Quali difetti nella sicurezza Web3 sono stati esposti dall'hack di KelpDAO?
- Gli incidenti di sicurezza in Web3 hanno rivelato che le applicazioni raramente interagiscono direttamente con le catene, ma si affidano ai dati RPC.
- Lo strato dei dati potrebbe essere difettoso o censurato, portando a una discrepanza tra i dati dell'app e i saldi on-chain.
- La sicurezza di Web3 è una questione di velocità: i protocolli devono automatizzare la reazione alle transazioni sospette.
L'hack di KelpDAO ha mostrato diverse linee di faglia nella sicurezza Web3. Il problema più grande era che le blockchain eseguivano perfettamente transazioni basate su dati difettosi.
La sicurezza Web3 è ancora in prima linea, come modo per ricostruire la fiducia nei protocolli DeFi. L'hack di KelpDAO ha avuto ripercussioni durature per il prestito DeFi e ha sollevato questioni sull'aumento della sicurezza Web3.
La recente ondata di hack ad aprile potrebbe spingere le app a riconsiderare il modo in cui accedono ai dati e permettono le transazioni. Hack simili sono continuati a maggio, con una perdita di 930K $ nel mese fino ad oggi. Recentemente, Bisq Protocol ha perso 858K $ a causa di una logica di protocollo difettosa e di un attacco di un client falso, secondo DeFiLlama dati.
Le app Web3 hanno un problema di verifica dei dati
Secondo Victor Fei di Ormilabs, l'hack di KelpDAO è un chiaro esempio di come un'applicazione possa continuare a funzionare anche se lo stato della blockchain non corrisponde ai dati.
Fei ha spiegato che le applicazioni non fanno sempre riferimento direttamente alla blockchain. Invece, si affidano a intermediari come i nodi RPC, anziché ai dati grezzi on-chain. Questo è un requisito per Ethereum e altre catene più vecchie, che non sono più accessibili direttamente per la maggior parte delle app.
Con una fonte di dati limitata, un bridge può fare affidamento solo su un piccolo insieme di nodi RPC. Quando alcune fonti sono compromesse o non disponibili, l'app potrebbe operare con dati errati, mentre la catena sottostante continuerà a considerare le transazioni come valide.
La maggior parte delle moderne app Web3 non accede direttamente alla catena, ma si affida a forme di indicizzazione per recuperare le informazioni rilevanti. L'indicizzazione può mostrare dati difettosi o diventare un vettore diretto di attacco.
L'exploit di KelpDAO ha rivelato questa vulnerabilità in pieno. Il processo di verifica si fidava di un numero limitato di fonti RPC, e gli attaccanti hanno dirottato alcune di queste fonti. Con uno strato di dati difettoso, la blockchain ha elaborato le transazioni come al solito e ha speso monete reali in cambio di un saldo falso.
Il problema diventa ancora più serio se si consente agli agenti AI di agire basandosi su uno strato di dati limitato e potenzialmente difettoso.
Cosa può aumentare la sicurezza Web3?
Il difetto più grande in KelpDAO, Drift Protocol, e in altri recenti hack è la velocità di esecuzione. La maggior parte delle transazioni è avvenuta immediatamente ed è stata finalizzata nel blocco successivo, senza periodo di attesa o controlli aggiuntivi. Web3 ha pubblicizzato la sua capacità di eseguire transazioni rapide e senza permessi, ma ciò consente anche ai cattivi attori di eseguire le loro rapine con velocità.
“Il futuro della sicurezza Web3 si riduce alla velocità. I nostri dati mostrano che gli hacking e il riciclaggio sono veloci ed economici, mentre la risposta dei team è lenta e costosa,” ha commentato Vladyslav Syrotin, Head of Investigations di Global Ledger, in un'intervista a Cryptopolitan.
Syrotin ritiene che i progetti Web3 dovrebbero ridurre il tempo di rilevamento per intercettare flussi insoliti, improvvisi cali di liquidità o chiamate sospette ai contratti intelligenti.
Secondo Syrotin, gli avvisi e i blocchi dovrebbero essere automatizzati entro un secondo dall'attacco, e le segnalazioni delle vittime e l'etichettatura dei dati dovrebbero essere pronte entro 10 minuti. Attualmente, ci vogliono ore o giorni per calcolare le perdite totali e rintracciare i cluster di wallet degli attaccanti.
Syrotin ha aggiunto che anche una finestra temporale più lenta, con avvisi a 30 secondi e etichettatura in quattro ore, può aiutare a prevenire circa la metà degli incidenti e ridurre le perdite.
Non limitarti a leggere le notizie sulle criptovalute. Comprendile. Iscriviti alla nostra newsletter. È gratuita.
Disclaimer. Le informazioni fornite non costituiscono consulenza finanziaria. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti basati sulle informazioni presenti in questa pagina. Si raccomanda vivamente di effettuare ricerche autonome e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Hristina Vasileva
Hristina Vasileva si specializza in notizie su DeFi, business ed economia. Si è laureata presso l'Università di Sofia con un Master in Filosofia, dopo aver completato una laurea triennale quadriennale in Amministrazione Aziendale, Giornalismo e Comunicazione di Massa. Ha lavorato per uno dei principali quotidiani del paese, coprendo il settore delle materie prime e i risultati aziendali. Attualmente, Hristina è autrice di notizie collaboratrice per Cryptopolitan.
