Hakkerit ryöstävät unohdettuja älysopimuksia: 17 miljoonaa dollaria varastettu vain 40 päivässä

Sen sijaan, että hakkerit kohdistaisivat hyökkäyksensä uusiin, hyvin suojattuihin protokolliin, he hyökkäävät yhä enemmän vanhoja, vanhentuneita älysopimuksia vastaan, jotka kaikki ovat unohtaneet. Viimeisten 40 päivän aikana (7. toukokuuta - 15. kesäkuuta 2026) hyökkääjät ovat vieneet lähes 17 miljoonaa dollaria sopimuksista, joita pidettiin vanhentuneina, mutta jotka olivat edelleen voimassa ketjussa ja joilla oli todellista taloudellista arvoa.

__LYHYTKOODIN_TUNNUS_0__

Tämä ei ole sarja yksittäisiä tapauksia – se on selkeä nouseva trendi. Vanhentuneisiin sopimuksiin jää edelleen varoja, lupia, hyväksyntöjä tai operatiivista toimivaltaa vielä pitkään sen jälkeen, kun tiimit ovat lopettaneet niiden ylläpidon tai valvonnan.

Erityiset tapahtumat viimeisten 40 päivän aikana

Tässä on viisi julkisesti dokumentoitua tapausta, jotka muodostavat tämän noin 17 miljoonan dollarin kokonaissumman:

TrustedVolumes (Ethereum)

1inch Fusionin käyttämä likviditeetin tarjoaja ja markkinatakaaja/ratkaisija TrustedVolumes joutui huijauksen kohteeksi mukautetun RFQ-swap-välityspalvelimensa haavoittuvuuden vuoksi. Hyökkääjä ohitti valtuutusrajan ja pääsi käsiksi koodipolkuun, johon ei-luotettavan soittajan ei olisi koskaan pitänyt päästä käsiksi.

Varastettuihin varoihin kuuluivat WETH, USDT, WBTC ja USDC. Varastetut varat pestiin myöhemmin Tornado Cashin ja muiden verkostojen kautta. 1inch selvensi, että sen ydinprotokollaan ei ollut vaikutusta.

Huma Finance V1 -poolit (monikulmio)

Hyökkääjät hyödynsivät vanhentuneiden V1 BaseCreditPool -sopimusten luoton elinkaaren hallinnan logiikkavirhettä. He suorittivat luvattomia nostoja, jotka kuluttivat noin 82 316 USDC + 19 075 USDC.e.

Poolien alasajo oli jo käynnissä. Huma Finance keskeytti nopeasti kyseiset sopimukset, julkaisi jälkiselvityksen ja vahvisti, että sen Solanan V2-järjestelmä ja nykyisen alustan käyttäjien varat eivät muuttuneet.

DxSale V1 -lokero (BNB-ketju)

Kauden suurin tappio. Hyökkääjät tyhjensivät yli 1 400 vanhaa likviditeettipoolia vanhasta V1-lokerosopimuksesta (käyttöön otettu vuonna 2021).

Hyökkäyksen mahdollisti aiempi (269 päivää aiemmin) lukitussopimuksen omistusoikeuden siirto yhdistettynä etuoikeutettujen toimintojen väärinkäyttöön – hyökkääjä alensi muokkausmaksut yhteen wei'hin, nollasi lukitusaikaleimat ja suoritti eränostot. V2+ -lukot pysyivät turvassa.

Raydium Legacy AMM V3 (Solana)

Hakkerit hyödynsivät viittä vanhentunutta likviditeettipoolia Raydiumin vanhassa AMM V3 -ohjelmassa (poistettiin käytöstä vuonna 2021). Haavoittuvuus oli LP-token mint -osoitteiden riittämätön validointi.

