Interview: Warum Hacker weiterhin DeFi-Protokolle angreifen, Lösungen

TL;DR-Zusammenfassung

• Die Häufigkeit, mit der Hacker Krypto- und DeFi-Protokolle angreifen, steigt weiterhin an.
• Über $7 Mrd. durch Angriffe auf die Krypto-Industrie verloren in 2021.
• Warum Hacker weiterhin die Krypto-Industrie ins Visier nehmen.

Die Häufigkeit, mit der Hacker den DeFi-Raum und die Kryptowährungsindustrie im weiteren Sinne angreifen, bleibt weiterhin eine Quelle der Besorgnis für die Branche.

Berichten zufolge haben im Jahr 2021 169 Blockchain-Hacking-Vorfälle stattgefunden, wobei fast 7 Milliarden US-Dollar an Geldern an Hacker verloren gingen. Im vergangenen Monat wurden nicht weniger als fünf Krypto-Hack-Fälle gemeldet, wobei DeFi-Protokoll Cream Finance das neueste Opfer dieser Hacker war. Es wird gesagt, dass über 130 Millionen US-Dollar gestohlen wurden.

Im Zusammenhang damit sprach Cryptopolitan mit Dmitry Mishunin, CEO und Gründer von HashEx, einem R&D-Unternehmen, das sich auf die Blockchain-Integration in Geschäftsprozesse und Cybersicherheit konzentriert. Dmitry verfügt über einen starken technischen Hintergrund in Cybersicherheit und dezentralen Anwendungen sowie über beeindruckende Erfahrung in der Entwicklung von Informationssicherheitssystemen.

Nachfolgend finden Sie Auszüge aus dem Interview

F: Sind Sie überrascht von der Anzahl der Hacks und Exploits, mit denen Benutzer in letzter Zeit konfrontiert sind?

Leider nicht. Wir sehen, dass immer mehr Menschen ihre Smart Contracts schreiben. Oft verfügen sie jedoch nicht über ausreichende Programmierkenntnisse und ein gutes Verständnis von Solidity – derzeit die einzige mit Ethereum kompatible Programmiersprache. Ein gutes Verständnis der Programmiersprache ist für die Erstellung eines zuverlässigen DeFi-Protokolls unerlässlich, und das Nichtkennen einiger seiner Nuancen kann leicht zu Exploits und gestohlenen Geldern führen.

F: Wie kann das Akzeptieren oder Unterzeichnen eines Smart Contracts, der bösartigen Code enthält, dazu führen, dass Ihre Assets gestohlen werden?

Jeder Benutzer sollte wissen, dass Blockchain-Transaktionen unwiderruflich sind: Sobald Sie eine bestimmte Menge eines ERC-20-Tokens an einen ERC-20-Smart Contract genehmigen, wird er unwiderruflich dorthin übertragen. Ein Vertrag kann über verifizierten Quellcode ohne Exploits verfügen, kann aber auch eine nicht verifizierte Bibliothek als Abhängigkeit haben. Die Genehmigung von Token für einen solchen Vertrag ist ein großes Risiko, da Sie nicht überprüfen können, wie die Bibliothek funktioniert.
Dies war der Fall beim StableMarket-Projekt, als mindestens 27 Millionen US-Dollar an Benutzerfonds gestohlen wurden. Die StableMarket-Projektverträge hatten einen überprüften Code, wurden jedoch mit einer nicht verifizierten Bibliothek bereitgestellt. Diese Bibliothek war bösartig und stahl die im Protokoll gespeicherten Token der Benutzer.

Ein weiteres Risiko für die Benutzer besteht darin, Token für einen upgradbaren Smart Contract zu genehmigen: Ein solcher Vertrag kann automatisch mit bösartigem Code aktualisiert werden und die genehmigten Token stehlen.
Oft genehmigen Frontend-Apps maximale Token-Mengen für einen Vertrag, nicht nur die Token-Menge, die verwendet werden soll. Dies geschieht, um die Gas-Gebühren in einer einzigen Transaktion zu bezahlen. Wenn ein Benutzer Token in einen Vertrag einzahlt, muss er zusätzlich für das Gas bezahlen. Wenn ein Vertrag jedoch bösartig handelt, kann er jede Menge Token aus der Wallet abheben.

Die beste Praxis für maximale Sicherheit besteht daher darin, die Genehmigungsmenge immer zu überprüfen und nur die Menge zu genehmigen, die für den Vertragsbetrieb erforderlich ist.

F: Werden Hacker intelligenter oder werden Kryptowährungsbenutzer bei ihren Cybersicherheitsverfahren weniger vorsichtig?

