Ukradeno 120 miliona dolara u kriptovalutama hakovanjem decentralizovane finansijske platforme BadgerDAO

U sredu uveče, neko je ukrao sredstva iz više kripto novčanika povezanih sa decentralizovanom finansijskom platformom BadgerDAO. Prema kompaniji PeckShield koja se bavi analitikom podataka i blokčejn bezbednošću i koja sarađuje sa Badgerom na istrazi pljačke, različiti tokeni ukradeni prilikom pljačke vrede oko 120 miliona dolara.

Here is the current whereabouts as well as the total loss: $120.3M (with ~2.1k BTC + 151 ETH) @BadgerDAO pic.twitter.com/fJ4hJcMWTq— PeckShield Inc. (@peckshield) December 2, 2021

Iako je istraga još u toku, Badger je rekao svojim korisnicima da veruju da je do problema došlo zato što je neko ubacio zlonamerni kod u korisnički interfejs njihove veb stranice. Korisnicima koji su koristili platformu dok je zlonamerni kod bio aktivan, presretane su transakcije i prenošene na adresu napadača, piše The Verge.

PeckShield ističe jedan transfer, gde je ukradeno oko 900 bitkoina, vrednih više od 50 miliona dolara. Prema njima, zlonamerni kod se pojavio već 10. novembra, a napadači su ga pokretali u naizgled nasumičnim intervalima kako bi izbegli otkrivanje.

Decentralizovani finansijski (ili DeFi) sistemi se oslanjaju na blokčejn tehnologiju kako bi vlasnicima kriptovaluta omogućili da obavljaju tipične finansijske operacije kao što je zarada kamata putem pozajmljivanja. BadgerDAO je decentralizovana autonomna organizacija (DAO) koja omogućava da se bitkoin koristi kao kolateral u DeFi transakcijama. Jednostavno rečeno, korisnici mogu da koriste bitkoin za obezbeđenje kredita. DAO je organizacija koja je dizajnirana da bude automatizovana i decentralizovana, koja koristi "pametne" ugovore zasnovane na blokčejnu za automatizovano donošenje odluka i pravila. BadgerDAO je izgrađen na etereum platformi  i pruža "trezore" u kojima korisnici mogu da čuvaju svoje bitkoine kako bi zaradili prinose od kamate na osnovu tržišnih uslova.

Kada je Badger postao svestan neovlašćenih transfera, pauzirao je sve ugovore, u suštini zamrzavajući svoju platformu.

Kompanija je u četvrtak uveče saopštila da je unajmila i stručnjake za informatičku forenziku Chainalysis da istraže incident, kao i da su vlasti u SAD i Kanadi obaveštene.

The investigation continues.Badger has retained data forensics experts Chainalysis to explore the full scale of the incident & authorities in both the US & Canada have been informed & Badger is cooperating fully with external investigations as well as proceeding with its own.— ₿adgerDAO 🦡 (@BadgerDAO) December 2, 2021

Jedna od stvari koje Badger istražuje je kako je napadač pristupio Cloudflare-u preko API ključa koji je trebalo da bude zaštićen dvofaktorskom autentifikacijom. Iako napad nije otkrio specifične nedostatke unutar same blokčejn tehnologije, uspeo je da iskoristi stariju “Web 2.0” tehnologiju koja je korisnicima potrebna za obavljanje transakcija. Sistemi višefaktorske autentifikacije štite naloge od mnogih phishing šema ili sličnih napada. Ipak, stručnjaci su više puta upozoravali na ciljanje phishing napade koji ovakve sisteme mogu zaobići, dok su setovi alata za automatizaciju ovakvih napada dostupni godinama.