La nuova minaccia per la DeFi: come i pool di liquidità malevoli stanno ingannando gli utenti di Ethereum e Polygon con quotazioni ingannevoli

Una tattica alla «Jekyll e Hyde»

Secondo una nuova ricerca pubblicata il 16 luglio dalla società di infrastrutture DeFi Enso, una categoria di pool di liquidità della finanza decentralizzata (DeFi) di natura malevola, recentemente scoperta, sta prendendo di mira l’infrastruttura fondamentale su cui fanno affidamento i trader di criptovalute per trovare i prezzi migliori. L’azienda definisce queste configurazioni ingannevoli “pool tossici”. A differenza dei tipici attacchi alle criptovalute che sottraggono fondi direttamente dagli smart contract, questi pool sono progettati per ingannare sistematicamente le simulazioni di transazione. Restituiscono quotazioni di prezzo allettanti e altamente competitive quando un portafoglio di criptovalute o un aggregatore di exchange decentralizzati (DEX) esegue una simulazione, ma modificano il loro comportamento nel momento in cui la transazione viene effettivamente eseguita sulla blockchain.

Il risultato è un drenaggio sottile e sistematico: i trader ricevono prezzi di esecuzione significativamente peggiori rispetto a quelli quotati, oppure le loro transazioni falliscono, con conseguente spreco delle commissioni di rete.

«La nostra indagine ci porta a ritenere che non si tratti semplicemente di un altro exploit isolato di uno smart contract», ha affermato Milos Costantini, cofondatore e chief product officer di Enso. «Il settore ha dedicato anni all’ottimizzazione della determinazione dei prezzi. I nostri risultati suggeriscono che la prossima sfida sia verificare l’integrità dell’esecuzione».

Secondo il rapporto di Enso, i pool tossici sfruttano le simulazioni «dry-run» off-chain che i wallet utilizzano per visualizzare in anteprima le operazioni. I contratti malevoli rilevano quando vengono eseguiti in un ambiente di simulazione di sola lettura e restituiscono un prezzo ottimizzato artificialmente. Una volta che la transazione viene effettivamente trasmessa sulla blockchain, il pool altera la propria logica matematica per eseguire l’operazione a un tasso svantaggioso. Per rimanere nascosti ai sistemi di sicurezza, questi pool alternano stati onesti e maliziosi, rendendo inefficaci gli scanner di codice statico e i filtri basati sulla reputazione storica. Questo schema di “bait-and-switch” (esca e sostituzione) peggiora l’esperienza utente e prosciuga i fondi degli utenti attraverso transazioni fallite. In un caso di studio, un pool Curve manipolato ha innescato oltre 37.000 operazioni annullate, costringendo gli utenti a bruciare quasi 30.000 dollari in commissioni gas.

Gli aggressori stanno inoltre sfruttando le architetture di exchange modulari di nuova generazione. Su Polygon, un “hook” malevolo — un plugin per smart contract utilizzato in piattaforme come Uniswap v4 — ha attirato i sistemi di instradamento con tassi falsi prima di innescare un tasso di fallimento delle transazioni del 99,1%.

Risultati dell’analisi forense on-chain

La ricerca, che ha richiesto circa due mesi di analisi forense on-chain, ha combinato dati storici dei nodi di archivio, analisi delle tracce delle transazioni e ispezioni degli smart contract. Gli ingegneri di Enso, con il supporto di contatti presso i principali protocolli DeFi Curve Finance e Oku, hanno identificato pool tossici attivi operanti sia sulla blockchain di Ethereum che su quella di Polygon.

In un caso di studio documentato su Ethereum, un pool Curve manipolato ha elaborato oltre 129.000 swap. Sebbene il pool sembrasse rappresentare il percorso ottimale, ha fornito un’esecuzione peggiore rispetto a quella quotata, portando a quotazioni sovrastimate per circa 225.000 dollari.

Inoltre, il team di Enso ha individuato diversi contratti oracolo sulla blockchain distribuiti dallo stesso operatore per supportare pool aggiuntivi, il che indica che questa tattica è probabilmente più diffusa rispetto ai due casi documentati e potrebbe rappresentare un modello emergente per l’estrazione on-chain.

Questi risultati rappresentano una sfida diretta per il livello rivolto agli utenti dell’ecosistema DeFi. I portafogli più diffusi, le interfacce rivolte ai consumatori e gli aggregatori dipendono fortemente da simulazioni automatizzate per garantire il “percorso migliore” per le operazioni di un utente.

Il rapporto di Enso sottolinea che, se l’infrastruttura di instradamento non è in grado di distinguere tra una quotazione legittima e una manipolata, i front-end continueranno a indirizzare gli utenti verso queste trappole. Ciò crea potenziali rischi di responsabilità legale e finanziaria per i fornitori di portafogli e gli operatori di interfaccia che promettono la “migliore esecuzione” ma forniscono sistematicamente percorsi tossici.

In risposta a questa minaccia, Enso ha annunciato di aver aggiornato il proprio prodotto di protezione dell’esecuzione, Enso Shield, per includere un sistema dedicato al rilevamento dei pool tossici. Lo strumento di sicurezza è progettato per aggirare i metodi di simulazione standard analizzando il contesto on-chain in tempo reale, monitorando la cronologia delle quotazioni e utilizzando le tracce delle transazioni per individuare discrepanze nell’esecuzione.

Anziché attribuire la colpa ai singoli exchange decentralizzati, Enso ha invitato l’intero settore delle criptovalute a condurre ulteriori ricerche sulla manipolazione delle simulazioni delle transazioni. «Se le simulazioni delle transazioni possono essere manipolate mentre l’esecuzione reale racconta una storia diversa», ha affermato Costantini, «abbiamo bisogno di metodi migliori per verificare ciò che gli utenti ricevono effettivamente».