Beide Aussagen sind wahr. Hacker haben bei der Ausnutzung von Flash-Loan-Plattformen in Verbindung mit verschiedenen Protokollen zur Erstellung und Ausnutzung von Schwachstellen erhebliche Fortschritte gemacht. Für sich genommen sind diese anderen Plattformen die meiste Zeit sicher, aber Flash-Loans schaffen eine größere strukturelle Komplexität, was Schwachstellen häufiger macht.

Solche Angriffe sind sehr komplex. Selbst ihre Analyse erfordert viel Zeit. Und es gibt auch viele Hacks von Projekten, die einfach schlechten Code mit einfachen Fehlern enthalten, die höchstwahrscheinlich eliminiert würden, wenn Tests durchgeführt oder der Code ordnungsgemäß überprüft worden wäre.
Ein Teil der Schuld liegt auch bei den Benutzern, da viele von ihnen die sicheren Praktiken kennen, die das Risiko minimieren, wie zum Beispiel Cold Storage. Aber sie ignorieren sie oft, lassen sich von einer Gelegenheit, die ihnen ein vielfaches ROI bringen kann, den Kopf verdrehen. Manchmal verlieren sie am Ende einfach ihr Geld.

F: Wie können Benutzer ihre Assets auf Metamask und damit verbundenen dApps wie OpenSea und DeFi besser schützen?

Der beste Schutz besteht darin, nicht alle Assets in Hot Wallets zu speichern, sondern sie in Cold Wallets zu senden: Letztere haben keinen Internetzugang. Es ist am besten, nur eine kleine Menge an Assets, die für Operationen benötigt wird, in Hot Wallets zu speichern und den Rest in Cold Storage zu halten.
Darüber hinaus sollten Benutzer die Standard-Sicherheitsregeln befolgen: Antivirenprogramme verwenden, das Öffnen verdächtiger Links in E-Mails vermeiden und zwei-Faktor-Authentifizierung verwenden, wenn möglich.

F: Glauben Sie, dass Hacks und Exploits häufiger werden, wenn die Branche wächst?

Wenn die Branche wächst und mehr Projekte gestartet werden, werden mehr von ihnen das Risiko eines Hacks ausgesetzt sein. Sie können nicht alle Fehler in allen Projekten eliminieren, aber Blockchain-Sicherheitsunternehmen arbeiten ständig daran, sie zu minimieren. Dazu gehört nicht nur die Überprüfung des Quellcodes von Projekten, sondern auch die Entwicklung analytischer Tools, die helfen werden, das Auftreten von Fehlern ganz zu verhindern oder sie zumindest in den frühen Entwicklungsstadien zu finden.

F: Welche Rolle spielt HashEx bei der Expansion der Kryptowährungsindustrie?

Wir klären die Menschen über die Transparenz und Sicherheit der Nutzung dezentraler Anwendungen auf. Die Logik ihrer Arbeit ist für einen durchschnittlichen Benutzer zu komplex und unklar. Außerdem würde kein vernünftiger Mensch sein Geld etwas anvertrauen, das er nicht versteht, wie Pinocchio auf dem Feld der Wunder. Wir erklären komplexe Begriffe in einfachen Worten und bringen die Fallstricke ans Licht, auf die die Menschen achten sollten und die sie vermeiden sollten, und wir helfen potenziellen Investoren auch dabei, eine fundierte Entscheidung über ihre Gelder zu treffen.

Aber primär sind wir eine Audit-Firma, die sich auf DeFi und Kryptowährungen konzentriert. Das bedeutet, dass wir viele Audits von Smart Contracts durchführen und somit Krypto-Projekten helfen, das Vertrauen der Investoren zu gewinnen, da Investoren Projekten, die gut vor kostspieligen Fehlern geschützt sind, die ihre Investoren finanziell treffen könnten, besser vertrauen.

F: Was sind Ihre Gedanken zu den Maßnahmen der G7 und des US-Präsidenten Joe Biden, um Ransomware, Cybersicherheit und häufige Krypto-Hacks zu beenden?

Die ständige Verbesserung der Sicherheitsstandards ist Teil unserer Routine und unserer Unternehmensideologie. Wir versuchen, Vertrauen in den vertrauenslosen DeFi-Raum zu bringen. Und dieses Problem ist in jedem IT-Bereich entscheidend, nicht nur in DeFi. Mit dem raschen Aufkommen neuer Softwareprodukte wird dem Cybersicherheitsaspekt leider nicht genug Aufmerksamkeit geschenkt, was Hackern Möglichkeiten zur Ausnutzung bietet. Dafür gibt es zwei Hauptgründe: „Mausklick-Programmierung“ und eine Arbeitskräfte mit niedriger Qualität, der unnötigerweise große Gehälter geboten werden.

