Preoccupazioni per la sicurezza trovate nella soluzione Ethereum L2 Blast: Resonance Security

Blast, la nuova soluzione Ethereum Layer 2, presenta alcune preoccupazioni per la sicurezza, secondo una ricerca rapporto della società di cybersecurity Resonance Security. Blast ha rapidamente guadagnato trazione nell'industria crypto. Promette punti, airdrop, jackpot, rendimenti di staking nativo e condivisione delle entrate gas. Ma Resonance afferma che Blast dovrebbe migliorare le sue misure di sicurezza.

Dall'annuncio al lancio, Blast ha accettato depositi ETH attraverso un bridge a senso unico. Ciò ha permesso agli utenti di accumulare rendimento nativo e Blast Points, promettendo ai primi adottatori l'accesso a un futuro airdrop. 

Nonostante le critiche da parte di importanti finanziatori come Paradigm, questa strategia ha aumentato la popolarità di Blast. Ha attirato 600 milioni di dollari nella sua prima settimana, raggiungendo oltre 1 miliardo di dollari entro gennaio 2024. Ad oggi, il valore totale bloccato (TVL) di Blast è di $3.16 miliardi, rendendolo il quarto più grande EVM L2.

Gli utenti possono depositare ETH su Blast in cambio di token L2 liquidi. L'ETH depositato viene messo in staking nei pool di staking Lido tramite smart contract Blast, guadagnando un tasso di interesse del 4%. 

Per le stablecoin, gli utenti le trasferiscono su Blast per USDB, la stablecoin ufficiale di Blast, che genera rendimento attraverso il protocollo T-bill di MakerDAO con un tasso di interesse del 5%. USDB può essere riscattato in DAI quando viene trasferito indietro su Ethereum.

Blast Gold viene assegnato alle dApp costruite sulla catena, ricompensandole per l'uso di funzionalità native di Blast, ed è distribuito manualmente ogni 2-3 settimane o durante eventi jackpot.

Blast eredita preoccupazioni per la sicurezza

Secondo Resonance, la dipendenza di Blast da protocolli DeFi di terze parti come Lido e MakerDAO introduce potenziali rischi. Se uno qualsiasi dei pool o protocolli che generano rendimento su queste piattaforme viene compromesso, anche i token associati degli utenti di Blast saranno interessati. Questa dipendenza dalla sicurezza di Lido e MakerDAO per proteggere i fondi degli utenti potrebbe portare a problemi finanziari per gli utenti di Blast.

In precedenza, HTX Square ha sottolineato ha segnalato che il contratto LaunchBridge di Blast (0x5f…a47d) non è un bridge rollup ma un "contratto custodiale protetto da un indirizzo multisig 3/5". Jarrod Watts di Polygon Labs ha anche espresso preoccupazioni per questi indirizzi multisig, affermando che sono stati creati di recente e che i loro proprietari sono sconosciuti. 

CryptoHopper ha messo in discussione la rivendicazione di Blast di essere un L2, affermando: "Blast manca delle necessarie prove di validità per una radice di stato L2 e non ha un meccanismo anti-frode in atto." Resonance ritiene che il Risk Summary di Blast corrobori ulteriormente queste preoccupazioni.

Resonance ha anche esaminato i protocolli di sicurezza di Lido e MakerDAO. MakerDAO non ha pubblicato un verifica di sicurezza dei loro smart contract in tre anni, con alcune verifiche che risalgono a cinque anni fa. 

Questo è preoccupante perché gli smart contract possono essere suscettibili a vulnerabilità appena scoperte e dovrebbero essere verificati periodicamente. Resonance afferma che una rapida query per CVE degli smart contract nel NIST National Vulnerability Database ha restituito 584 record pubblicati tra il 2018 e il 2024. Sebbene i contratti specifici potrebbero non essere suscettibili a tutti questi CVE, è probabile che lo siano ad alcuni.

Mantenere la sicurezza degli smart contract richiede un approccio multifattoriale, che include audit di sicurezza pre-distribuzione e periodici, nonché programmi di bug bounty.

"La comunicazione regolare e i test di sicurezza congiunti possono anche aiutare a convalidare questi standard e a migliorarli nel tempo."

Resonance Security

I progetti più piccoli devono essere meticolosi nella scelta dei loro fornitori terzi. La valutazione proattiva delle opzioni terze per standard di sicurezza rigorosi può risparmiare ai progetti molti mal di testa nel lungo termine. Se le opzioni terze non soddisfano gli standard richiesti dal progetto, lo sviluppo di soluzioni interne potrebbe essere un'alternativa più sicura, purché il progetto abbia le risorse per farlo. 

Ciò consente un controllo completo sulla sicurezza. Formare partnership o alleanze con altri progetti può aiutare a difendere collettivamente pratiche di sicurezza migliori con i fornitori terzi più grandi. Una fronte unita avrà più influenza degli sforzi individuali, ha dichiarato Resonance.

Jai Hamid