Angripere stjal minst $ 36,7 millioner fra protokoller som kjører uverifiserte smartkontrakter de siste seks månedene, rapporterer Chainalysis. Selskapet knytter økningen til AI-assistert utvikling av utnyttelser.
Store språkmodeller (LLM-er) kan nå analysere dekompilert bytekode i et tempo og omfang som ingen menneskelig gruppe kan matche. Som et resultat har lukkede kontrakter som tidligere avskrekket angripere blitt systematiske mål.
Hvorfor skjult kode ikke lenger beskytter DeFi-protokoller
De fleste store desentraliserte finansprotokoller (DeFi) publiserer og verifiserer kildekoden sin på blokkjedeutforskere. Noen velger imidlertid å holde koden lukket, i håp om at uklarhet vil beskytte dem mot angrep.
Chainalysis har funnet at dette ikke fungerer. Dekompilatorer som Dedaub, Heimdall og Panoramix gjør nå rå bytekode om til lesbar Solidity.
Når koden er dekompilert, mates den direkte inn i LLM-er som kan flagge reentrancy-feil, svak tilgangskontroll og aritmetiske feil.
Koblet inn i automatiserte rørledninger kan disse modellene skanne tusenvis av uverifiserte kontrakter. De prioriterer deretter mål basert på antatt utnyttelsesmulighet og forventet utbytte.
“Det som tidligere krevde en dyktig reverse engineer som brukte dager på én kontrakt, kan nå delvis automatiseres på tvers av en hel blokkjedes uverifiserte kontrakter. Angripere som benytter slike rørledninger får en strukturell fordel: de kan dekke langt større område enn forsvarerne som overvåker mistenkelig aktivitet,” uttaler Chainalysis.
Anthropic har også funnet at AI nå kan utføre avanserte angrep for ferske hackere, og dermed øke trusselnivået.
Samtidig blir uverifiserte kontrakter ikke utsatt for det uformelle sikkerhetslaget som beskytter åpen kildekode. White-hat forskere får ikke sett gjennom dem, og flere utnyttede protokoller utelot dessuten disse kontraktene fra sine bug bounty-programmer.
Følg oss på X for å få de siste nyhetene idet de skjer
Truebit-angrepet viser systematisk jakt på sårbarheter
Den største hendelsen skjedde 8. januar, da en angriper tømte $ 26,2 millioner fra Truebit. Den sårbare kontrakten hadde ligget uverifisert på Ethereum (ETH) siden 2021.
Et heltallsoverløp i bonding-kurven lot angriperen utstede tokens nærmest gratis og deretter brenne dem mot ekte ETH. Det bemerkelsesverdige er at samme adresse hadde tappet Sparkle-protokollen for 5 ETH kun tolv dager tidligere.
“Dette var ikke et tilfeldig funn; angriperen lette metodisk etter sårbarheter på tvers av verifiserte og uverifiserte kontrakter, gikk fra små mål og endte med et utbytte på $ 26 millioner. Begge utbyttene ble omsatt via Tornado Cash,” heter det i rapporten.
Samtidig har forskning fra Anthropic vist at AI-agenter autonomt kan utnytte smartkontrakter for millionbeløp. Det inkluderer kontrakter utplassert etter modellens kunnskapsavgrensning. Sikkerhetseksperter har allerede advart om at AI-agenter ligger foran menneskelige revisorer på DeFi-området.
Chainalysis forventer at denne trenden vil akselerere ettersom dekompilering blir bedre og antallet uverifiserte kontrakter øker. Selskapet oppfordrer protokoller til å verifisere all utplassert kode, utvide bug bounty-ordningen og innføre sanntidsovervåking på blokkjeden.
Abonner på YouTube-kanalen vår for å se ledere og journalister gi ekspertråd