Dies ist ein Nachteil schnell wachsender IT-Unternehmen. In dieser rauen Umgebung versuchen die Unternehmen, sich gegenseitig zu überholen, neue Produkte anzubieten und oft die Augen vor Sicherheitsproblemen zu verschließen, trotz ihrer Bedeutung. Infolgedessen erhalten wir manchmal große Systeme, die von einer großen Anzahl von Kunden genutzt werden, die dennoch Fehler enthalten, die zum Verlust der Gelder der Benutzer führen können. Manchmal können die Folgen dieser Fehler sogar kontinental weitreichend sein.

Aus dieser Sicht ist staatliches Eingreifen völlig gerechtfertigt. Wenn es nicht die staatlichen Regierungen wären, die sich mit diesen Problemen befassen, wer würde dann die gierigen Geschäftsleute eindämmen und sie davon überzeugen, Anstrengungen in Sicherheitsmaßnahmen und die Entwicklung von Software auf sinnvolle Weise zu investieren?

Wenn die Menschen beginnen, Hacks an Regierungsbehörden zu melden, wird dies positive Auswirkungen haben. Rechtzeitige Informationen können dazu beitragen, die Folgen eines potenziellen Ausfalls zu minimieren, indem Reservekanäle eingeschaltet werden (die Situation mit der Ölversorgung der US-Ostküste kann als gutes Beispiel für diese Praxis angesehen werden).

Einheitliche Sicherheitsstandards in der Branche würden ebenfalls gut tun, wenn sie von Experten und nicht von Außenstehenden entwickelt werden. Selbst in der aktuellen frühen Phase der DApp-Entwicklung sehen wir, wie solche Standards von führenden Audit-Unternehmen implementiert werden. Die Integration solcher Protokolle wird allen zugutekommen: Sie wird die Programmierung erleichtern, den Code sicherer machen und die Gelder der Benutzer schützen.

F: Diese Hacks, sprechen Sie über ihre Auswirkungen auf die Kryptowährungsindustrie

Feedback für die Krypto-Industrie ist ein Versuch, die gestohlenen Gelder zu kontrollieren. Ich denke, das ist eine gute Sache. Derzeit können Sie nicht alle Annehmlichkeiten der realen Welt über Kryptowährung erhalten. Diese Situation ändert sich von Tag zu Tag, ist aber noch weit von Perfektion entfernt. Daher benötigen Hacker immer noch eine Brücke zwischen Krypto- und Fiat-Geldern, um illegal erworbene Gelder abzuheben.

Dies ist die Phase, in der Kriminelle identifiziert werden können. Je mehr von ihnen gefunden werden, desto weniger werden bereit sein, es erneut zu versuchen. Man kann sich daran erinnern, wie man in östlichen Kulturen früher Körperteile für Diebstahl abhackte. Solche Eingriffe von Strafverfolgungsbehörden haben einen völlig positiven Einfluss auf die Krypto-Industrie und ihren Ruf. Diese Handlungen lassen die Menschen sicherer fühlen.

F: Schlechte Akteure/Spieler hinter vielen dieser Krypto-Hacks, welche Sanktionen würden Sie empfehlen, um andere abzuschrecken?

Wie ich bereits gesagt habe, bin ich dafür, solche Individuen zu bestrafen. Ich würde solche Operationen als Finanzbetrug in unterschiedlichem Schweregrad betrachten und entsprechende rechtliche Maßnahmen gegen sie ergreifen. Ich würde nicht versuchen, zu diesem Zeitpunkt neue Gesetze auszuarbeiten.

F: Eine Krypto-Welt ohne Hacks ist kaum erreichbar. Wie können Krypto-Stakeholder, politische Entscheidungsträger und alle anderen Beteiligten Angriffe auf ein Minimum reduzieren?

Jeder IT-Bereich ist ohne Cyberbedrohungen nicht denkbar. Wenn wir jedoch von gewöhnlichen Unternehmen sprechen, sehen wir nur die Spitze des Eisbergs, nicht das ganze Bild. Es gibt viele mehr Hacks, die nicht ins Auge fallen, weil Unternehmen ihren Ruf untergraben könnten, wenn solche Informationen öffentlich werden. Bei Kryptowährungen ist alles transparent und allgemein bekannt, daher berichten die Massenmedien häufiger darüber.

Cybersicherheit ist eine multidimensionale Praxis, die regulatorische Rahmenwerke an den Ein- und Ausstiegsstellen von Krypto zu Fiat, Benutzeraufklärung, Cybersicherheitsteams, die den Code überprüfen, usw. umfasst. Diese Branche ist noch jung, was eine hervorragende Gelegenheit bietet, sie in die richtigen Entwicklungsrichtungen zu lenken. Auf diese Weise können wir von Anfang an sicherere Praktiken nutzen, anstatt später Löcher stopfen zu müssen.