Problemi di sicurezza riscontrati nella soluzione Ethereum L2 Blast: Resonance Security

Blast, la nuova Ethereum , presenta alcune problematiche di sicurezza, secondo un rapporto della società di sicurezza informatica Resonance Security. Blast ha rapidamente guadagnato tracnel settore delle criptovalute. Promette punti, airdrop, jackpot, rendimenti da staking nativo e condivisione dei ricavi dal gas. Tuttavia, Resonance Security afferma che Blast dovrebbe migliorare le sue misure di sicurezza.

Dall'annuncio al lancio, Blast ha accettato depositi in ETH tramite un bridge unidirezionale. Questo ha permesso agli utenti di accumulare rendimento nativo e Blast Points, promettendo ai primi utenti l'accesso a un futuro airdrop. 

Nonostante le critiche di importanti investitori finanziari come Paradigm, questa strategia ha incrementato la popolarità di Blast. Hatrac600 milioni di dollari nella sua prima settimana, raggiungendo oltre 1 miliardo di dollari entro gennaio 2024. Ad oggi, il valore totale bloccato (TVL) di Blast ammonta a 3,16 miliardi di dollari, il che lo rende il quarto EVM L2 più grande.

Gli utenti possono depositare ETH su Blast in cambio di token L2 liquidi. L'ETH depositato viene investito in pool di staking Lido tramitetracintelligenti Blast, ottenendo un tasso di interesse del 4%. 

Per le stablecoin, gli utenti le collegano a Blast per ottenere USDB, la stablecoin ufficiale di Blast, che genera rendimento tramite il protocollo T-bill di MakerDAO con un tasso di interesse del 5%. USDB può essere riscattato per DAI quando viene ricollegato a Ethereum.

Blast Gold viene assegnato alle dApp create sulla catena, premiandole per l'utilizzo delle funzionalità native di Blast, e viene distribuito manualmente ogni 2-3 settimane o durante gli eventi jackpot.

Blast eredita problemi di sicurezza

Secondo Resonance, la dipendenza di Blast da protocolli DeFi di terze parti come Lido e MakerDAO introduce potenziali rischi. Se pool o protocolli che generano rendimento su queste piattaforme venissero compromessi, anche i token associati degli utenti di Blast ne risentirebbero. Questa dipendenza dalla sicurezza di Lido e MakerDAO per proteggere i fondi degli utenti potrebbe comportare problemi finanziari per gli utenti di Blast.

In precedenza, HTX Square aveva fatto notare LaunchBridge di Blasttractractractractractractractractracprotetto da un indirizzo multisig 3/5". Anche Jarrod Watts di Polygon Labs aveva sollevato dubbi su questi indirizzi multisig, affermando che sono stati creati di recente e che i loro proprietari sono sconosciuti. 

CryptoHopper ha messo in dubbio l'affermazione di Blast di essere un L2, affermando: "Blast non ha le prove di validità necessarie per una radice di stato L2 e non ha un meccanismo anti-frode in atto". Resonance ritiene che il riepilogo dei rischi di Blast corrobori ulteriormente queste preoccupazioni.

Resonance ha inoltre esaminato i protocolli di sicurezza di Lido e MakerDAO. MakerDAO non pubblica un audit di sicurezza dei propri smart contracttractre anni, e alcuni audit risalgono addirittura a cinque anni fa. 

Ciò è preoccupante perché gli smarttracpossono essere vulnerabili a nuove vulnerabilità e dovrebbero essere sottoposti a controlli periodici. Resonance afferma che una rapida query sui CVE degli smarttracnel NIST National Vulnerability Database ha restituito 584 record pubblicati tra il 2018 e il 2024. Sebbenetracspecifici potrebbero non essere vulnerabili a tutte queste CVE, è probabile che lo siano ad alcune.

Per mantenere la sicurezza degli smarttracè necessario un approccio multiforme, che comprenda verifiche di sicurezza periodiche e pre-distribuzione e programmi di bug bounty.

“Comunicazioni regolari e test di sicurezza congiunti possono anche contribuire a convalidare questi standard e a migliorarli nel tempo.”

Sicurezza di risonanza

I progetti più piccoli devono essere meticolosi nella scelta dei fornitori terzi. Valutare proattivamente le opzioni di terze parti per verificarne il rispetto di rigorosi standard di sicurezza può risparmiare ai progetti molti grattacapi nel lungo periodo. Se le opzioni di terze parti non soddisfano gli standard richiesti da un progetto, sviluppare soluzioni interne potrebbe essere un'alternativa più sicura. A patto che il progetto disponga delle risorse necessarie. 

Ciò consente un controllo completo sulla sicurezza. La creazione di partnership o alleanze con altri progetti può aiutare a promuovere collettivamente migliori pratiche di sicurezza con fornitori terzi più grandi. Un fronte unito avrà più influenza degli sforzi individuali, ha affermato Resonance.

Jai Hamid