'Defender' do OpenZeppelin dá às equipes DeFi uma arma contra ataques de empréstimos rápidos

OpenZeppelin, uma empresa de software e segurança de Criptomoeda , acaba de lançar um pacote de software para projetos de Finanças descentralizadas (DeFi) que lutam contra ataques de empréstimo relâmpagoe outras façanhas.

O Defender é um conjunto de software que fornece às equipes alertas quando uma exploração está ocorrendo, bem como scripts automatizados para responder a essa exploração em tempo real.

Desde que surgiram no verão passado, aplicações de yield farming e outros Mercados DeFi povoaram o blockchain Ethereum e atraíram bilhões em capital. Esses pools de capital também se tornaram honeypots lucrativos para ataques cibernéticos.

Talvez o mais comum seja o exploit de empréstimo flash, em que um invasor toma emprestado tokens de vários pools de empréstimo de uma vez e usa cada empréstimo para pagar os outros, ao mesmo tempo em que usa o excesso para extrair valor de outros Mercados. Para garantir que o ataque ocorra rapidamente, o(s) invasor(es) paga(m) uma taxa de transação muito mais alta do que a média.

Do Yearn ao Compound e ao Cream, as plataformas financeiras descentralizadas perderam coletivamente quase US$ 150 milhões com essas explorações desde 2020.

Leia Mais: Tudo o que você sempre quis saber sobre o ataque DeFi ‘Flash Loan’

O pacote Defender, disse o CTO da OpenZeppelin, Jonathan Alexander, ao CoinDesk, tem como objetivo mitigar os efeitos desses ataques e dar às equipes ferramentas automatizadas para responder a eles conforme acontecem — algo que pode ajudar a reduzir perdas no futuro.

"Se você detectar algo, pode notificar a equipe, mas também pode automatizar ações. Você pode chamar uma função de administrador para pausar o contrato inteligente ou mover tokens de um lugar para outro. Monitorar é uma ótima prática... mas agora você também pode responder com ações automatizadas."

Como o Defender funciona?

A chave para o Defender garantir um tempo de resposta adequado a um exploit, disse Alexander, é que ele monitora e altera equipes para exploits e oferece a elas código pronto para implantar para responder ao ataque. Esses scripts pré-codificados podem fazer coisas como pausar ou atualizar um contrato inteligente, ou podem executar tarefas automatizadas mais servis e cotidianas, como retransmissões de transações.

Dois dos recursos mais importantes, o Defender Sentinel e o Defender Admin, podem ajudar a conter os ataques de empréstimos rápidos que roubaram centenas de milhões em tokens no ano passado.

Em uma exploração de US$ 11 milhõesOs atacantes do Yearn manipularam a taxa de câmbio deDAI nos cofres do Yearn, contraindo empréstimos rápidos no Aave para USDT e USDC; estes foram então depositados em pools da Curve Finanças para falsificar a taxa de câmbio envolvendo USDT, USDC e DAI, que afetou o preço do DAI nos cofres do Yearn, causando liquidações e perdas.

O Defender identificaria esses ataques conforme eles acontecem, escaneando blocos para altas taxas de transação. Se houver uma irregularidade, a equipe recebe uma notificação (no Slack, por exemplo) e pode escolher um dos scripts automatizados do Defender para responder ao ataque. Um deles pode interromper todas as operações na cadeia, por exemplo, ou colocar endereços na lista negra.

No momento, o Defender T pode impedir um exploit antes que ele aconteça, mas pode ser usado para pará-lo antes que o explorador fuja com um monte de moedas. No futuro, a OpenZeppelin espera lançar uma versão que possa rastrear transações maliciosas no mempool do Ethereum (um tanque de retenção virtual para transações), embora isso leve tempo.

"Estamos monitorando bloco por bloco. Assim que um bloco é minerado, os Sentinels rodam e disparam autotasks, então estamos falando de segundos de tempo de reação. Isso ainda é depois do fato", disse Alexander, "mas uma reação QUICK em explorações passadas poderia ter economizado milhões de dólares."

Enquanto antes a coordenação de resposta a esses ataques dependia de mídias sociais e plataformas de mensagens, as correções levavam de minutos a horas. Se o Defender funcionar como descrito, os minutos e segundos de vantagem que ele dá às equipes na corrida contra o relógio do blockchain podem somar milhões em fundos economizados.

Em uma demonstração mostrada ao CoinDesk usando um estado histórico do blockchain Ethereum , o OpenZeppelin reproduziu um antigo exploit DeFi para demonstrar a reação e resposta do Defender. Alexander disse que qualquer equipe pode reproduzir seus antigos exploits usando o software para ver como as coisas poderiam ter sido diferentes.

Um potencial 'divisor de águas' para a mitigação de empréstimos rápidos

O OpenZeppelin já está trabalhando com empresas como Yearn, DYDX, Synthetic e outras para fazer sua solução funcionar na prática.

“Estamos especialmente animados por poder implementar a automação sabendo que as melhores práticas de segurança estão incorporadas. Acima de tudo, o Defender nos ajudou a lidar com o desconhecido-desconhecido da segurança para que possamos KEEP construindo”, disse Aparna Krishnan, cofundadora da Opyn, uma plataforma de opções DeFi, chamando a nova ferramenta de "divisor de águas".

Brendan Asselstine, CTO do protocolo DeFi de premiação PoolTogether, disse que sua plataforma usa o Defender "para automatizar vários aspectos do nosso protocolo" e "confiar nele como uma parte fundamental da nossa infraestrutura".

Considerando a taxa de ataques de empréstimos rápidos no ecossistema DeFi, agora que o Defender foi lançado, pode não demorar muito para vermos suas capacidades em ação.