KelpDAO 해킹으로 인해 Web3 보안의 어떤 결함이 드러났습니까?

KelpDAO 해킹은 Web3 보안의 여러 균열을 보여주었습니다. 가장 큰 문제는 블록체인이 결함이 있는 데이터를 기반으로 한 거래를 완벽하게 실행했다는 점입니다.

Web3 보안은 DeFi 프로토콜에 대한 신뢰를 재건하는 방법으로 여전히 최전선에 있습니다. KelpDAO 해킹은 DeFi 대출 에 지속적인 영향을 미쳤으며 Web3 보안을 강화하는 방법에 대한 문제를 제기했습니다. 

4월의 최근 해킹 물결은 앱들이 데이터에 접근하고 거래를 허용하는 방식을 재평가하게 만들 수 있습니다. 5월에도 유사한 해킹이 계속되어 월 초까지 930,000달러가 손실되었습니다. 최근 Bisq Protocol은 결함이 있는 프로토콜 로직과 가짜 클라이언트 공격으로 인해 858,000달러를 손실했습니다. DeFiLlama에 따르면 데이터. 

Web3 앱은 데이터 검증 문제가 있습니다

Ormilabs의 Victor Fei에 따르면 KelpDAO 해킹은 명확한 예시 블록체인 상태가 데이터와 일치하지 않더라도 애플리케이션이 계속 작동할 수 있는 방법을 보여줍니다.

Fei는 애플리케이션이 항상 블록체인에 직접 참조하는 것은 아니라고 설명했습니다. 대신 그들은 원시 온체인 데이터 대신 RPC 노드와 같은 중개자에 의존합니다. 이는 대부분의 앱이 직접 접근하기에는 더 이상 실행 가능하지 않은 이더리움 및 기타 구형 체인에서 요구되는 사항입니다. 

제한된 데이터 소스로 인해 브릿지는 소수의 RPC 노드에만 의존할 수 있습니다. 일부 소스가 침해되거나 사용할 수 없으면 앱은 잘못된 데이터를 기반으로 작동할 수 있지만, underlying 체인은 여전히 거래를 유효한 것으로 간주합니다.

대부분의 현대 Web3 앱은 체인에 직접 접근하지 않고 관련 정보를 가져오기 위해 일부 형태의 인덱싱에 의존합니다. 인덱싱은 결함이 있는 데이터를 표시하거나 공격의 직접적인 벡터가 될 수 있습니다. 

KelpDAO 익스플로잇은 이 취약점을 완전히 드러냈습니다. 검증 과정은 제한된 수의 RPC 소스를 신뢰했으며, 공격자들은 그 중 일부 소스를 하이재킹했습니다. 결함이 있는 데이터 레이어로 인해 블록체인은 거래를 평소대로 처리하고 가짜 잔액과 실제 코인을 교환했습니다. 

AI 에이전트가 제한되고 잠재적으로 결함이 있는 데이터 레이어를 기반으로 행동하도록 허용되면 문제가 더욱 심각해집니다. 

Web3 보안을 강화할 수 있는 방법은 무엇입니까? 

KelpDAO의 가장 큰 결함은 Drift Protocol, 그리고 최근 해킹 사건들의 실행 속도입니다. 대부분의 거래는 즉시 발생하여 다음 블록에서 최종 확정되었으며, 대기 시간이나 추가 검증 절차가 없었습니다. Web3는 빠르고 허가 없는 거래 능력을 홍보해 왔지만, 이는 악의적인 행위자들이 빠른 속도로 약탈을 실행할 수 있게 하기도 합니다.

“Web3 보안의 미래는 속도에 달려 있습니다. 당사 데이터에 따르면 해킹과 자금 세탁은 빠르고 저렴하지만, 팀들의 대응은 느리고 비쌉니다.” 글로벌 레저(Global Ledger) 조사 책임자 블라디슬라프 시로틴(Vladyslav Syrotin)이 크립토폴리탄(Cryptopolitan)에 이같이 밝혔습니다.

시로틴은 Web3 프로젝트들이 비정상적인 유출, 갑작스러운 유동성 감소, 또는 의심스러운 스마트 계약 호출 등을 포착하기 위해 탐지 시간을 단축해야 한다고 믿습니다.

시로틴에 따르면, 공격 발생 후 1초 이내에 경고 및 차단을 자동화하고, 피해자 신고 및 데이터 라벨링은 10분 이내에 준비되어야 합니다. 현재는 총 손실을 집계하고 공격자의 지갑 클러스터를 추적하는 데 수시간에서 수일이 소요됩니다.

시로틴은 30초 이내 경고 및 4시간 내 라벨링과 같은 다소 느린 시간 프레임이라도 사건 발생의 약 절반을 예방하고 손실을 줄이는 데 도움이 될 수 있다고 덧붙였습니다.