Sicherheitsbedenken bei Ethereum-L2-Lösung Blast gefunden: Resonance Security

Blast, die neue Ethereum-Layer-2-Lösung, weist einige Sicherheitsbedenken auf, so eine Forschung Bericht des Cybersicherheitsunternehmens Resonance Security. Blast hat in der Krypto-Branche schnell an Popularität gewonnen. Es verspricht Punkte, Airdrops, Jackpots, native Staking-Yields und die Beteiligung an den Gas-Einnahmen. Aber Resonance sagt, Blast sollte seine Sicherheitsmaßnahmen verbessern.

Von der Ankündigung bis zur Einführung akzeptierte Blast ETH-Einzahlungen über eine Einbahnbrücke. Dies ermöglichte es Nutzern, natives Yield und Blast-Punkte anzusammeln und versprach frühen Anwendern den Zugang zu einer zukünftigen Airdrop-. 

Trotz der Kritik von großen Finanzgebern wie Paradigm hat diese Strategie die Popularität von Blast gesteigert. Sie zog in der ersten Woche 600 Millionen US-Dollar an und erreichte bis Januar 2024 über 1 Milliarde US-Dollar. Derzeit liegt der Total Value Locked (TVL) von Blast bei $3.16 Milliarden, was ihn zum viertgrößten EVM L2 macht.

Nutzer können ETH auf Blast einzahlen, um liquide L2-Token zu erhalten. Das eingezahlte ETH wird in Lido-Staking-Pools über Blast-Smart-Contracts gestaked und erzielt einen Zinssatz von 4 %. 

Für Stablecoins brücken Nutzer diese zu Blast für USDB, den offiziellen Stablecoin von Blast, der Yield durch MakerDAOs T-Bill-Protokoll mit einem Zinssatz von 5 % generiert. USDB kann bei der Rückbrücke zu Ethereum in DAI eingelöst werden.

Blast Gold wird an dApps vergeben, die auf der Chain gebaut werden, und belohnt sie für die Nutzung von Blast-nativen Funktionen. Es wird manuell alle 2–3 Wochen oder während Jackpot-Events verteilt.

Blast erbt Sicherheitsbedenken

Laut Resonance führt die Abhängigkeit von Drittanbieter-DeFi-Protokollen wie Lido und MakerDAO bei Blast zu potenziellen Risiken. Wenn irgendeine yield-generierende Pool oder Protokoll auf diesen Plattformen kompromittiert wird, sind auch die damit verbundenen Token der Blast-Nutzer betroffen. Diese Abhängigkeit von der Sicherheit von Lido und MakerDAO zum Schutz der Gelder der Nutzer könnte zu finanziellen Problemen für Blast-Nutzer führen.

Zuvor, HTX Square wies darauf hin dass der LaunchBridge-Contract von Blast (0x5f…a47d) keine Rollup-Brücke, sondern ein „custodial Contract, der durch eine 3/5-Multisig-Adresse geschützt ist“, ist. Jarrod Watts von Polygon Labs äußerte ebenfalls Bedenken bezüglich dieser Multisig-Adressen und sagte, dass sie neu erstellt wurden und ihre Besitzer unbekannt sind. 

CryptoHopper hinterfragte die Behauptung von Blast, ein L2 zu sein, und stellte fest: „Blast fehlt die notwendigen Gültigkeitsbeweise für einen L2-State-Root und hat keinen Anti-Fraud-Mechanismus implementiert.“ Resonance认为 Blast’s Risk Summary diese Bedenken weiter stützt.

Resonance untersuchte auch die Sicherheitsprotokolle von Lido und MakerDAO. MakerDAO hat keine Sicherheitsaudit ihrer Smart Contracts in drei Jahren veröffentlicht, wobei einige Audits bis zu fünf Jahre zurückreichen. 

Dies ist besorgniserregend, da Smart Contracts anfällig für neu entdeckte Schwachstellen sein können und regelmäßig auditiert werden sollten. Resonance stellt fest, dass eine schnelle Abfrage nach Smart-Contract-CVEs in der NIST National Vulnerability Database 584 zwischen 2018 und 2024 veröffentlichte Datensätze ergab. Während spezifische Contracts möglicherweise nicht anfällig für alle diese CVEs sind, sind sie wahrscheinlich für einige anfällig.

Die Aufrechterhaltung der Sicherheit von Smart Contracts erfordert einen vielschichtigen Ansatz, einschließlich Sicherheitsaudits vor der Bereitstellung und regelmäßiger Audits sowie Bug-Bounty-Programme.

„Regelmäßige Kommunikation und gemeinsame Sicherheitstests können auch dazu beitragen, diese Standards zu validieren und im Laufe der Zeit zu verbessern.“

Resonance Security

Kleinere Projekte müssen bei der Auswahl ihrer Drittanbieter sorgfältig vorgehen. Die proaktive Überprüfung von Drittanbieteroptionen auf strenge Sicherheitsstandards kann Projekten langfristig viele Kopfschmerzen ersparen. Wenn Drittanbieteroptionen die erforderlichen Standards eines Projekts nicht erfüllen, könnte die Entwicklung interner Lösungen eine sicherere Alternative sein. Solange das Projekt über die entsprechenden Ressourcen verfügt. 

Dies ermöglicht vollständige Kontrolle über die Sicherheit. Die Bildung von Partnerschaften oder Allianzen mit anderen Projekten kann helfen, kollektiv für bessere Sicherheitspraktiken bei größeren Drittanbietern zu plädieren. Eine einheitliche Front hat mehr Einfluss als einzelne Bemühungen, so Resonance.

Jai Hamid