Welche Mängel in der Web3-Sicherheit wurden durch den KelpDAO-Hack aufgedeckt?
- Web3-Sicherheitsvorfälle haben gezeigt, dass Apps selten direkt mit Chains interagieren, sondern sich auf RPC-Daten verlassen.
- Die Datenschicht kann fehlerhaft oder zensiert sein, was zu einer Diskrepanz zwischen den App-Daten und den On-Chain-Bilanzen führt.
- Web3-Sicherheit ist eine Frage der Geschwindigkeit, und Protokolle müssen die Reaktion auf verdächtige Transaktionen automatisieren.
Der KelpDAO-Hack zeigte mehrere Schwachstellen in der Web3-Sicherheit. Das größte Problem war, dass Blockchains Transaktionen, die auf fehlerhaften Daten basierten, makellos ausführten.
Die Web3-Sicherheit steht weiterhin im Vordergrund, um das Vertrauen in DeFi-Protokolle wiederherzustellen. Der KelpDAO-Hack hatte langfristige Auswirkungen auf DeFi-Lending und warf Fragen zur Verschärfung der Web3-Sicherheit auf.
Die jüngste Welle von Hacks im April könnte dazu führen, dass Apps die Art und Weise, wie sie auf Daten zugreifen und Transaktionen zulassen, neu bewerten. Ähnliche Hacks setzten sich im Mai fort, wobei bis Ende Mai 930.000 US-Dollar verloren gingen. Kürzlich verlor das Bisq Protocol 858.000 US-Dollar aufgrund fehlerhafter Protokolllogik und eines Fake-Client-Angriffs, laut DeFiLlama Daten.
Web3-Apps haben ein Problem bei der Datenüberprüfung
Laut Victor Fei von Ormilabs ist der KelpDAO-Hack ein klares Beispiel dafür, wie eine Anwendung weiterarbeiten kann, selbst wenn der Blockchain-Status nicht den Daten entspricht.
Fei erklärte, dass Anwendungen nicht immer direkt auf die Blockchain zurückgreifen. Stattdessen verlassen sie sich auf Vermittler wie RPC-Knoten, anstatt rohe On-Chain-Daten zu verwenden. Dies ist eine Anforderung für Ethereum und andere ältere Chains, die für die meisten Apps nicht mehr direkt zugänglich sind.
Bei einer begrenzten Datenquelle kann eine Brücke nur auf einen kleinen Satz von RPC-Knoten zurückgreifen. Wenn einige Quellen kompromittiert oder nicht verfügbar sind, kann die App mit schlechten Daten arbeiten, während die zugrunde liegende Kette die Transaktionen weiterhin als gültig zählt.
Die meisten modernen Web3-Apps greifen nicht direkt auf die Kette zu, sondern verlassen sich auf bestimmte Formen der Indizierung, um relevante Informationen abzurufen. Die Indizierung kann fehlerhafte Daten anzeigen oder zu einem direkten Angriffsvektor werden.
Der KelpDAO-Exploit enthüllte diese Verwundbarkeit in vollem Umfang. Der Verifizierungsprozess vertraute einer begrenzten Anzahl von RPC-Quellen, und Angreifer übernahmen einige dieser Quellen. Mit einer fehlerhaften Datenschicht verarbeitete die Blockchain die Transaktionen wie üblich und gab echte Münzen im Austausch für einen gefälschten Saldo aus.
Das Problem wird noch schwerwiegender, wenn KI-Agenten erlaubt wird, basierend auf einer begrenzten und potenziell fehlerhaften Datenschicht zu handeln.
Was kann die Web3-Sicherheit erhöhen?
Der größte Fehler im KelpDAO, Drift Protocol, und anderen jüngsten Hacks ist die Ausführungsgeschwindigkeit. Die meisten Transaktionen wurden sofort durchgeführt und im nächsten Block abgeschlossen, ohne Wartezeit oder zusätzliche Prüfungen. Web3 warb mit seiner Fähigkeit zu schnellen, erlaubnisfreien Transaktionen, ermöglicht es jedoch auch böswilligen Akteuren, ihre Diebstähle mit Geschwindigkeit auszuführen.
„Die Zukunft der Web3-Sicherheit hängt von der Geschwindigkeit ab. Unsere Daten zeigen, dass Hacking und Geldwäsche schnell und billig sind, während die Reaktion der Teams langsam und teuer ist“, kommentierte Vladyslav Syrotin, Head of Investigations bei Global Ledger gegenüber Cryptopolitan.
Syrotin ist der Ansicht, dass Web3-Projekte ihre Zeit bis zur Erkennung verkürzen sollten, um ungewöhnliche Abflüsse, plötzliche Liquiditätsrückgänge oder verdächtige Smart-Contract-Aufrufe zu erkennen.
Laut Syrotin sollten Warnungen und Blockierungen innerhalb einer Sekunde nach einem Angriff automatisiert werden, und Opferberichte sowie Datenkennzeichnungen sollten innerhalb von 10 Minuten bereitstehen. Derzeit dauert es Stunden oder Tage, um die Gesamtverluste zu beziffern und die Wallet-Cluster der Angreifer zu verfolgen.
Syrotin fügte hinzu, dass selbst ein langsameres Zeitfenster mit 30-Sekunden-Warnungen und Kennzeichnungen innerhalb von vier Stunden helfen kann, etwa die Hälfte der Vorfälle zu verhindern und Verluste zu reduzieren.
Lesen Sie nicht nur Krypto-Nachrichten. Verstehen Sie sie. Abonnieren Sie unseren Newsletter. Es ist kostenlos.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com übernimmt keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor der Entscheidung für eine Anlage unabhängige Recherchen durchzuführen und/oder sich mit einem qualifizierten Fachmann beraten zu lassen.
Hristina Vasileva
Hristina Vasileva spezialisiert sich auf Nachrichten zu DeFi, Wirtschaft und Ökonomie. Sie schloss ihr Studium an der Universität Sofia mit einem Master in Philosophie ab, nachdem sie einen vierjährigen Bachelor in Betriebswirtschaftslehre, Journalismus und Massenkommunikation absolviert hatte. Sie arbeitete für eine der führenden Zeitungen des Landes und berichtete über Rohstoffe und Unternehmensergebnisse. Derzeit ist Hristina freie Autorin bei Cryptopolitan.
