Pek çok kripto para tüccarı, merkezi olmayan finansı (DeFi) güçlendirmek için mevcut sistemlerle hızlı ve gevşek bir şekilde oynuyor, ticaretlerinde avantaj elde etmek için sandviç saldırılarından halı çekme dolandırıcılıklarına kadar çeşitli hack’ler kullanıyor ve kayıplar genellikle on milyonları buluyor ayda dolar.
Ancak her ikisi de Massachussetts Teknoloji Enstitüsü’nden mezun olan iki tüccar, planlarını çok ileri götürdüler ve Etherium blok zincirindeki tüccarlar tarafından kullanılan ortak bir bileşendeki güvenlik açığından yararlanarak 12 saniye süren bir saldırıda yaklaşık 25 milyon dolar kazandılar. ABD Adalet Bakanlığı 16 Mayıs’ta suç duyurusunda bulundu. Boston’dan Anton Peraire-Bueno ve New York’tan James Peraire-Bueno adlı iki kardeş, yazılım kusurunu 2022’de keşfettiler, saldırıları aylarca hazırlayıp planladılar ve ardından Nisan ayında hırsızlığı gerçekleştirdiler. 2023, kolluk kuvvetleri iddia ediyor.
ABD’nin New York Güney Bölgesi avukatı Damian Williams, saldırının tüccarları ve teknoloji uzmanlarını endişelendirdiğini ve “blockchain’in bütünlüğünü sorguladığını” söyledi. Adalet Bakanlığı’ndan iddianameyi açıklayan açıklama.
“Dünyanın en prestijli üniversitelerinden birinde bilgisayar bilimi ve matematik eğitimi alan kardeşlerin, uzmanlık becerilerini ve eğitimlerini dünya çapında milyonlarca Ethereum kullanıcısının güvendiği protokolleri tahrif etmek ve manipüle etmek için kullandıkları iddia ediliyor” dedi. “Ve planlarını uygulamaya koyduklarında soygunun tamamlanması yalnızca 12 saniye sürdü. Bu iddia edilen plan yeniydi ve daha önce hiç suçlanmamıştı.”
Kripto para son on beş yılda meşruiyet kazandı ancak birçok açıdan Vahşi Batı olmaya devam ediyor. 2023 yılında Yasadışı kripto para cüzdanlarında 24 milyar dolardan fazla işlem gerçekleşti veya adresler – her ne kadar toplamın yarısından fazlası yaptırım uygulanan kuruluşlara ve uluslara ait olsa da, bir blockchain istihbarat firması olan Chainaliz’e göre toplam dolandırıcılık oranı yalnızca %0,34’tür.
Fidye yazılımı çeteleri Bitcoin’i tercih ederken, Ethereum da saldırılardan payına düşeni aldı. 2016’da 60 milyon dolarlık DAO saldırısı Bu, Ethereum defterinin yeniden yazılmasına neden olan hard fork’a yol açtı. Ronin Network’teki oyun oyuncularından 600 milyon dolardan fazla Ethereum çalındı.
Web 3.0 baş teknoloji uzmanı ve siber güvenlik firması Check Point Software Technologies’de ürün güvenlik açığı araştırması başkanı Oded Vanunu, kripto para birimlerinin arkasındaki ekosistemin birçok açıdan İnternet’in son otuz yılda karşılaştığı artan acılardan muzdarip olduğunu söylüyor.
“Bu çılgınca çünkü Web 2 platformlarında zaten uygulanmakta olan taktiklerin Web 3 protokollerinde farklı bir şekil aldığını görüyoruz” diyor.
Mempool’lar ve Maksimum Çıkarılabilir Değer
Kripto para transferleri, akıllı sözleşme teklifi ve akıllı sözleşmelerin yürütülmesi, Ethereum’un durumunda, blok zincirine kaydedilen işlemlerdir. halka açık dağıtılmış durum makinesi. Ancak kaydedilmeden önce her işlem bir hafıza havuzuna yerleştirilir veya bellek havuzugenellikle birkaç adımdan oluşan doğrulama ve yürütmeyi bekliyor.
Ekosistemde “blok oluşturucu” olarak bilinen bir katılımcı, bir işlem paketi veya bloğu oluşturacak ve tamamlanması için her işlemin yaratıcısı tarafından ödeme alacak, “blok teklifcisi” ise oluşturucu tarafından ilan edilen ücretlere göre blokları seçecektir. , bunları doğrular ve bu işlemleri blockchain ağındaki eşlerine gönderir. Tipik olarak, bir inşaatçı, kârı en üst düzeye çıkarmak amacıyla, maksimum çıkarılabilir değer (MEV) stratejisine dayalı olarak blokları yapılandırmaya çalışır.
Katılımcıları teklif verenler ve inşaatçılar olarak bölmek (buna teklifçi-inşaatçı ayrımı (PBS) denir) işlemleri kar elde etmek için belirli şekillerde işlem siparişi verebilecek büyük tüccarlar tarafından sürecin tekelleştirilmesini sınırlamak için işlemlerin onaylanması sorumluluğunu böler. MEV botları, yatırımcıların bir işlemden elde ettikleri karları en üst düzeye çıkaracak işlem paketlerini tanımlamalarına ve oluşturmalarına yardımcı olur.
Ancak yine de yatırımcıların oyun alanını değiştirmek için yapabileceği çok şey var. Bir sandviç saldırısındaÖrneğin tüccar, büyük kripto para birimi işlemlerinin neden olduğu doğal fiyat artışlarından veya düşüşlerinden kar elde eder. Büyük bir satın alma emri göründüğünde, oluşturucu, kripto para birimi için emrin önüne bir satın alma emri verebilir ve ardından orijinal satın alma emrinin neden olduğu fiyat değişikliğinden kâr ederek eşleşen bir satış emri verebilir.
