Multichain sofreu um ataque Ação de hackers éticos salva 483 ETH

No dia 18 de janeiro de 2022, o sistema de monitoramento de transações anômalas detectou um ataque ao projeto AnySwap (Multichain). Devido à implementação incorreta do mecanismo de verificação nas funções relevantes, os tokens autorizados pelos usuários para esse projeto puderam ser retirados.

Apesar de a equipe do projeto ter tentado várias maneiras de alertar os usuários afetados, ainda há muitos usuários que não conseguiram responder a tempo, permitindo que os atacantes continuassem a implementar ataques e lucrar.

Devido à continuidade do ataque, a equipe da BlockSec decidiu tomar medidas de resposta de emergência para proteger as potenciais vítimas. Esta operação de resgate destina-se às contas afetadas na Ethereum, e transferiremos os fundos das contas relevantes para uma conta de multi-assinatura de white hat especialmente criada. Para garantir a transparência da ação, explicaremos o plano relevante no documento e divulgaremos imediatamente o hash do documento à comunidade. A ação de resgate começou em 21 de janeiro de 2022 e terminou em 11 de março de 2022.

A assistência de emergência não é fácil, existem vários desafios técnicos e não técnicos a serem superados. Após a ação, revisamos todo o processo e compartilhamos nossas experiências com a comunidade. Esperamos que esse tipo de compartilhamento ajude a comunidade e à segurança do ecossistema DeFi.

Resumo breve:

• A ampla utilização do Flashbots por diferentes participantes gera uma competição acirrada, com os custos a aumentarem rapidamente ao longo do tempo.

• Flashbots nem sempre são eficazes. Alguns atacantes recorrem ao mempool, conseguindo implementar ataques.

• Alguns atacantes chegaram a um acordo com a equipe do projeto para devolver parte do que foi obtido através do ataque, mantendo uma parte como recompensa, a fim de se branquear. Este fenômeno gerou controvérsia na comunidade.

• O chapéu branco pode anunciar comportamentos à comunidade sem divulgar informações sensíveis, e essa prática é bem vista.

• A colaboração entre as várias forças da comunidade pode tornar as ações de socorro mais rápidas e eficazes. Por exemplo, a colaboração entre os hackers éticos pode reduzir a competição desnecessária.

A seguir, vamos abordar a partir de quatro aspectos: primeiro, uma revisão geral do evento, depois a introdução dos métodos de resgate implementados e os desafios enfrentados, em seguida, discutir as experiências e aprendizados durante a ação, e finalmente, apresentar algumas ideias e sugestões.

Visão geral das situações de ataque e resgate

Resultado geral

No período de observação de 18 de janeiro a 20 de março de 2022, a situação geral dos ataques e resgates é a seguinte: 9 contas de resgate protegeram 483.027693 ETH, com taxas da Flashbots de 295.970554 ETH, representando 61.27%; 21 contas de ataque lucraram 1433.092224 ETH, com taxas da Flashbots de 148.903707 ETH, representando 10.39%.

Tendência de variação das taxas Flashbots

Os "white hats" precisam competir com os atacantes para enviar transações Flashbots para implementar o resgate, com a variação das taxas refletindo o nível de concorrência. No início, algumas taxas de transações de ataque Flashbots eram 0, indicando que os atacantes ainda não haviam utilizado o Flashbots. Em seguida, a proporção das taxas aumentou rapidamente, atingindo 91% em um determinado bloco. Isso indica que se tornou uma corrida armamentista de taxas devido à disputa pelo poder de processamento na plataforma Flashbots.

Ações de resgate implementadas e desafios enfrentados

A ideia básica de resgate é monitorar as contas de potenciais vítimas, e quando houver uma transferência de WETH, explorar a vulnerabilidade para transferi-lo para uma carteira multi-assinatura de white hat. O crucial é atender a três requisitos:

R1: Transação de localização eficaz para transferir para a vítima R2: Construir corretamente a transação de resgate R3: Atacante conseguiu executar a transação antes.

R1 e R2 não nos impedem. R3 ainda é um desafio, embora teoricamente possa ser vencido com Flashbots, na prática não é fácil. Também usamos o mempool para enviar transações normais, a posição e a ordem das transações são fatores chave.

A competição em que estamos envolvidos

No total, tentamos proteger 171 contas de potenciais vítimas. Dentre elas, 10 se protegeram sozinhas, e entre as 161 restantes, conseguimos resgatar apenas 14. Os casos de falha envolveram 3 contas de resgate e 16 contas de ataque.

lições aprendidas

Como determinar as taxas dos Flashbots?

Adotamos uma estratégia mais conservadora para definir as taxas, mas os resultados não foram muito bem-sucedidos. Os atacantes e alguns hackers éticos geralmente adotam uma estratégia agressiva, com a proporção de taxas a subir rapidamente de 70% para 86%. Parece ser um jogo de soma zero, que exige um equilíbrio entre a redução de custos e a busca pela estratégia ótima.

Como organizar corretamente a posição das transações no mempool?

Os Flashbots nem sempre são eficazes. Enviar transações comuns através do mempool e agendá-las na posição adequada também pode alcançar o objetivo. Um atacante usou esta estratégia para lucrar 312 ETH, sem precisar pagar taxas aos Flashbots.

Algumas outras reflexões

Como diferenciar um hacker ético de um atacante?

Reconhecer um white hat nem sempre é simples. Um exemplo é quando um endereço marcado passa de atacante a white hat, porque o atacante concorda em reter parte dos lucros como recompensa e devolver o restante. Este fenômeno levanta controvérsias na comunidade sobre a equidade dos incentivos.

Competição entre os chapéus brancos

É necessário que a comunidade estabeleça um mecanismo de comunicação e coordenação para reduzir/evitar a concorrência entre os hackers éticos. Essa concorrência desperdiça recursos de resgate e aumenta os custos de resgate.

Como realizar melhor as operações de resgate?

Os "white hats" podem fazer declarações públicas sobre suas ações para a comunidade sem divulgar informações sensíveis, e essa prática tem um bom desempenho. A colaboração das diversas partes da comunidade pode tornar os resgates mais rápidos e eficazes, como os Flashbots/mineros oferecendo um canal verde para white hats confiáveis, enquanto os projetos arcam com os custos.