Intervista: Perché gli hacker continuano a colpire i protocolli DeFi, soluzioni

Riepilogo TL;DR

• La frequenza con cui gli hacker colpiscono le criptovalute e i protocolli DeFi continua ad aumentare.
• Oltre $7 miliardi persi a causa di attacchi al settore crypto in 2021.
• Perché gli hacker continuano a colpire il settore delle criptovalute.

La frequenza con cui gli hacker colpiscono lo spazio DeFi e il settore delle criptovalute in estensione è continuata a essere una fonte di preoccupazione per l'industria.

Reportedly, 169 incidenti di hacking blockchain si sono verificati nel 2021, con quasi 7 miliardi di dollari di fondi persi dagli hacker. Nell'ultimo mese, non meno di cinque casi di hacking crypto sono stati segnalati con il protocollo DeFi Cream Finance l'ultimo ad essere colpito da questi hacker. Si dice che oltre 130 milioni di dollari siano stati rubati.

In risposta a ciò, Cryptopolitan ha parlato con Dmitry Mishunin, CEO e Fondatore di HashEx, un'azienda di R&D focalizzata sull'integrazione blockchain nei processi aziendali e sulla sicurezza informatica. Dmitry ha una solida formazione tecnica nella cybersecurity e nelle applicazioni decentralizzate, nonché un'esperienza impressionante nello sviluppo di sistemi di sicurezza delle informazioni.

Di seguito sono riportati estratti dell'intervista

D: Sei sorpreso dal numero di hacking e exploit che gli utenti stanno affrontando ultimamente?

Purtroppo no. Stiamo vedendo che sempre più persone stanno scrivendo i loro smart contract. Spesso però non hanno sufficiente abilità di programmazione e una buona comprensione di Solidity, attualmente l'unica lingua di programmazione compatibile con Ethereum. Avere una buona comprensione della lingua di programmazione è fondamentale per creare un protocollo DeFi affidabile, e non conoscere alcune delle sue sfumature può facilmente portare a exploit e fondi rubati.

D: Come può l'accettazione o la firma di uno smart contract che contiene codice malevolo portare al furto dei tuoi asset?

Ogni utente dovrebbe sapere che le transazioni blockchain sono irreversibili: una volta che approvi una certa quantità di un token ERC-20 a uno smart contract ERC-20, verrà trasferito in modo irreversibile ad esso. Un contratto può avere codice sorgente verificato senza exploit, ma può anche avere alcune librerie non verificate come dipendenza. Approvare token a un tale contratto è un grande rischio perché non puoi controllare come funziona la libreria.
Questo è stato il caso del progetto StableMarket, quando almeno 27 milioni di dollari di fondi degli utenti sono stati rubati. I contratti del progetto StableMarket avevano un codice auditato ma sono stati distribuiti con una libreria non verificata. Questa libreria era malevola e ha rubato i token degli utenti memorizzati nel protocollo.

Un altro rischio per gli utenti è approvare token a uno smart contract aggiornabile: un tale contratto può essere aggiornato automaticamente con codice malevolo e rubare i token approvati.
Spesso le app frontend approvano importi massimi di token a un contratto, non solo l'importo del token che verrà utilizzato. Questo viene fatto per pagare il gas in una singola transazione. Se un utente deposita token in un contratto, dovrà pagare adicionalmente per il gas. Ma se un contratto agisce in modo malevolo, in quel caso può prelevare qualsiasi importo di token dal portafoglio.

Quindi, la migliore pratica per la massima sicurezza è sempre controllare l'importo dell'approvazione e approvare solo l'importo necessario per il funzionamento del contratto.

D: Gli hacker stanno diventando più intelligenti o gli utenti di criptovalute stanno diventando meno cauti con le loro procedure di cybersecurity?

