Preocupações de segurança encontradas na solução Ethereum L2 Blast: Resonance Security

Blast, a nova solução Ethereum Layer 2, tem algumas preocupações de segurança, de acordo com uma pesquisa relatório pela empresa de cibersegurança Resonance Security. O Blast ganhou rapidamente tração no setor de criptomoedas. Ele promete pontos, airdrops, jackpots, rendimentos de staking nativo e compartilhamento de receita de gás. Mas a Resonance afirma que o Blast deve melhorar suas medidas de segurança.

Desde o anúncio até o lançamento, o Blast aceitou depósitos de ETH por meio de uma ponte unidirecional. Isso permitiu que os usuários acumulassem rendimento nativo e Blast Points, prometendo aos primeiros adotadores acesso a um futuro cativantes.. 

Apesar das críticas de grandes investidores institucionais como a Paradigm, essa estratégia impulsionou a popularidade do Blast. Ele atraiu US$ 600 milhões em sua primeira semana, ultrapassando US$ 1 bilhão até janeiro de 2024. Até o momento, o valor total travado (TVL) do Blast está em $3.16 bilhão, tornando-o o quarto maior EVM L2.

Os usuários podem depositar ETH no Blast em troca de tokens L2 líquidos. O ETH depositado é aplicado em pools de staking da Lido por meio dos contratos inteligentes do Blast, gerando uma taxa de juros de 4%. 

Para stablecoins, os usuários as transferem para o Blast para obter USDB, a stablecoin oficial do Blast, que gera rendimento por meio do protocolo de títulos do Tesouro dos EUA da MakerDAO, com uma taxa de juros de 5%. O USDB pode ser resgatado por DAI quando transferido de volta para a Ethereum.

O Blast Gold é concedido às dApps construídas na cadeia, recompensando-as pelo uso de recursos nativos do Blast, e é distribuído manualmente a cada 2-3 semanas ou durante eventos de jackpot.

O Blast herda preocupações de segurança

De acordo com a Resonance, a dependência do Blast em protocolos DeFi de terceiros, como Lido e MakerDAO, introduz riscos potenciais. Se qualquer pool ou protocolo que gera rendimento nessas plataformas for comprometido, os tokens associados dos usuários do Blast também serão afetados. Essa dependência da segurança da Lido e da MakerDAO para proteger os fundos dos usuários pode levar a problemas financeiros para os usuários do Blast.

Anteriormente, o HTX Square apontou afirmou que o contrato LaunchBridge do Blast (0x5f…a47d) não é uma ponte de rollup, mas sim um “contrato custodial protegido por um endereço multisig 3/5”. Jarrod Watts, da Polygon Labs, também levantou preocupações sobre esses endereços multisig, afirmando que foram criados recentemente e que seus proprietários são desconhecidos. 

A CryptoHopper questionou a alegação do Blast de ser uma L2, afirmando: “O Blast não possui as provas de validade necessárias para uma raiz de estado L2 e não tem um mecanismo antifraude em vigor.” A Resonance acredita que o Resumo de Riscos do Blast corrobora ainda mais essas preocupações.

A Resonance também analisou os protocolos de segurança da Lido e da MakerDAO. A MakerDAO não publicou um auditoria de segurança de seus contratos inteligentes há três anos, com algumas auditorias datando de cinco anos. 

Isso é preocupante, pois os contratos inteligentes podem ser suscetíveis a vulnerabilidades recém-descobertas e devem ser auditados periodicamente. A Resonance afirma que uma consulta rápida ao NIST National Vulnerability Database para CVEs de contratos inteligentes retornou 584 registros publicados entre 2018 e 2024. Embora contratos específicos possam não ser suscetíveis a todos esses CVEs, é provável que sejam suscetíveis a alguns.

Manter a segurança dos contratos inteligentes requer uma abordagem multifacetada, incluindo auditorias de segurança pré-implementação e periódicas, bem como programas de recompensa por bugs.

“A comunicação regular e os testes de segurança conjuntos também podem ajudar a validar esses padrões e melhorá-los ao longo do tempo.”

Resonance Security

Projetos menores precisam ser meticulosos ao escolher seus provedores de terceiros. A triagem proativa de opções de terceiros para padrões de segurança rigorosos pode poupar muitos problemas aos projetos a longo prazo. Se as opções de terceiros não atenderem aos padrões exigidos pelo projeto, desenvolver soluções internas pode ser uma alternativa mais segura. Desde que o projeto tenha os recursos para isso. 

Isso permite controle total sobre a segurança. Formar parcerias ou alianças com outros projetos pode ajudar a defender coletivamente práticas de segurança melhores com provedores de terceiros maiores. Uma frente unida terá mais influência do que esforços individuais, disse a Resonance.

Jai Hamid