Pontes de Blockchain KEEP sendo atacadas. Veja como prevenir isso

Pontes entre cadeias tornam possível a interoperabilidade dentro da esfera do blockchain. Elas permitem que os protocolos se comuniquem ONE si, compartilhem dados e criem novos e empolgantes casos de uso que estão ajudando a impulsionar a Web3 para novas fronteiras. Mas, como o deste mês Exploração da BNB Smart Chain nos lembra que eles são vulneráveis a ataques.

Se quisermos aproveitar o potencial que as pontes oferecem, precisamos Aprenda a protegê-las.

As pontes ganharam, com razão, a reputação de Web3LINKapós uma série de explorações neste ano. Assim como os ladrões preferem mirar em ativos enquanto eles são transportados em vans (em vez de serem trancados em cofres de bancos com sistemas de segurança sofisticados), os hackers perceberam que tokens em trânsito são similarmente vulneráveis.

Coby Moran é o principal investigador da Merkle Science, uma plataforma de risco e inteligência preditiva Web3. Anteriormente, ele atuou como analista do U.S. Federal Bureau of Investigation.

Eles também sabem que fundos substanciais estão cruzando essas intersecções. Com ativos totais estimados em mais de54 mil milhões de dólares, Finanças descentralizadas (DeFi) apresentam um alvo especialmente atraente. Mesmo antes do ataque ao BNB , pontes Cripto foram destaque em mais de US$ 1,6 bilhão dos US$ 2 bilhões roubados de protocolos DeFi em 2022. A magnitude e a regularidade dessas explorações demonstram por que pontes caídas estão ganhando notoriedade.

• Fevereiro: Buraco de minhoca– 375 milhões de dólares
• Marchar: Ponte Ronin– 624 milhões de dólares
• Agosto: Ponte Nômade– US$ 190 milhões
• Setembro: Mudo de inverno– US$ 160 milhões

Pela minha experiência, conduzindo analistas na trilha de fundos roubados (como no casoexploração recente do Wintermute), fica claro que a prevenção e a defesa são onde a comunidade blockchain deve concentrar seus esforços coletivos.

Veja também:Chamar um hack de exploit minimiza o erro Human | Opinião

O Federal Bureau of Investigation alertou os investidores de que os criminosos cibernéticos estão tirando vantagem da “complexidade da funcionalidade entre cadeias”. Isso certamente se alinha com as narrativas atuais de que as pontes não são apenas vulneráveis, mas vulnerabilidades.

Mas há maneiras de prevenir exploits. Como ex-analista do FBI com tempo na força-tarefa de crimes cibernéticos em Washington, D.C., posso dizer que exploits raramente são diabolicamente inteligentes ou sofisticados (do tipo que você pode ver em um filme de Hollywood). Em vez disso, eles são frequentemente violações de segurança previsíveis.

Aderindo ao mundo das pontes, que normalmente são exploradas após a introdução de bugs de código ou chaves criptográficas vazadas, são frequentemente razoavelmente sofisticadas, mas previsíveis. Veja exploits como estes:

• Depósitos falsos:Bridgesmonitor para Eventos de depósito em um blockchain para iniciar uma transferência para outro. Se um ator mal-intencionado for capaz de gerar um evento de depósito sem fazer um depósito real, ou fizer um depósito com um token sem valor, ele pode retirar valor da ponte do outro lado. TheQubit Finanças ataque em janeiro é um bom exemplo, enganando o protocolo fazendo-o pensar que os invasores tinham depositado dinheiro quando não tinham.
• Falhas do validador:As pontes também realizam a validação de depósitos antes de permitir transferências. Hackers podem tentar criar depósitos falsos capazes de derrotar esse processo. Isso aconteceu no hack do Wormhole, onde uma falha na validação da assinatura digital foi explorada. Tecnicamente, esse foi um exemplo de uma exploração familiar de contrato inteligente. Mas, como estamos aprendendo, se isso acontece em uma ponte, a ponte é culpada.
• Aquisição do validador:Este cenário depende de assumir um certo número de validadores originalmente configurados para votar sim ou não em uma transferência de Criptomoeda . Ao controlar a maioria dos votos, o invasor pode aprovar quaisquer transferências. No hack da Ronin Network, por exemplo, cinco dos nove validadores da ponte foram comprometidos dessa forma.

