Revisão Mensal de Segurança: Fevereiro 2024

Segurança em Destaque 👀

Em fevereiro de 2024, exploits em DeFi resultaram em perdas de cerca de $8 milhões. Diversas propostas maliciosas foram detectadas, sinalizando um alerta para as DAOs. Além disso, um backdoor encontrado no frontend do Tornado Cash permitiu que um agente mal-intencionado roubasse mais de 3200 Ether.

Exploits em DeFi

Incidente de Exploit do Seneca

No dia 29 de fevereiro, o Seneca na Ethereum e Arbitrum sofreu um exploit resultando em uma perda de $6 milhões. A causa raiz foi um problema de chamada arbitrária. Os usuários de DeFi devem verificar regularmente suas aprovações e permanecer vigilantes! Leia mais sobre isso.

Incidente de Exploit do Blueberry

No dia 23 de fevereiro, o Blueberry na Ethereum sofreu um exploit resultando em uma perda de $1,4 milhão. A causa raiz foi o uso de lógica inconsistente para normalização do preço de tokens, envolvendo uma incompatibilidade entre as fontes de preço e seus respectivos métodos de normalização. O bot MEV do coffeebabe_eth conseguiu fazer front-run do exploit e devolveu 367 Ether. Leia mais sobre isso.

Incidente de Exploit do DeezNutz_404

No dia 22 de fevereiro, o DeezNutz_404 na Ethereum foi explorado, com perdas totais estimadas em cerca de $170K. A causa raiz foi um problema de cálculo causado por auto-transferência. A série de tokens ERC404 sofreu múltiplos exploits semelhantes. Por favor, tenha cautela ao realizar investimentos. Leia mais sobre isso.

Incidente de Exploit do Particle Trade

No dia 15 de fevereiro, o Particle Trade na Ethereum foi explorado, resultando em aproximadamente $140K em perdas. A causa raiz foi entrada de usuário não verificada. Leia mais sobre isso.

Incidente de Proposta Maliciosa no CheckDot Protocol

No dia 1º de fevereiro, um agente mal-intencionado submeteu uma proposta maliciosa ao Checkdot Protocol, com perdas potenciais de $120K. Após informarmos a equipe do Checkdot, eles reconheceram a gravidade da ameaça como crítica e implementaram uma correção.

We thwarted a sneaky attack on @Checkdot_proto and kept users' assets safe. The team acknowledged the severity of the threat as critical and has implemented a fix.

Here's a breakdown of the incident.
— BlockSec Phalcon (@Phalcon_xyz) February 4, 2024

🚨 Detectamos múltiplas propostas maliciosas (nounsbr, LeagueDAO, wearecultdao etc.) em fevereiro e gostaríamos de lembrar às DAOs que estejam cientes do risco de ataques de propostas.

👉 Você pode visualizar as transações de ataque, a causa raiz e o PoC dos incidentes acima em nossa Lista de Incidentes de Segurança.

Transações de ataque do Incidente de Exploit do Seneca

Backdoor

Incidente de Backdoor no Frontend do Tornado Cash

Um desenvolvedor mal-intencionado implantou um backdoor no frontend do Tornado Cash, roubando as credenciais dos depositantes e pelo menos 3200 Ether em depósitos. Após o Tornado Cash ser sancionado, o projeto passou para a governança comunitária. Desde então, o projeto foi submetido a múltiplos ataques de propostas.

Artigos do Blog

Os Dez Principais Incidentes de Segurança "Incríveis" de 2023

"O que aprendemos com a história é que não aprendemos com a história."

Neste blog, destacamos os dez incidentes de segurança mais relevantes de 2023 e suas razões.

Para cada incidente de segurança, também apresentamos a causa raiz e os passos do ataque nas seguintes postagens de blog separadas.

Desmistificando o Mecanismo de Controle de Acesso no Protocolo Puffer

Curioso sobre como o #PufferProtocol mantém seus fundos seguros? Confira a análise aprofundada da BlockSec sobre sua arquitetura de controle de acesso! Entenda os papéis, contratos inteligentes e estratégias para gerenciar mais de $900M em ativos. Conhecimento é poder!

Perspectivas e Soluções da BlockSec sobre a Segurança de Blockchains L2

Neste blog, vamos primeiro revisar sistematicamente os desafios de segurança das blockchains L2 e, em seguida, propor nossas soluções.

Podcast: Como a BlockSec Interceptou $15M em Exploits Web3 em Tempo Real

Andy Zhou, nosso CEO, participou do podcast Scraping Bits com o apresentador DeGatchi para falar sobre como bloqueamos ataques na Web3. Este blog é uma transcrição do conteúdo do podcast.

Parceria Empolgante

Estamos animados em anunciar nossa colaboração com a Puffer Finance (um dos principais protocolos de restaking, com um TVL de $461M) para uma auditoria abrangente da campanha.

Além disso, estamos integrando o Phalcon (nossa plataforma de monitoramento e bloqueio de ataques) ao protocolo da Puffer para aprimorar suas medidas de segurança.

Eventos

De 1 a 9 de março, a equipe da BlockSec embarca em nossa viagem aos EUA.

Estamos abertos para colaborações, conversas e tudo relacionado a blockchain. Mande uma mensagem para marcar encontros!

📍 Primeira parada: #ETHDenver, 1 a 2 de março

📍 Segunda parada: Vale do Silício, 3 a 9 de março

Atualizações de Produto

Em fevereiro, realizamos o Webinar do Phalcon 3.0 e coletamos feedbacks valiosos sobre o Phalcon dos usuários.

Em março, vamos lançar o Phalcon 3.0 — uma plataforma SaaS de próxima geração que detecta e bloqueia automaticamente hacks, desenvolvida para protocolos, LPs/traders, redes L1/L2 e exchanges.

Preparem-se para uma revolução na segurança Web3! 🚀

Fique informado, fique seguro! Até a próxima! 👋