Continua il nostro appuntamento mensile che riassume e quantifica le truffe e gli hack nel mondo cripto. Mentre agosto era stato un mese relativamente tranquillo, con “solo” 23 milioni andati rubati agli utenti e alle piattaforme del web3, settembre si è rivelato un completo disastro, con un incremento di più del 1000% di fenomeni di questo tipo.
Cos’è un exploit?
Un “exploit” nel contesto del web3 è una vulnerabilità o una debolezza che viene sfruttata da un hacker per ottenere accesso non autorizzato o compiere azioni dannose all’interno di una piattaforma, uno smart contract o una DApp.
Alcuni esempi:
- Smart Contract: sono programmi autonomi eseguiti sulla blockchain. Gli hacker possono sfruttarne le vulnerabilità per rubare fondi, manipolare dati o influenzare il comportamento del contratto in modo dannoso. Alcuni esempi di vulnerabilità includono bug nel codice dello smart contract, problemi di sicurezza nella gestione dei permessi e errori nella logica di esecuzione.
- DeFi Exploits: sfruttamento di protocolli di prestito, scambio o yield farming per rubare o manipolare fondi. Questi exploit possono essere causati da errori di codice, manipolazioni del mercato o altre tattiche ingannevoli.
Per mitigare il rischio di exploit è essenziale che gli sviluppatori e gli utenti adottino pratiche di sicurezza solide, effettuino audit del codice, mantengano aggiornate le loro applicazioni e comprendano, con lo studio, i rischi legati all’uso della blockchain e alla decentralizzazione.
Report settembre 2023
Secondo la piattaforma di audit CertiK nel mese di settembre 2023 il totale dei fondi rubati tramite exploit, hack e rug pulls ammonta a circa 320 milioni di dollari, 15 volte maggiore rispetto ai volumi di agosto 2023.
Un grande contributo a raggiungere questa cifra l’ha data sicuramente Mixin Network, protocollo per transazioni peer-to-peer cross-chain, che il 27 settembre ha subito un exploit ad un fornitore di servizi cloud utilizzato dalla piattaforma, questo ha permesso agli hacker di appropriarsi di 200 milioni di dollari. L’operatività è stata immediatamente sospesa e l’azienda ha offerto agli hacker 20 milioni di dollari per la restituzione dei fondi.
L’ennesimo exploit ai danni di una piattaforma cross-chain mette in risalto l’estrema vulnerabilità di questi protocolli che nel corso degli anni si sono rivelati i maggiori responsabili di perdite di fondi nel settore DeFi, per un totale di 2.5 miliardi di dollari.
Sul piccolo exchange Remitano, come per Mixin Network, una falla in una piattaforma di terze parti ha causato il furto di circa 2.7 milioni di dollari. Tether ha successivamente congelato 1.4 milioni di USDT rubati, evidenziando però il rischio di confisca e censura quando si acquistano criptovalute create e gestite da aziende.
Molti furti di fondi in questo mese riguardano poi la mala gestione delle chiavi private, che ricordiamo, vanno sempre tenute offline e in luoghi segreti.
- CoinEx: exchange con sede ad Hong Kong, ha subito il furto delle chiavi private di un hot wallet da cui sono stati sottratti 54 milioni di dollari.
- HTX (ex Huobi): l’exchange di proprietà di Justin Sun ha subito il furto di 5’000 Ether successivamente ad un hack che ha coinvolto le chiavi private di un hot wallet.
- Stake [.com]: la piattaforma di betting su blockchain ha subito un hack che ha compromesso un wallet da cui sono stati rubati 41 milioni di dollari.
Tramite complesse analisi on chain CertiK ha rivelato che il gruppo di hacker nord coreano Lazarus Group è il responsabile dei furti a CoinEx e Stake [.com]. I fondi sono stati poi “ripuliti” tramite swap cross-chain.
Altri furti hanno riguardato il progetto NFT Milady Maker, da cui un ex sviluppatore ha rubato 1 milione di dollari e Mark Cuban, miliardario americano rimasto vittima di un banale attacco phising, che gli ha causato la perdita di 900mila dollari da un wallet personale.
Conclusioni
Le enormi perdite subite nel mondo web3 a settembre 2023 ci fanno riflettere sull’importanza della gestione delle chiavi private, argomento molto spesso trascurato, ma di fondamentale importanza se si vuole sfruttare a pieno le potenzialità di questa tecnologia.
Come sempre, è fondamentale studiare e informarsi adeguatamente prima di investire o depositare fondi in qualsiasi progetto. Non bisogna trascurare la necessità di comprendere appieno la tecnologia blockchain e il suo funzionamento, poiché il rischio di subire perdite è molto elevato.