Como esses exemplos sugerem, focar nas deficiências das pontes e ao mesmo tempo não abordar medidas de segurança no nível do solo não é o caminho a seguir. Pontes em si não são o problema; a Tecnologia é, afinal, agnóstica. O fator mais comum em todas as explorações é o erro Human . Investigações pós-hack e correções subsequentes geralmente servem para destacar nossa antiga tendência de fechar a porta do celeiro somente depois que um cavalo foge.

Problemas Human

Ao conduzir investigações, frequentemente conversamos sobre as coisas com os membros da equipe de um projeto – porque, frequentemente, eles são alvos de exploits. Hackers raramente fazem algo totalmente novo com cada exploit, mas, em vez disso, confiam em uma série de truques antigos.

Engenharia social, ou mirar em pessoas para obter acesso a contas privilegiadas, é um caso clássico. As pessoas podem ser feitas amigas e baixar a guarda ou importunadas com perguntas suficientes para revelar um Secret.

Veja a Ronin Bridge, uma sidechain Ethereum construída para o Axie Infinity que permitiu que os usuários transferissem ativos para a mainnet Ethereum . Cinco dos nove nós validadores da ponte foram comprometidos em um ataque de phishing. Depois, a Ronin anunciou planos para aumentar esse número, tuitando que “a causa raiz do nosso ataque foi o pequeno conjunto de validadores que tornou mais fácil comprometer a rede”.

Lá vão aquelas portas de celeiro se fechando.

Também vemos limitações Human impactando a capacidade de criar código adequado ao propósito. Um contínuo escassez de desenvolvedores significa que não há especialistas suficientes capazes de construir e analisar pontes. Olhando novamente para o incidente do Wormhole, vemos que ele foi auxiliado por uma falha de codificação que permitiu que hackers configurassem um conjunto de assinaturas fraudulentas autorizando transações para cunhar ether (ETH).

Se isso tivesse sido descoberto antes, essa via de ataque poderia ter sido fechada. Nem é preciso dizer que o Wormhole tinha números de contribuidores enxutos. (Para o inverso aqui, observe que o Ethereum, com suas numerosas equipes grandes de desenvolvedores, evitou até agora um grande hack.)

Veja também:As Pontes Blockchain São Seguras? Por que as Pontes São Alvos de Hacks

Pontes são alvos fáceis – pontos centrais onde grandes somas são armazenadas sem proteção robusta – e continuarão a ser atacadas. Mas devemos ter em mente que não são apenas as pontes que são vulneráveis; blockchains em ambos os lados são colocadas em risco por conexões mal protegidas. É hora de se educar e ser auditado.

Educação:

• Considere fazer um curso certificado em segurança de blockchain.
• KEEP -se atualizado com as atualidades do setor.
• Quando um exploit chega às notícias, faça sua própria pesquisa. O que você pode Aprenda que pode beneficiar seu próprio projeto?

Auditoria:

• Garanta que o novo código de ponte seja auditado antes do lançamento e testado posteriormente.
• Aumente o número de validadores.
• Verifique regularmente se há Eventos de depósito falso.
• Crie uma força-tarefa de pessoal para se concentrar na segurança
• Considere usar especialistas para realizar uma auditoria. Pergunte se eles usam as últimas ferramentas de rastreamento cross-chain.
• Oferecer recompensas por insetos ajudará você a cobrir mais terreno.
• Garanta que os endereços de contratos inteligentes sejam monitorados continuamente.

O ponto principal é que a Cripto como um todo sofre um golpe financeiro e de reputação toda vez que uma exploração faz WAVES. A resposta é Aprenda com os erros que os hackers nos ensinam repetidamente, tornando-nos mais proativos em nossos esforços para evitar performances repetidas.

Bridges são peças vitais da infraestrutura Web3 sem as quais não podemos viver atualmente. E precisamos defendê-las de forma mais eficaz.