KelpDAOハックで暴露されたWeb3セキュリティの欠陥とは何か？

KelpDAOハックは、Web3セキュリティのいくつかの亀裂を示した。最大の問題は、ブロックチェーンが欠陥のあるデータに基づいたトランザクションを完璧に実行していたことだ。

Web3セキュリティは依然として最前線にあり、DeFiプロトコルへの信頼を再構築するための手段となっている。KelpDAOハックは DeFi lending Web3セキュリティの強化に関する課題を浮き彫りにし、長期的な影響を与えた。 

4月の最近のハックの波により、アプリはデータへのアクセス方法やトランザクションの許可方法を再評価する可能性がある。同様のハックは5月にも続き、月初から5月までに93万ドルが損失した。最近、Bisq Protocolは、欠陥のあるプロトコルロジックと偽のクライアント攻撃により85万8000ドルを失ったとDeFiLlamaは報告している。 データ. 

Web3アプリにはデータ検証の問題がある

OrmilabsのVictor Fei氏によると、KelpDAOハックは 明確な例 であり、ブロックチェーンの状態がデータと一致しなくても、アプリケーションが動作し続けることができることを示している。

Fei氏は、アプリケーションが常にブロックチェーンに直接参照するわけではないと説明した。代わりに、生データではなく、RPCノードなどの仲介者に依存している。これは、Ethereumや他の古いチェーンにとって必須であり、これらのチェーンはほとんどのアプリにとって直接アクセスすることがもはや現実的ではない。 

限られたデータソースでは、ブリッジは限られた数のRPCノードにのみ依存できる。一部のソースが侵害されたり利用不可能になったりすると、アプリは誤ったデータで動作する可能性があるが、基盤となるチェーンは依然としてトランザクションを有効としてカウントする。

最新のWeb3アプリの多くはチェーンに直接アクセスするのではなく、関連情報を取得するために何らかのインデックス形式に依存している。インデックスは欠陥のあるデータを表示したり、攻撃の直接的なベクトルになったりする可能性がある。 

KelpDAOの悪用はこの脆弱性を完全に明らかにした。検証プロセスは限られた数のRPCソースを信頼しており、攻撃者はそれらのソースのいくつかをハイジャックした。欠陥のあるデータレイヤーにより、ブロックチェーンは通常どおりトランザクションを処理し、偽の残高と引き換えに実際のコインを消費した。 

AIエージェントが限られ、かつ潜在的に欠陥のあるデータレイヤーに基づいて行動することを許可すると、問題はさらに深刻になる。 

Web3セキュリティを高めるにはどうすればよいか？ 

KelpDAO、 Drift Protocol、およびその他の最近のハックにおける最大の欠陥は、実行の速度である。トランザクションの大部分は直ちに発生し、次のブロックで最終化され、クールダウン期間や追加のチェックはなかった。Web3は高速な無許可トランザクションの実行能力を宣伝してきたが、それはまた悪意のある行為者がその強盗を高速で実行することを可能にする。

「Web3セキュリティの未来は速度にかかっている。私たちのデータによると、ハッキングとマネーロンダリングは高速かつ安価であるのに対し、チームの対応は遅く高価である」 とGlobal Ledgerの調査責任者であるVladyslav Syrotin氏はCryptopolitanにコメントした。

Syrotin氏は、Web3プロジェクトは異常な資金流出、突然の流動性の低下、または不審なスマートコントラクト呼び出しを検出するために、検出時間を短縮すべきだと考えている。

Syrotin氏によると、アラートとブロックは攻撃発生後1秒以内に自動化され、被害者の報告とデータラベリングは10分以内に準備されるべきである。現在、総損失の集計と攻撃者のウォレットクラスターの追跡には数時間から数日かかる。

Syrotin氏は、アラートを30秒、ラベリングを4時間というより遅いタイムフレームでも、事件の約半分を防ぎ、損失を削減するのに役立つと付け加えた。