В решении Ethereum L2 Blast обнаружены проблемы с безопасностью: Resonance Security

Blast, новое решение Ethereum Layer 2, имеет некоторые проблемы с безопасностью, согласно исследованию отчете кибербезопасности компании Resonance Security. Blast быстро завоевал популярность в криптоиндустрии. Он обещает баллы, аирдропы, джекпоты, доходность от нативного стейкинга и распределение комиссий за газ. Но Resonance считает, что Blast должен улучшить свои меры безопасности.

С момента объявления до запуска Blast принимал депозиты ETH через односторонний мост. Это позволяло пользователям накапливать нативную доходность и баллы Blast, обещая ранним пользователям доступ к будущему айрдропа. 

Несмотря на критику со стороны крупных финансовых инвесторов, таких как Paradigm, эта стратегия повысила популярность Blast. Он привлек $600 млн в первую неделю, достигнув более $1 млрд к январю 2024 года. На данный момент общая заблокированная стоимость (TVL) Blast составляет $3.16 млрд, что делает его четвертой по величине EVM L2.

Пользователи могут вносить ETH на Blast в обмен на ликвидные токены L2. Внесенный ETH стейкается в пулах стейкинга Lido через смарт-контракты Blast, получая процентную ставку 4%. 

Для стейблкоинов пользователи переводят их на Blast для получения USDB, официального стейблкоина Blast, который генерирует доходность через протокол казначейских облигаций MakerDAO с процентной ставкой 5%. USDB можно обменять обратно на DAI при возврате в Ethereum.

Blast Gold присуждается dApps, построенным на этой цепи, вознаграждая их за использование нативных функций Blast и распределяется вручную каждые 2–3 недели или во время событий с джекпотами.

Blast наследует проблемы с безопасностью

Согласно Resonance, зависимость Blast от сторонних DeFi-протоколов, таких как Lido и MakerDAO, создает потенциальные риски. Если какие-либо пулы, генерирующие доход, или протоколы на этих платформах будут скомпрометированы, связанные токены пользователей Blast также пострадают. Эта зависимость от безопасности Lido и MakerDAO для защиты средств пользователей может привести к финансовым проблемам для пользователей Blast.

Ранее HTX Square отметил сообщил, что контракт LaunchBridge Blast (0x5f…a47d) не является мостом руллета, а представляет собой «кустодиальный контракт, защищенный мультиподписью 3/5». Джаррод Уоттс из Polygon Labs также выразил обеспокоенность по поводу этих мультиподписей, заявив, что они созданы недавно, а их владельцы неизвестны. 

CryptoHopper поставил под сомнение утверждение Blast о том, что он является L2, заявив: «Blast не имеет необходимых доказательств корректности для корня состояния L2 и не имеет механизма защиты от мошенничества». Resonance считает, что «Сводка рисков» Blast дополнительно подтверждает эти опасения.

Resonance также изучила протоколы безопасности Lido и MakerDAO. MakerDAO не публиковал аудит безопасности своих смарт-контрактов в течение трех лет, некоторые аудиты датируются пятью годами назад. 

Это вызывает обеспокоенность, поскольку смарт-контракты могут быть уязвимы к недавно обнаруженным уязвимостям и должны регулярно проверяться. Resonance утверждает, что быстрый запрос CVE смарт-контрактов в Национальной базе данных уязвимостей NIST вернул 584 записи, опубликованные в период с 2018 по 2024 год. Хотя конкретные контракты могут быть не уязвимы ко всем этим CVE, они, вероятно, уязвимы к некоторым из них.

Поддержание безопасности смарт-контрактов требует многогранного подхода, включая аудит безопасности до развертывания и периодический аудит, а также программы вознаграждения за обнаружение уязвимостей.

«Регулярная коммуникация и совместное тестирование безопасности также могут помочь проверить эти стандарты и улучшить их с течением времени».

Resonance Security

Маленьким проектам нужно быть тщательными при выборе сторонних поставщиков. Проактивная проверка сторонних вариантов на соответствие строгим стандартам безопасности может сэкономить проектам множество проблем в долгосрочной перспективе. Если сторонние варианты не соответствуют требуемым стандартам проекта, разработка внутренних решений может быть более безопасной альтернативой, при условии, что у проекта есть ресурсы для этого. 

Это обеспечивает полный контроль над безопасностью. Формирование партнерств или альянсов с другими проектами может помочь коллективно отстаивать лучшие практики безопасности с крупными сторонними поставщиками. Объединенный фронт имеет больше влияния, чем индивидуальные усилия, сказал Resonance.

Джай Хамид