De nieuwste bedreiging voor DeFi: hoe kwaadwillige liquiditeitspools Ethereum- en Polygon-gebruikers misleiden met valse koersen

Een ‘Jekyll en Hyde’-tactiek

Een nieuw ontdekte categorie kwaadaardige liquiditeitspools voor gedecentraliseerde financiering (DeFi) richt zich op de kerninfrastructuur waarop cryptocurrency-handelaren vertrouwen om de beste prijzen te vinden, zo blijkt uit nieuw onderzoek dat op 16 juli is gepubliceerd door DeFi-infrastructuurbedrijf Enso.

Het bedrijf noemt deze misleidende opstellingen ‘giftige pools’. In tegenstelling tot typische cryptovaluta-hacks waarbij geld rechtstreeks uit slimme contracten wordt onttrokken, zijn deze pools ontworpen om transactiesimulaties systematisch te misleiden. Ze geven aantrekkelijke, zeer concurrerende koersen weer wanneer een cryptowallet of een aggregator van gedecentraliseerde beurzen (DEX) een simulatie uitvoert, maar ze veranderen hun gedrag op het moment dat de transactie daadwerkelijk op de blockchain wordt uitgevoerd.

Het resultaat is een subtiele, systematische leeghaling: handelaren krijgen aanzienlijk slechtere uitvoeringsprijzen dan waarvoor ze een offerte hadden gekregen, of hun transacties mislukken, waarbij netwerkkosten worden verspild.

"Ons onderzoek doet ons geloven dat dit niet zomaar weer een op zichzelf staande exploit van een smart contract is", aldus Milos Costantini, medeoprichter en chief product officer bij Enso. "De sector heeft jarenlang gewerkt aan het optimaliseren van prijsvorming. Onze bevindingen wijzen erop dat de volgende uitdaging ligt in het verifiëren van de integriteit van de uitvoering."

Volgens het rapport van Enso maken toxische pools misbruik van de off-chain ‘dry-run’-simulaties die wallets gebruiken om transacties vooraf te bekijken. De kwaadaardige contracten detecteren wanneer ze in een alleen-lezen simulatieomgeving draaien en geven dan een kunstmatig geoptimaliseerde prijs terug. Zodra de transactie daadwerkelijk on-chain wordt verzonden, past de pool zijn wiskundige logica aan om de transactie tegen een verslechterde koers uit te voeren.

Om verborgen te blijven voor beveiligingssystemen, wisselen deze pools af tussen eerlijke en kwaadaardige toestanden, waardoor statische codescanners en historische reputatiefilters niet meer effectief zijn. Dit ‘bait-and-switch’-ontwerp verslechtert de gebruikerservaring en put het geld van gebruikers uit door mislukte transacties. In één casestudy veroorzaakte een gemanipuleerde Curve-pool meer dan 37.000 teruggedraaide transacties, waardoor gebruikers gedwongen werden bijna $30.000 aan gasvergoedingen te verspillen.

Aanvallers maken ook misbruik van modulaire beursarchitecturen van de volgende generatie. Op Polygon lokte een kwaadaardige „hook“ — een smart contract-plug-in die wordt gebruikt in platforms zoals Uniswap v4 — routingsystemen met valse koersen, waarna een transactiefoutpercentage van 99,1% werd veroorzaakt.

Bevindingen uit on-chain forensische analyse

Het onderzoek, dat ongeveer twee maanden aan on-chain forensische analyse omvatte, combineerde historische gegevens van archiefknooppunten, transactietrace-analyse en inspecties van smart contracts. Enso-ingenieurs identificeerden, met ondersteuning van contacten bij de grote DeFi-protocollen Curve Finance en Oku, actieve schadelijke pools die actief waren op zowel de Ethereum- als de Polygon-blockchain.

In één gedocumenteerde casestudy op Ethereum verwerkte een gemanipuleerde Curve-pool meer dan 129.000 swaps. Hoewel de pool de optimale route leek te zijn, leverde deze een slechtere uitvoering op dan aangegeven, wat leidde tot ongeveer 225.000 dollar aan te hoge koersen.

Bovendien identificeerde het team van Enso meerdere blockchain-oracle-contracten die door dezelfde exploitant waren ingezet om aanvullende pools te ondersteunen, wat erop wijst dat deze tactiek waarschijnlijk op grotere schaal wordt toegepast dan de twee gedocumenteerde gevallen en mogelijk een opkomend patroon voor on-chain-extractie vertegenwoordigt.

De bevindingen vormen een directe uitdaging voor de gebruikersgerichte laag van het DeFi-ecosysteem. Populaire wallets, gebruikersinterfaces en aggregators zijn sterk afhankelijk van geautomatiseerde simulaties om de „beste route“ voor de transactie van een gebruiker te garanderen.

Het rapport van Enso benadrukt dat, als de routeringsinfrastructuur geen onderscheid kan maken tussen een legitieme koersnotering en een gemanipuleerde, front-ends gebruikers zullen blijven sturen naar deze valstrikken. Dit creëert potentiële juridische en financiële aansprakelijkheidsrisico’s voor wallet-aanbieders en interface-exploitanten die „beste uitvoering“ beloven, maar stelselmatig schadelijke routes aanbieden.

Als reactie op deze dreiging heeft Enso aangekondigd dat het zijn product voor uitvoeringsbescherming, Enso Shield, heeft geüpdatet met een speciale detectiefunctie voor schadelijke pools. De beveiligingstool is ontworpen om standaard simulatiemethoden te omzeilen door live on-chain-context te analyseren, de koersgeschiedenis te monitoren en transactietrajecten te gebruiken om afwijkingen in de uitvoering op te sporen.

In plaats van individuele gedecentraliseerde beurzen de schuld te geven, heeft Enso de bredere cryptovaluta-industrie opgeroepen om verder onderzoek te doen naar de manipulatie van transactiesimulaties.

"Als transactiesimulaties kunnen worden gemanipuleerd terwijl de daadwerkelijke uitvoering een ander beeld laat zien," zei Costantini, "hebben we betere manieren nodig om te verifiëren wat gebruikers daadwerkelijk ontvangen."