Az FBI nemrég arra figyelmeztetett, hogy a kiberbűnözők egyre gyakrabban használják ki a blokklánc alapú DeFi-platformok sérülékenységeit, hogy ezzel megkárosítsák a kriptobefektetőket.
A blokklánc-technológiára ma már egészen sokféle pénzügyi szolgáltatás épül, a befektetés mellett akár kölcsönfelvételre is lehetőséget biztosít. Azokat a rendszereket, amelyeken mindez megvalósul, összefoglaló néven DeFi- (decentralized finance, magyarul decentralizált pénzügyi) platformnak nevezzük. Működésük alapját az ún. okosszerződések jelentik, amelyek olyan algoritmusok, amelyekkel a tranzakciók teljesen automatikusan, emberi közreműködés nélkül mennek végbe.
Sajnos azonban, mint minden technológiát, ezt is érinthetik szoftversérülékenységek, illetve a protokollokat esetenként a fejlesztők nem megfelelően implementálják, amit a kiberbűnözők előszeretettel használnak ki a támadások során. (Mivel a DeFi-platformok nyílt forráskódúak, azokban a megfelelő technológiai ismeretek birtokában lényegében bárki találhat károkozási és/vagy „sötét” haszonszerzési lehetőséget.) A Chainalysis jelentése szerint az ilyen támadások egyre nagyobb mértékűek, idén már közel 2 milliárd dollár értékű kár keletkezett ezekből.
Az egyik nagyon gyakori támadási módszer az ún. villámhitel támadás (flash loan attack), amikor a hackerek az okosszerződéseket vagy a különböző kriptotőzsdék sebezhetőségeit kihasználva manipulálják a tokenek árfolyamát.
A DeFi-platformokon a villámhitel-típusú tranzakciók azt jelentik, hogy a kölcsönző egyetlen tranzakcióban vesz fel kölcsönt (tokeneket), amelyekkel további tranzakciókat végezhet, azaz kereskedhet, azonban a tranzakció utolsó lépéseként a kölcsönzött tokeneket vissza kell fizetnie – jóvá kell írnia. A gyorskölcsön egyfajta arbitrázs-kereskedést jelent, amelynél profitra a tokenek árfolyamának változása miatt lehet szert tenni.
Az FBI azt javasolja, hogy bármilyen DeFi-befektetés esetén javasolt nagyon alapos kutatást végezni az adott DeFi-platformmal (DAppokkal) kapcsolatban. A legfontosabb, hogy a platform időközönként végezzen független szakértők bevonásával kódauditot, amely kiszűrheti a komolyabb sérülékenységeket. (Forrás: NKI)
