu blockchain, wzmacniając pozycję Nextrope jako lidera w obszarze innowacyjnych technologii.

Projekt „Audyt smart kontraktów z wykorzystaniem sztucznej inteligencji (AI)” wpływa na kluczowe aspekty bezpieczeństwa blockchain poprzez:

  • Automatyzację audytów smart kontraktów, przyspieszając procesy weryfikacyjne i zwiększając ich precyzję,
  • Optymalizację kosztów, co pozwala na dostęp do profesjonalnych audytów szerszemu gronu podmiotów,
  • Podniesienie standardów bezpieczeństwa i zwiększenie poziomu zgodności z regulacjami,
  • Zwiększenie zaufania do smart kontraktów, co sprzyja szerszej adopcji technologii.

📩 Napisz na contact@nextrope.com i uzyskaj więcej informacji o realizowanym projekcie lub dowiedz się jak wykorzystać AI w swojej firmie!

Nextrope jako Sponsor na ETH Warsaw 2024: Najważniejsze Wydarzenia i Wnioski

Miłosz Mach

07 paź 2024
Nextrope jako Sponsor na ETH Warsaw 2024: Najważniejsze Wydarzenia i Wnioski

ETH Warsaw ugruntowało swoją pozycję jako znaczące wydarzenie w przestrzeni Web3, co roku gromadząc deweloperów, przedsiębiorców i inwestorów w sercu stolicy Polski. Edycja 2024 obfitowała w innowatorów i liderów, którzy wspólnie pracowali nad rozwojem zdecentralizowanych technologii.

Wiodące wydarzenie Warsaw Blockchain Week

ETH Warsaw, będące połączeniem konferencji i hackathonu, ma na celu przesuwanie granic innowacji. Dla firm i osób indywidualnych pragnących kształtować przyszłość technologii, to najważniejsze wydarzenie Warsaw Blockchain Week stanowi wyjątkową platformę do nawiązywania kontaktów i współpracy.

Najważniejsze osiągnięcia poprzednich edycji

  • Ponad 1000 uczestników wzięło udział w forum
  • 222 hackerów rywalizowało, prezentując przełomowe umiejętności techniczne
  • Przyznano nagrody w wysokości 119 920 USD, wspierając rozwój obiecujących rozwiązań

Kluczowe tematy ETH Warsaw 2024

W tegorocznych dyskusjach skupiono się na kształtowaniu adopcji technologii blockchain. Podkreślono, że wdrażanie przyszłych rozwiązań wymaga szerokiego spektrum głosów, perspektyw i zrozumienia. ETH Warsaw 2024 zachęcało do udziału osoby z różnych środowisk. W momencie, gdy branża zbliża się do potencjalnego rynku byka, budowanie odpornych produktów nabiera dużego znaczenia. Uczestnicy zgodnie wskazywali na inhibitor w postaci słabej architektury lub podejrzanych praktyk.

Infrastruktura i skalowalność

  • Rozwiązania Layer 2
  • Zero-Knowledge Proofs (ZKPs)
  • Przyszłość Account Abstraction w zdecentralizowanych aplikacjach (DApps)
  • Postępy w interoperacyjności blockchain
  • Integracja sztucznej inteligencji (AI) i modeli uczenia maszynowego (MLM) z danymi on-chain

Odpowiedzialność

W kontekście solidnych systemów blockchain poruszono tematy takie jak prywatność, zaawansowane protokoły bezpieczeństwa oraz white-hacking jako kluczowe narzędzia utrzymania zaufania. Dyskusje objęły także mechanizmy konsensusu oraz ich rolę w całej infrastrukturze, poczynając od przejrzystych Zdecentralizowanych Organizacji Autonomicznych (DAO).

Polityki prawne

Ścieżka dotycząca wolności finansowej prowadziła do analizy transformacyjnego potencjału zdecentralizowanych finansów (DeFi). Zmierzyliśmy się z wyzwaniami i szansami, jakie niosą produkty blockchain w szybko zmieniającym się krajobrazie regulacyjnym.

Masowa adopcja

Rozmowy dotyczące dostępnych platform podkreśliły potrzebę uproszczenia procesu wprowadzania nowych użytkowników, co w efekcie pozwoli tworzyć rozwiązania atrakcyjne dla szerokiej publiczności. Uczestnicy analizowali sposoby poprawy doświadczeń użytkowników (UX), zarządzania społecznością oraz wsparcia dla startupów Web3.

ETH Legal, współorganizowane z PKO BP i kilkoma wiodącymi kancelariami prawnymi, badało wdrażanie wytycznych MiCA, które wejdą w życie w przyszłym roku, wpływając na rynek. Celem było rozłożenie na czynniki pierwsze złożonych regulacji dotyczących aktywów cyfrowych.

Obecnie założyciele muszą radzić sobie z różnorodnością przepisów, które różnią się w zależności od jurysdykcji. Istnieje wyraźna potrzeba stworzenia ustrukturyzowanych protokołów, które zapewnią ochronę konsumentów i integralność rynku, a jednocześnie przyciągną więcej użytkowników. Eksperci prawni omówili konsekwencje istniejących i przyszłych zmian dla zdecentralizowanych finansów (DeFi), tokenów NFT, logiki biznesowej i innych rozwijających się technologii.

Znaczenie ETH Legal wykraczało poza teoretyczne dyskusje. Było to kluczowe forum dla interesariuszy, umożliwiające nawiązywanie kontaktów i wymianę poglądów. Dzięki wkładowi uznanych ekspertów uczestnicy opuścili wydarzenie z głębszym zrozumieniem nadchodzących wyzwań.

Warsaw Blockchain Week: Zaangażowanie Nextrope

Warsaw Blockchain Week 2024 oferował szeroki wachlarz aktywności, z pełnym harmonogramem konferencji, hackathonów i możliwości networkingowych. Nextrope aktywnie uczestniczyło w kilku wydarzeniach towarzyszących w ciągu tygodnia, dostrzegając ogromny potencjał w budowaniu relacji.

Wydarzenia towarzyszące, w których uczestniczyło Nextrope:

  • Elympics na TON
  • Impreza otwierająca Aleph Zero
  • Cookie3 x NOKS x TON Syndicate
  • Solana House

Wkład Nextrope w ETH Warsaw 2024

Podczas ETH Warsaw 2024 Nextrope dumnie pełniło rolę sponsora wydarzenia i hackathonu, odzwierciedlając misję konferencji. Dzięki bogatemu doświadczeniu we współpracy z dużymi instytucjami finansowymi, jak i startupami, wykorzystaliśmy okazję do podzielenia się naszymi spostrzeżeniami z społecznością.

Wspólnie kontynuujemy innowacje na rzecz bardziej zdecentralizowanej i inkluzywnej przyszłości. Dzięki aktywnemu uczestnictwu w otwartych rozmowach o regulacjach i postępach technologicznych, Nextrope umacnia swoją pozycję jako przykład zaangażowania, myślenia przyszłościowego oraz zasobów technologicznych.