Схема крипто-ограблений в Северной Корее расширяется, а DeFi продолжает подвергаться атакам

Менее чем через три недели после того, как хакеры, связанные с Северной Кореей, использовали социальную инженерию для атаки на фирму по торговле криптовалютой Drift, хакеры, связанные с этой страной, похоже, осуществили еще один крупный эксплойт с Kelp.

Атака на Kelp, протокол переразметки, связанный с кросс-чейн-инфраструктурой LayerZero, предполагает эволюцию в том, как действуют хакеры, связанные с Северной Кореей: они не просто ищут ошибки или украденные учетные данные, но и используют базовые предположения, заложенные в децентрализованные системы.

В совокупности эти два инцидента указывают на нечто более организованное, чем череда разовых взломов, поскольку Северная Корея продолжает наращивать свои усилия по краже средств из крипто-сектора.

«Это не серия инцидентов, это череда событий», — сказал Александр Урбелис, директор по информационной безопасности и главный юрисконсульт ENS Labs. «Вы не можете выйти из графика закупок».

Всего за две недели с помощью эксплойтов Drift и Kelp было перекачено более 500 миллионов долларов.

Как была взломана Kelp

По своей сути эксплойт Kelp не включал взлом шифрования или ключей. Система действительно работала так, как была задумана. Скорее, злоумышленники манипулировали данными, поступающими в систему, и заставляли ее полагаться на эти скомпрометированные входные данные, заставляя ее одобрять транзакции, которые на самом деле никогда не происходили.

«Провал безопасности прост: подписанная ложь остается ложью», — сказал Урбелис. «Подписи гарантируют авторство, но не гарантируют правдивости».

Проще говоря, система проверяла, кто отправил сообщение, а не правильность самого сообщения. Для экспертов по безопасности это означает, что речь идет не столько о новом умном взломе, сколько об использовании того, как была настроена система.

«Эта атака не была направлена ​​на взлом криптографии», — сказал Дэвид Швед, операционный директор компании SVRN, занимающейся безопасностью блокчейнов. «Речь шла об использовании того, как была настроена система».

Одним из ключевых вопросов был выбор конфигурации. Kelp полагался на одного верификатора, по сути, на одного проверяющего, чтобы утверждать сообщения между цепочками. Это потому, что его быстрее и проще настроить, но он устраняет критический уровень безопасности.

С тех пор LayerZero рекомендовал использовать несколько независимых верификаторов для одобрения транзакций, аналогично требованию нескольких подписей при банковском переводе. Некоторые участники экосистемы отвергли эту концепцию, заявив, что по умолчанию в LayerZero использовался один верификатор.

«Если вы определили конфигурацию как небезопасную, не поставляйте ее в качестве опции», — сказал Швед. «Безопасность, которая зависит от того, что все читают документацию и делают все правильно, нереалистична».

Последствия не остались ограниченными Келпом. Как и во многих системах DeFi, его активы используются на нескольких платформах, а это означает, что проблемы могут распространяться.

«Эти активы представляют собой цепочку долговых расписок», — сказал Швед. «И прочность цепи зависит от контроля на каждом звене».

Когда одно звено разрывается, это влияет на другие. В этом случае кредитные платформы, такие как Aave, которые приняли затронутые активы в качестве залога, теперь сталкиваются с потерями, превращая одиночный эксплойт в более широкое стрессовое событие.

Децентрализация маркетинга

Атака также обнажает разрыв между тем, как децентрализация продается, и тем, как она на самом деле работает.

«Единый верификатор не является децентрализованным», — сказал Швед. «Это централизованный децентрализованный верификатор».

Урбелис формулирует это шире.

«Децентрализация — это не свойство системы. Это ряд выборов», — сказал он. «И сила стека зависит от его самого централизованного уровня».

На практике это означает, что даже системы, которые кажутся децентрализованными, могут иметь слабые места, особенно на менее заметных уровнях, таких как поставщики данных или инфраструктура. Именно на них все чаще сосредотачиваются злоумышленники.

Этот сдвиг может объяснить недавнюю мишень Лазаруса.

По словам Урбелиса, группа начала сосредоточиваться на кросс-чейн и реструктуризации инфраструктуры, на тех частях криптовалюты, которые перемещают активы между системами или позволяют их повторно использовать.

Эти уровни важны, но сложны и часто находятся под более заметными приложениями. Они также имеют тенденцию владеть большими суммами стоимости, что делает их привлекательными целями.

Если предыдущие волны взлома криптовалют были сосредоточены на биржах или очевидных ошибках в коде, то недавняя активность предполагает движение к тому, что можно было бы назвать «сантехникой» отрасли — системам, которые соединяют все вместе, но их труднее отслеживать и их легче неправильно настроить.

Поскольку Lazarus продолжает адаптироваться, наибольший риск могут представлять не неизвестные уязвимости, а известные, которые не полностью устранены.

Эксплойт Kelp не привнес нового вида слабости. Это показало, насколько уязвима экосистема для знакомых, особенно когда безопасность рассматривается как рекомендация, а не требование.

И по мере того, как злоумышленники действуют быстрее, эту брешь становится легче использовать, но игнорировать ее становится гораздо дороже.

Читать далее: Северокорейские хакеры проводят масштабные ограбления, спонсируемые государством, чтобы управлять ее экономикой и ядерной программой