• Αξιόπιστες πλατφόρμες όπως το Uniswap και το Safe.global contract που έχουν πραγματοποιήσει 69 εκατομμύρια συναλλαγές, έχουν αναπτύξει 9,5 εκατομμύρια λογαριασμούς και αποθηκεύουν 100 δισεκατομμύρια δολάρια σε συνολικά περιουσιακά στοιχεία, είναι ευάλωτες σε επιθέσεις όπου δόλιες συναλλαγές ενσωματώνονται στη λειτουργία πολλαπλών κλήσεων, καθιστώντας τον εντοπισμό δύσκολο.
  • Αξιοποιώντας τεχνικές κοινωνικής μηχανικής, οι χάκερ χρησιμοποιούν phishing emails και μηνύματα από αξιόπιστες πηγές για να ξεγελάσουν τους χρήστες ώστε να εγκρίνουν συναλλαγές και να αυξήσουν τις επιτρεπόμενες ποσότητες tokens, παραχωρώντας πρόσβαση στα περιουσιακά τους στοιχεία. 
  • Οι επιτιθέμενοι αξιοποιούν γνωστές διευθύνσεις όπως τα Uniswap και Safe, χρησιμοποιώντας τη λειτουργία συγκεντρωτικής πολλαπλής κλήσης (multicall aggregate function) για να ενσωματώσουν πολλές δόλιες συναλλαγές σε μία μόνο κλήση, καθιστώντας δύσκολο για τους χρήστες να ανιχνεύσουν την κακόβουλη δραστηριότητα.

Η Check Point Research (CPR) εντόπισε μια νέα απάτη ασφαλείας στις πλατφόρμες blockchain Uniswap και Safe.global. Αυτές οι τακτικές θα μπορούσαν να εκμεταλλευτούν νόμιμες λειτουργίες του blockchain, θέτοντας σε κίνδυνο αμέτρητους χρήστες. Η απάτη, που ανακαλύφθηκε στο Uniswap V3 contract και στο Safe.global smart contract, επιτρέπει στους επιτιθέμενους να οργανώνουν μεταφορές κεφαλαίων από τα πορτοφόλια των θυμάτων στους δικούς τους λογαριασμούς. Με πάνω από $1.8 τρισεκατομμύρια σε όγκο συναλλαγών, 350 εκατομμύρια swaps και πάνω από $4 δισεκατομμύρια σε συνολική κλειδωμένη αξία (TVL), το Uniswap Protocol είναι η μεγαλύτερη και πιο δημοφιλής αποκεντρωμένη ανταλλακτική πλατφόρμα για την ανταλλαγή tokens κρυπτονομισμάτων στο Ethereum και άλλες δημοφιλείς blockchain.

Η Μέθοδος Επίθεσης: Οι επιτιθέμενοι συχνά χρησιμοποιούν τεχνικές κοινωνικής μηχανικής για να χειραγωγήσουν τα θύματα ώστε να εγκρίνουν συναλλαγές, στέλνοντάς τους phishing emails ή μηνύματα που φαίνονται να προέρχονται από αξιόπιστες πηγές. Αυτά τα μηνύματα προτρέπουν τους χρήστες να αυξήσουν το επιτρεπόμενο όριο των tokens τους, μεταμφιέζοντας αυτές τις αιτήσεις ως νόμιμες δραστηριότητες. Σε αυτή την εκμετάλλευση, οι επιτιθέμενοι αξιοποίησαν γνωστές διευθύνσεις, όπως οι Uniswap και Safe, για να καλύψουν τις κακόβουλες δραστηριότητές τους. Χρησιμοποίησαν τη λειτουργία συγκεντρωτικής πολλαπλής κλήσης (multicall aggregate function) για να ενσωματώσουν πολλές δόλιες συναλλαγές σε μία μόνο κλήση, καθιστώντας δύσκολο για τους χρήστες να ανιχνεύσουν την κακόβουλη δραστηριότητα. Χρησιμοποιώντας αυτήν την τακτική, οι επιτιθέμενοι κατάφεραν να οργανώσουν μεταφορές κεφαλαίων από τα πορτοφόλια των θυμάτων στους δικούς τους λογαριασμούς. Παρομοίως, το πλαίσιο Gnosis Safe εκμεταλλεύεται τη δημιουργία proxy contracts που φαίνονται νόμιμα, εξαπατώντας τους χρήστες να αυξήσουν το επιτρεπόμενο όριο των tokens τους και διευκολύνοντας μη εξουσιοδοτημένες συναλλαγές.

Ο Oded Vanunu, Chief Technologist & Head of Products Vulnerability Research δήλωσε:

«Αυτή η νέα ευπάθεια υπογραμμίζει την αυξανόμενη πολυπλοκότητα των κυβερνοεγκληματιών που στοχεύουν τον χώρο των κρυπτονομισμάτων, αποκαλύπτοντας όχι μόνο την ανάγκη για επαγρύπνηση από τους χρήστες, αλλά και την επείγουσα ανάγκη για προχωρημένα μέτρα ασφαλείας και συνεχή εκπαίδευση. Καθώς οι  αποκεντρωμένες πλατφόρμες χρηματοπιστωτικών συναλλαγών συνεχίζουν να αναπτύσσονται, οι επιτιθέμενοι εκμεταλλεύονται κάθε πιθανή αδυναμία, οδηγώντας σε πιθανές καταστροφικές οικονομικές και προσωπικές συνέπειες για τους χρήστες. Πέρα από τις άμεσες οικονομικές απώλειες, τέτοιες παραβιάσεις μπορούν να προκαλέσουν μακροπρόθεσμη ζημιά στην εμπιστοσύνη των χρηστών και στη γενικότερη αποδοχή των αποκεντρωμένων τεχνολογιών. Η αποστολή μας είναι να εξοπλίσουμε τους χρήστες με τις απαραίτητες γνώσεις και εργαλεία για να πλοηγούνται με ασφάλεια σε αυτό το δυναμικό περιβάλλον και να υποστηρίζουμε την αυστηρή επαλήθευση συναλλαγών, ακόμη και από αξιόπιστες πηγές, καθώς και την ενημέρωση για τις τελευταίες απειλές. Ενισχύοντας τους χρήστες να προστατεύουν προληπτικά τα ψηφιακά τους περιουσιακά στοιχεία, στοχεύουμε να οικοδομήσουμε ένα πιο ανθεκτικό και ασφαλές αποκεντρωμένο οικονομικό οικοσύστημα.»

Συμβουλές Κυβερνοασφάλειας: Οι συναλλαγές στο blockchain είναι μη αναστρέψιμες. Σε αντίθεση με μια τράπεζα, στο blockchain δεν μπορείτε να μπλοκάρετε μια κλεμμένη κάρτα ή να αμφισβητήσετε μια συναλλαγή. Αυστηρά μέτρα ασφαλείας για την προστασία των ψηφιακών σας περιουσιακών στοιχείων περιλαμβάνουν:

  • Επαλήθευση της νομιμότητας των συμβολαίων και των λειτουργιών τους πριν την έγκριση οποιασδήποτε συναλλαγής.
  • Εκτέλεση ενεργειών απευθείας από τους επίσημους ιστότοπους των έργων για να διασφαλιστεί η αυθεντικότητα.
  • Προσοχή με τα emails και τους συνδέσμους στα μέσα κοινωνικής δικτύωσης, καθώς μπορεί να αποτελούν μέσα για απάτες.
  • Τακτική παρακολούθηση του πορτοφολιού σας και του ιστορικού συναλλαγών για τυχόν ασυνήθιστη δραστηριότητα.