Entrambe le affermazioni sono vere. Gli hacker hanno fatto seri progressi nello sfruttare le piattaforme di prestito flash in tandem con diversi protocolli per creare ed exploitare vulnerabilità. Di per sé, quelle altre piattaforme sono sicure la maggior parte del tempo, ma i prestiti flash creano una maggiore complessità strutturale, che rende le vulnerabilità più frequenti.

Tali attacchi sono molto complessi. Anche la loro analisi richiede molto tempo. E ci sono anche molti hacking di progetti che hanno semplicemente un codice povero con semplici bug al suo interno che verrebbero probabilmente eliminati se venissero eseguiti test o se il codice fosse adeguatamente auditato.
Una parte della colpa ricade anche sugli utenti, perché molti di loro conoscono le pratiche sicure che minimizzano i rischi, come lo storage a freddo, ad esempio. Ma spesso li ignorano, perdendo la testa per un'opportunità che può portare loro un ROI multiplo. A volte finiscono semplicemente per perdere i loro soldi.

D: Come possono gli utenti proteggere meglio i loro asset su Metamask e dapp associate come OpenSea e DeFi?

La migliore protezione non è memorizzare tutti gli asset in portafogli caldi ma inviarli a quelli freddi: questi ultimi non hanno accesso a Internet. È meglio memorizzare solo una piccola quantità di asset necessari per le operazioni in portafogli caldi e tenere il resto in storage a freddo.
Inoltre, gli utenti dovrebbero seguire le regole di sicurezza standard: utilizzare antivirus, evitare di aprire link sospetti nelle email e utilizzare l'autenticazione a due fattori quando possibile.

D: Pensi che gli hacking e gli exploit diventeranno più comuni man mano che l'industria cresce?

Man mano che l'industria cresce e vengono lanciati più progetti, più di essi affronteranno il rischio di essere hackerati. Non puoi eliminare tutti i bug in tutti i progetti, ma le aziende di sicurezza blockchain lavorano costantemente per minimizzarli. Questo non include solo gli audit del codice sorgente dei progetti ma anche lo sviluppo di strumenti analitici che aiuteranno a prevenire la comparsa dei bug del tutto, o almeno a trovarli nelle prime fasi di sviluppo.

D: Che ruolo svolge HashEx nell'espansione del settore delle criptovalute?

Illuminiamo le persone sulla trasparenza e la sicurezza dell'utilizzo delle applicazioni decentralizzate. La logica del loro lavoro è troppo complessa e poco chiara per un utente medio per capire. Inoltre, nessuna persona sensata affiderebbe il suo denaro a qualcosa che non capisce, come Pinocchio nel campo dei Miracoli. Spieghiamo nozioni complesse in termini semplici e portiamo alla luce le trappole di cui le persone dovrebbero essere consapevoli e cercare di evitare, e aiutiamo anche i potenziali investitori a prendere una decisione ben informata sui loro fondi.

Ma principalmente siamo un'azienda di audit centrata su DeFi e criptovalute. Questo significa che facciamo molti audit di smart contract e quindi aiutiamo i progetti crypto a guadagnare la fiducia degli investitori poiché gli investitori si fidano meglio dei progetti che sono ben protetti da costosi errori che potrebbero colpire finanziariamente i loro investitori.

D: Quali sono i tuoi pensieri sia sul G7 che sul presidente degli Stati Uniti Joe Biden sui suoi movimenti per porre fine al ransomware, alla sicurezza informatica e agli hacking crypto frequenti?

Il miglioramento costante degli standard di sicurezza è parte della nostra routine e ideologia aziendale. Cerchiamo di portare fiducia nello spazio DeFi senza fiducia. E questo problema è cruciale in qualsiasi dominio IT, non solo DeFi. Con la rapida emergenza di nuovi prodotti software, l'aspetto della cybersecurity purtroppo non riceve abbastanza attenzione, il che crea opportunità per gli hacker di sfruttare. Ci sono due motivi principali per questo: la programmazione 'mouse-click' e una forza lavoro di bassa qualità che viene offerta con salari inutilmente alti.

