Какие уязвимости в безопасности Web3 были выявлены в результате взлома KelpDAO?

Взлом KelpDAO выявил несколько слабых мест в безопасности Web3. Главная проблема заключалась в том, что блокчейны безупречно выполняли транзакции, основанные на ошибочных данных.

Безопасность Web3 по-прежнему находится в центре внимания как способ восстановления доверия к протоколам DeFi. Взлом KelpDAO имел долгосрочные последствия для кредитование DeFi и поднял вопросы о необходимости усиления безопасности Web3. 

Недавняя волна взломов в апреле может заставить приложения пересмотреть способы доступа к данным и разрешения транзакций. Аналогичные инциденты продолжались и в мае: только за первые дни месяца было потеряно 930 тыс. долларов. Недавно протокол Bisq потерял 858 тыс. долларов из-за ошибочной логики протокола и атаки с использованием поддельного клиента, сообщает DeFiLlama. данных. 

Приложения Web3 сталкиваются с проблемой проверки данных

По словам Виктора Фэя из Ormilabs, взлом KelpDAO является ярким примером того, как приложение может продолжать работать, даже если состояние блокчейна не соответствует данным.

Фэй объяснил, что приложения не всегда обращаются к блокчейну напрямую. Вместо этого они полагаются на посредников, таких как RPC-узлы, а не на сырые ончейн-данные. Это требование для Ethereum и других старых сетей, к которым большинству приложений больше невозможно получить прямой доступ. 

При ограниченном источнике данных мост может полагаться лишь на небольшой набор RPC-узлов. Когда некоторые источники скомпрометированы или недоступны, приложение может работать с некорректными данными, в то время как базовая цепочка все равно будет считать транзакции действительными.

Большинство современных приложений Web3 не получают доступ к цепочке напрямую, а полагаются на различные формы индексации для получения релевантной информации. Индексация может отображать ошибочные данные или стать прямым вектором атаки. 

Эксплойт KelpDAO в полной мере выявил эту уязвимость. Процесс верификации доверял ограниченному числу RPC-источников, и злоумышленники захватили контроль над некоторыми из них. При ошибочном слое данных блокчейн обработал транзакции как обычно, и реальные монеты были потрачены в обмен на поддельный баланс. 

Проблема становится еще более серьезной, если ИИ-агентам разрешено действовать на основе ограниченного и потенциально ошибочного слоя данных. 

Что может повысить безопасность Web3? 

Главный недостаток KelpDAO, Протокол Drift, и других недавних взломов заключается в скорости выполнения. Большинство транзакций происходили мгновенно и завершались в следующем блоке, без периода ожидания или дополнительных проверок. Web3 рекламирует свою способность к быстрым транзакциям без разрешения, но это также позволяет злоумышленникам совершать свои кражи с высокой скоростью.

«Будущее безопасности Web3 сводится к скорости. Наши данные показывают, что взломы и отмывание денег происходят быстро и дешево, в то время как реакция команд медленная и дорогая», прокомментировал Владислав Сыротин, руководитель расследований в Global Ledger для Cryptopolitan.

Сыротин считает, что проекты Web3 должны сократить время обнаружения инцидентов, чтобы выявлять необычные оттоки средств, внезапные падения ликвидности или подозрительные вызовы смарт-контрактов.

По словам Сыротина, оповещения и блокировки должны автоматизироваться в течение одной секунды после атаки, а отчеты жертв и маркировка данных должны быть готовы в течение 10 минут. В настоящее время на подсчет общих убытков и отслеживание кластеров кошельков злоумышленников уходят часы или дни.

Сыротин добавил, что даже более медленные временные рамки, с оповещениями через 30 секунд и маркировкой в течение четырех часов, могут помочь предотвратить около половины инцидентов и сократить убытки.