Hyökkääjä loi väärennetyn SPL-tokenin ja väärensi LP-tokenin ja kutsui vanhaa "without"-toimintoa tyhjentääkseen todellista likviditeettiä. Raydium vahvisti tapauksen ja lupasi korvata asianomaisille käyttäjille täyden korvauksen treasury-rahastostaan. Nykyisiin pooleihin ja käyttäjiin ei vaikuttanut tämä.

Aztec Connect (Ethereum)

Kaksi erillistä hyökkäystä peräkkäisinä päivinä kohdistuivat vanhentuneisiin Aztec Connect -sopimuksiin (lopetettu vuonna 2023). Sopimukset olivat muuttumattomia ja järjestelmänvalvojan avaimet oli jo peruutettu.

Hyökkääjät hyödynsivät todistuslogiikan heikkoutta (ZK-todistusvalidoinnin ja ketjussa tapahtuvien selvitys-/hätätilannemekanismien välinen epäsuhta) ja tyhjensivät loukkuun jääneen arvon, jota ei enää voitu keskeyttää tai päivittää. Aztec Labsilla ei ollut määräysvaltaa sopimuksiin.

Tässä on yhteenvetotaulukko nopeaa tarkastelua varten:

Mitä projektien tulisi tehdä: Asianmukainen älysopimusten eläkkeelle jäämisprosessi

Pelkkä käyttöliittymän poistaminen käytöstä tai sopimuksen vanhentuneeksi julistaminen ei riitä. Sopimus on todella vanhentunut vasta, kun arvo, käyttöoikeudet ja luottamusoletukset on poistettu kokonaan.

Tässä on mitä asianmukaisen eläkkeelle siirtymisprosessin tulisi sisältää:

1. Poista kaikki arvot ennen huomion poistamista Nosta jokainen token, likviditeettipositio ja palkkio. Anna käyttäjille selkeät siirto-ohjeet ja kannustimet. Yhdenkään järjestelmän valvontaa ei pitäisi lopettaa, kun se voi edelleen säilyttää tai siirtää käyttäjien varoja.
2. Peruuta kaikki käyttöoikeudet ja oikeudet Suorita täydellinen inventaario ja peruuta hyväksynnät, omistajan oikeudet, allekirjoittajat, välittäjät, pitäjät, reitittimet ja kaikki järjestelmänvalvojan oikeudet. ”Emme enää käytä tätä sopimusta” ei tarkoita, etteikö sillä voisi enää siirtää varoja.
3. Toteuta seuranta kaikille toimille ("ylösnousemushälytykset") Määritä hälytyksiä uusille talletuksille vanhoihin pooleihin, vanhojen käyttäjien hyväksynnöille, odottamattomille saldomuutoksille, käyttämättömien toimintojen kutsuille ja toiminnalle unohdettujen etuoikeutettujen polkujen kautta. Pidä vanhat sopimukset bug bounty -ohjelmien ja tietoturvan seurannan piirissä.
4. Laadi selkeä suunnitelma "ei korjauspäivitystä" -tilanteelle Jos sopimus on muuttumaton tai järjestelmänvalvojan avaimista on luovuttu, et voi keskeyttää tai päivittää sitä. Tällaisissa tapauksissa vahvista migraatiokannustimia, anna selkeät riskitiedot ja laadi valmis häiriötilanteisiin reagointikäsikirja.

Loppupäätelmä

Seuraava merkittävä DeFi-tappio ei välttämättä tule uudesta kiiltävästä ominaisuudesta. Se voi johtua sopimuksesta, jonka joukkue on jo ilmoittanut vanhaksi, mutta joka on sitten jätetty taloudellisesti eloon ketjussa.

Tietoturvatiimit ovat tulleet erittäin hyviksi lanseerausten tarkastelussa. Seuraava alan tarvitsema tieteenala on exit-tuotteiden tarkastelu.

Ennen kuin sopimusten asianmukainen purkaminen tulee vakiintuneeksi käytännöksi, vanhat sopimukset ovat edelleen yksi helpoimmista ja houkuttelevimmista kohteista hyökkääjille.