Questo è un lato negativo delle aziende IT in rapida crescita. In questo ambiente spietato le aziende cercano di superare le altre, offrendo nuovi prodotti e spesso voltando le spalle ai problemi di sicurezza nonostante la loro importanza. Di conseguenza, a volte otteniamo grandi sistemi, che sono utilizzati da un gran numero di clienti, che hanno ancora bug al loro interno che possono portare alla perdita dei fondi degli utenti. A volte, le conseguenze di questi bug possono essere persino continentali.

Da questo punto di vista, l'interferenza governativa è completamente giustificata. Se non fosse per i governi statali che si occupano di questi problemi, chi altro potrebbe reprimere le persone aziendali avidi e convincerli a dedicare sforzi alle misure di sicurezza e allo sviluppo del software in modo sensato?

Se le persone iniziano a segnalare gli hacking alle agenzie governative, avrà un effetto positivo. Le informazioni tempestive possono aiutare a minimizzare le conseguenze di un potenziale guasto consentendo di coinvolgere canali di riserva (la situazione con la fornitura di petrolio sulla costa orientale degli Stati Uniti può essere vista come un buon esempio di questa pratica).

Standard di sicurezza unificati in tutto il settore farebbero anche del bene, se sono sviluppati da esperti, piuttosto che da esterni. Anche allo stadio iniziale attuale dello sviluppo DApp, stiamo vedendo tali standard implementati dai principali auditor. L'integrazione di tali protocolli aiuterà tutti: renderà la programmazione più facile, i codici più sicuri e proteggerà anche i fondi degli utenti.

D: Questi hacking, parlano del loro impatto sul settore delle criptovalute

Il feedback per l'industria crypto è un tentativo di controllare i fondi rubati. Penso che sia una buona cosa. Attualmente, non puoi ottenere tutti i comfort del mondo reale tramite criptovaluta. Questa situazione sta cambiando giorno per giorno, ma è lontana dall'essere perfetta. Pertanto, gli hacker richiedono ancora un ponte tra fondi crypto e fiat per prelevare fondi acquisiti illegalmente.

Questo è lo stadio in cui i criminali possono essere identificati. Più di loro vengono trovati, meno saranno disposti a tentare di farlo di nuovo. Si può pensare a come usavano tagliare le parti del corpo per il furto nelle culture orientali. Tali interventi delle agenzie di applicazione della legge stanno avendo un'influenza interamente positiva sull'industria crypto e sulla sua reputazione. Queste azioni fanno sentire le persone più sicure.

D: Quali sanzioni consiglieresti per gli attori malintenzionati dietro a molti di questi hack crypto, al fine di scoraggiare altri?

Come ho detto in precedenza, sono favorevole a penalizzare tali individui. Considererei tali operazioni come frodi finanziarie di varia gravità e applicherei le corrispondenti azioni legali. In questo momento non cercherei di elaborare nuove leggi.

D: Un mondo crypto senza hack è quasi impossibile da raggiungere; come possono gli stakeholder, i policy maker e tutti gli altri attori del settore ridurre gli attacchi al minimo indispensabile?

Nessun dominio IT è concepibile senza minacce informatiche. Tuttavia, quando parliamo di aziende ordinarie, vediamo solo la punta dell'iceberg, non il quadro completo. Ci sono molti più hack che non arrivano all'attenzione del pubblico perché le aziende potrebbero compromettere la propria reputazione se tali informazioni diventassero pubbliche. Con le criptovalute, tutto è trasparente e di pubblico dominio, quindi i media di massa scrivono di queste cose più spesso.

La cybersecurity è una pratica multidimensionale, che include quadri normativi ai punti di ingresso e uscita tra crypto e fiat, educazione degli utenti, team di cybersecurity che verificano il codice, ecc. Questo settore è ancora giovane, il che offre un'ottima opportunità per indirizzarlo lungo i vettori di sviluppo corretti. In questo modo, possiamo fare uso di pratiche più sicure fin dall'inizio, invece di cercare di tamponare le falle più avanti.