Pek çok DeFi katılımcısı için MEV trader’ları, modern bilet scalper’larından biraz daha iyidir, ancak Chainalytics ürün müdürü Adam Hart, kritik bir rol üstlendiklerini söylüyor.
“Birçoklarına göre MEV stratejileri, daha az bilgili tüccarları daha kötü fiyatlar almaya zorlayarak kâr elde etmek için kaynaklarını kullanan hiper-sofistike, cebi dolu tüccarlara benziyor” diyor. “Ancak diğerleri, MEV’nin açık, şeffaf bir blockchain ağında kaçınılmaz olduğunu ve MEV tüccarlarının, varlık fiyatlarının protokoller arasında uyumlu kalması için arbitraj fırsatlarından hızlı bir şekilde yararlanılmasını sağlayarak olumlu bir rol oynadığını savunuyor.”
MEV Traderlarına Saldırı
Olayın otopsi analizine göre Peraire-Bueno kardeşler, MEV-Boost rölesi olarak bilinen ortak bir aracın açık kaynak bileşeninde bir güvenlik açığı keşfettiler. MEV-Boost, Ethereum blok zincirinin iki bileşeninin (teklifçiler ve inşaatçılar) merkezileştirilmesini ve kârların tekelleştirilmesini sınırlayan bir protokoldür; bu, tarihsel olarak birkaç oyuncunun blockchain sürecine hakim olmasına neden olabilirdi.
MEV-Boost protokolünün temel kriterlerinden biri, teklif sahibinin, içeriğini bilmeden önce bir bloğu fiyata göre doğrulamayı taahhüt etmesidir. Kardeşlerin iddiaya göre, imza geçersiz olsa bile başlığı imzalamanın onlara bloktaki bilgiyi verdiğini tespit ettiler. otopsi belirtildi.
Analizde, “Saldırı … teklif sahibi doğru bir şekilde bir blok başlığı imzaladığı sürece, istismar edilen aktarıcının teklif sahibine blok gövdelerini göstermesi nedeniyle mümkün oldu” ifadesine yer verildi. “Ancak röle imzalanan blok başlığının geçerli olup olmadığını kontrol etmedi.”
Blockchain güvenlik küresel uygulama lideri Mario Rivas, güvenlik açığının yatırımcılar için sorun yaratmaya devam edebileceğini ancak bunun doğrudan Ethereum ağına veya doğrulayıcılarına yönelik bir saldırı olmadığını, daha ziyade belirli (her ne kadar ortak olsa da) bir üçüncü taraf bileşenine yönelik olduğunu söylüyor. NCC Group’ta.
“Saldırı, aktarıcının kodundaki bir güvenlik açığından yararlandı; bu güvenlik açığı, aktarıcının geçersiz başlıklara sahip bir blok imzaladığında blok oluşturucuya özel işlemler göndermesine neden oldu” diyor. “Bu güvenlik açığı derhal giderildi ve başka güvenlik açıkları belirlenmediği sürece benzer saldırıların riski azaltıldı.”
Kanun Yaptırımları Bir Zafer Kazandı
Ancak soruşturma ve iddianame Adalet Bakanlığı için bir kazançtır. ABD kolluk kuvvetleri, kripto para birimi dolandırıcılıkları, bilgisayar korsanlığı ve diğer şüpheli uygulamalara giderek daha fazla müdahale ediyor. Örneğin Ağustos ayında ABD Menkul Kıymetler ve Borsa Komisyonu Değersiz bir kripto para birimi yarattığı için bir cezaevi görevlisini suçladı ve onu diğer kolluk kuvvetleri üyelerine satmak.
Ancak diğer saldırılar yasal işlem eşiğinin altında kaldı. Örneğin 2021’deki bir saldırıda, bir tüccar, Salmonella saldırısı olarak adlandırılan bir olayla, likit olmayan bir tokenı rakibe sattığını ve değersiz koini satın alarak rakibinin otomatik sisteminden para kazandığını kabul etti. Forbes’un raporuna göre.
Check Point’ten Vanunu, iki kardeşin gerçekleştirdiği iddia edilen saldırının bu tartışmalı taktiklerden farklı olduğunu söylüyor.
“Aslında her iki saldırı türü de zararlı olsa da, MİT kardeşlerin eylemleri, fon çalmak amacıyla güvenlik açıklarından doğrudan ve izinsiz yararlanmaları nedeniyle açıkça yasa dışıydı. [a] Salmonella saldırı gücü[s] piyasa manipülasyonu ve aldatma, kripto dünyasındaki yasallığın daha karanlık sınırları içinde kalma” diyor.
Planın araştırılması ve ardından gelen iddianame, hükümet yetkililerinin ve onların özel ortaklarının en son yenilikçi saldırılara ayak uydurduğunun altını çiziyor. Chainalytics’ten Hart, gelirlerin istismar edilmesi ve aklanması konusundaki karmaşıklığa rağmen müfettişlerin fonların izini sürdüğünü, iki şüpheliyi tespit ettiğini ve tutukladığını söyledi.
“Peraire-Bueno kardeşlerin istismarı inanılmaz derecede yenilikçi, teknik açıdan karmaşık bir saldırıdır ve kötü bir aktörün, Ethereum blok yapıcıları tarafından yaygın olarak kullanılan MEV sistemini bu şekilde ve bu derecede kötüye kullanmayı ilk kez temsil ediyor” diyor . “Bu iddianameyi bu kadar etkileyici kılan da bu ve kripto para birimine dayalı suçlarla mücadelede gelecek için umut verici bir işaret.”