Quais falhas na segurança da Web3 foram expostas pelo hack da KelpDAO?
- Incidentes de segurança no Web3 revelaram que os aplicativos raramente interagem diretamente com as cadeias, mas dependem de dados RPC.
- A camada de dados pode ser falha ou censurada, levando a uma disparidade entre os dados de um aplicativo e os saldos on-chain.
- A segurança do Web3 é uma questão de velocidade, e os protocolos devem automatizar a reação a transações suspeitas.
O hack da KelpDAO mostrou várias fragilidades na segurança da Web3. O maior problema foi a execução impecável de transações pelas blockchains, que se baseavam em dados defeituosos.
A segurança da Web3 ainda está em primeiro plano, como uma forma de reconstruir a confiança nos protocolos DeFi. O hack da KelpDAO teve repercussões duradouras para Empréstimos DeFi e levantou questões sobre a necessidade de intensificar a segurança da Web3.
A recente onda de hacks em abril pode levar as aplicações a reavaliar a forma como acessam dados e permitem transações. Hacks semelhantes continuaram em maio, com US$ 930 mil perdidos no mês até a data. Recentemente, o Bisq Protocol perdeu US$ 858 mil devido a uma lógica de protocolo defeituosa e um ataque de cliente falso, segundo a DeFiLlama dados.
Os aplicativos da Web3 têm um problema de verificação de dados
De acordo com Victor Fei, da Ormilabs, o hack da KelpDAO é um exemplo claro de como uma aplicação pode continuar funcionando, mesmo que o estado da blockchain não corresponda aos dados.
Fei explicou que as aplicações nem sempre consultam a blockchain diretamente. Em vez disso, elas dependem de intermediários, como nós RPC, em vez de dados brutos na cadeia. Isso é um requisito para a Ethereum e outras chains mais antigas, que já não são viáveis para acesso direto pela maioria dos aplicativos.
Com uma fonte limitada de dados, uma ponte só pode depender de um pequeno conjunto de nós RPC. Quando algumas fontes são comprometidas ou indisponíveis, o aplicativo pode operar com dados incorretos, enquanto a cadeia subjacente ainda considerará as transações como válidas.
A maioria dos aplicativos modernos da Web3 não acessa a cadeia diretamente, mas depende de alguma forma de indexação para buscar informações relevantes. A indexação pode exibir dados defeituosos ou se tornar um vetor direto de ataque.
A exploração da KelpDAO revelou essa vulnerabilidade em sua totalidade. O processo de verificação confiava em um número limitado de fontes RPC, e os atacantes sequestraram algumas dessas fontes. Com uma camada de dados defeituosa, a blockchain processou as transações como de costume e gastou moedas reais em troca de um saldo falso.
O problema torna-se ainda mais sério se agentes de IA forem permitidos a agir com base em uma camada de dados limitada e potencialmente defeituosa.
O que pode aumentar a segurança da Web3?
A maior falha na KelpDAO, Drift Protocol, e em outros hacks recentes é a velocidade de execução. A maioria das transações ocorreu imediatamente e foi finalizada no próximo bloco, sem período de espera ou verificações extras. A Web3 publicizou sua capacidade de transações rápidas e sem permissão, mas isso também permite que atores mal-intencionados executem seus golpes com rapidez.
“O futuro da segurança da Web3 se resume à velocidade. Nossos dados mostram que hackear e lavar dinheiro é rápido e barato, enquanto a resposta das equipes é lenta e cara,” comentou Vladyslav Syrotin, Chefe de Investigações da Global Ledger para a Cryptopolitan.
Syrotin acredita que os projetos da Web3 devem reduzir seu tempo de detecção para capturar saídas incomuns, quedas súbitas de liquidez ou chamadas suspeitas de contratos inteligentes.
De acordo com Syrotin, os alertas e bloqueios devem ser automatizados dentro de um segundo após um ataque, e os relatórios das vítimas e a rotulagem de dados devem estar prontos em 10 minutos. Atualmente, leva-se horas ou dias para calcular as perdas totais e rastrear os clusters de carteiras dos atacantes.
Syrotin acrescentou que mesmo um prazo mais lento, com alertas em 30 segundos e rotulagem em quatro horas, pode ajudar a prevenir cerca de metade dos incidentes e reduzir as perdas.
Não apenas leia notícias sobre criptomoedas. Entenda-as. Inscreva-se em nossa newsletter. É grátis.
Aviso. As informações fornecidas não constituem aconselhamento de negociação. Cryptopolitan.com não assume responsabilidade por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamos fortemente a realização de pesquisa independente e/ou consulta a um profissional qualificado antes de tomar qualquer decisão de investimento.
Hristina Vasileva
Hristina Vasileva especializa-se em notícias sobre DeFi, negócios e economia. Formou-se na Universidade de Sofia com mestrado em Filosofia, após concluir graduação de 4 anos em Administração de Empresas, Jornalismo e Comunicação de Massa. Trabalhou em um dos principais jornais do país, cobrindo commodities e resultados corporativos. Atualmente, Hristina é autora contribuinte de notícias na Cryptopolitan.
