O ile na początku 2014 roku zniknięcie 850 tysięcy BTC z bilansu MtGOX szacowano na "zaledwie" pół miliarda dolarów i było to największe włamanie na świecie, o tyle w ostatnich latach dane o stratach rzędu setek milionów dolarów nie były zbytnim zaskoczeniem.
Wraz z rozwojem rynku kryptowalut rośnie liczba przestępstw związanych z kryptowalutami. Z jednej strony na rynek wchodzą nowe firmy, które ambitnymi projektami przyciągają uwagę i fundusze inwestorów. Z drugiej strony, możliwość zarobienia szybkich "pieniędzy" oraz zaawansowany technologicznie charakter przedmiotu przestępstwa przyciąga wyrafinowanych oszustów, którzy są w stanie przeprowadzić hacki i schematy "na wysokim poziomie".
W poprzednich dwóch latach przestępczość kryptowalutowa została zdominowana przez masowe oszustwa, których mastermindowie zniknęli. W 2019 roku schemat Ponzi PlusToken zebrał ponad 2,9 miliarda dolarów od chińskiego społeczeństwa, co stanowiło prawie 50% wszystkich przestępstw w tym roku. W 2020 roku podobny schemat WoToken łupił inwestorów 1,1 miliarda dolarów, co stanowiło około 15% całkowitej przestępczości w 2020 roku.
CipherTrace podaje, że od 2020 roku prawie połowa wszystkich hacków kryptowalutowych dotyczyła projektów DeFi. W pierwszych 8 miesiącach 2021 roku straty w DeFi stanowiły prawie 54% całej działalności przestępczej w branży. Sytuację komplikuje fakt, że nie wszyscy nowi gracze w branży kryptowalut mieli czas na odpowiednie dostosowanie swoich systemów bezpieczeństwa do ewentualnego zagrożenia.
Jak oszuści kradną kryptowaluty?
Powszechne podejścia oszustów do kradzieży aktywów kryptowalutowych, a także do włamań na giełdy kryptowalutowe i ich ekosystemy:
Stosowanie elementów socjotechniki wobec pracowników giełdy, a także dystrybucja złośliwego oprogramowania i przekupywanie pracowników. Daje to atakującym dostęp do kont administracyjnych i wewnętrznych systemów giełdy.
Włamywanie się na konta założycieli giełd i twórców oprogramowania. Szczególnie niebezpiecznym okresem w cyklu życia projektu kryptowalutowego jest faza podziału, która naraża spółki dominujące lub zależne na dodatkowe ryzyko z powodu wycieków krytycznych informacji podczas reorganizacji.
Baseny DeFi (ściągacze do dywanów). Zazwyczaj oszustom udaje się zwabić inwestorów i wycofać ich tokeny z kontrolowanej przez nich puli wśród szerokiego rozgłosu i powszechnego wśród inwestorów syndromu utraty zysku, FOMO.
Spofing lub włamanie do aplikacji internetowej giełdy kryptowalutowej łączącej klienta z jego pieniędzmi na serwerach giełdy, a także atak na "gorące portfele" klientów. Usługi powiernicze giełd kryptowalutowych oferują wiele korzyści, takich jak wysoka prędkość transakcji, wsparcie klienta, ubezpieczenie itp. Jednak scentralizowana kontrola kluczy prywatnych, kont użytkowników i haseł okazała się poważnym zagrożeniem dla bezpieczeństwa giełd.
Inna forma ryzyka pojawia się, gdy zaangażowanym deweloperom brakuje wiedzy finansowej, by przewidzieć konsekwencje manipulacji cenowych i luk arbitrażowych. Na przykład w październiku 2020 roku haker wykorzystał niekontrolowaną możliwość arbitrażu na platformie Harvest Finance. Wykorzystał on błyskawiczną pożyczkę w wysokości 50 milionów dolarów do manipulowania cenami puli płynności i był w stanie wycofać aktywa kryptowalutowe o wartości 25 milionów dolarów. Po ataku cena tokena FARM gwałtownie spadła o 65%. Następnie wielokrotnie dochodziło do podobnych ataków.
Sytuacja na świecie
Według badania Crystal Blockchain, w ciągu ostatnich dziesięciu lat miało miejsce 120 ataków bezpieczeństwa, 73 ataki na projekty DeFi i 33 oszustwa, co spowodowało kradzież kryptowalut o wartości około 12,1 miliarda dolarów.
W raporcie zauważono, że z projektów DeFi wykradziono ponad 1,7 mld dolarów. Zdaniem ekspertów Crystal wynika to z faktu, że nowe technologie wciąż mają wiele podatności
Największy hack miał miejsce w 2021 roku w projekcie DeFi Poly Network. Haker obrał za cel ponad 614 milionów dolarów w skradzionych tokenach i odzyskał część skradzionych tokenów.
Liderem w "praniu brudnych bitcoinów" była giełda BTC-e. W ciągu kilku lat zalegalizowano ponad 200 tysięcy BTC. Według bazy danych Crystal, ponad jedna trzecia (39%) wszystkich skradzionych bitcoinów została rozprowadzona za pośrednictwem nieuczciwych giełd — platform handlowych zaangażowanych w oszustwa wyjazdowe, nielegalne transakcje lub przechowywanie cyfrowych aktywów skonfiskowanych przez władze.
Podsumowanie raportu zespołu Crystal
Najczęstszą metodą kradzieży kryptowalut była infiltracja systemów bezpieczeństwa giełd kryptowalutowych. Największą jak dotąd stratą giełdową wynikającą z naruszenia bezpieczeństwa był incydent Coincheck w Japonii w 2018 roku (535 mln USD). W sumie naruszenia bezpieczeństwa spowodowały kradzieże o wartości 3,18 mld dolarów.
