Интервью: почему хакеры продолжают атаковать DeFi-протоколы и какие существуют решения

Краткое содержание

• Частота атак хакеров на крипто- и DeFi-протоколы продолжает расти.
• Более $7 млрд потеряно в результате атак на криптоиндустрию в 2021 году.
• Почему хакеры продолжают нацеливаться на криптоиндустрию.

Частота атак хакеров на пространство DeFi и, как следствие, на криптоиндустрию, продолжает вызывать обеспокоенность у участников рынка.

По сообщениям, в 2021 году произошло 169 инцидентов взлома блокчейна, в результате чего хакерам удалось похитить почти 7 миллиардов долларов. За последний месяц было зарегистрировано не менее пяти случаев взлома криптопроектов, последним из которых стал DeFi-протокол Cream Finance. Сообщается, что было украдено более 130 миллионов долларов.

В связи с этим корреспондент Cryptopolitan поговорил с Дмитрием Мишуниным, генеральным директором и основателем HashEx — компании по исследованиям и разработкам, специализирующейся на интеграции блокчейна в бизнес-процессы и кибербезопасности. Дмитрий обладает сильной технической базой в области кибербезопасности и децентрализованных приложений, а также впечатляющим опытом в разработке систем информационной безопасности.

Ниже приведены выдержки из интервью

В: Вы удивлены количеством взломов и эксплойтов, с которыми пользователи сталкиваются в последнее время?

К сожалению, нет. Мы видим, что все больше людей пишут свои смарт-контракты. Но часто у них недостаточно знаний в программировании и хорошего понимания Solidity — на данный момент единственного языка программирования, совместимого с Ethereum. Хорошее понимание языка программирования обязательно для создания надежного DeFi-протокола, и незнание некоторых его нюансов может легко привести к эксплуатации уязвимостей и краже средств.

В: Как принятие или подписание смарт-контракта, содержащего вредоносный код, может привести к краже ваших активов?

Каждый пользователь должен знать, что транзакции в блокчейне необратимы: как только вы одобряете определенное количество токенов ERC-20 смарт-контракту ERC-20, они будут безвозвратно переведены на него. Контракт может иметь проверенный исходный код без эксплойтов, но также может иметь некоторые непроверенные библиотеки в качестве зависимостей. Одобрение токенов такому контракту является большим риском, поскольку вы не можете проверить, как работает библиотека.
Так было в проекте StableMarket, когда было украдено средств пользователей как минимум на 27 миллионов долларов. Контракты проекта StableMarket имели проверенный код, но были развернуты с непроверенной библиотекой. Эта библиотека была вредоносной и похитила токены пользователей, хранящиеся в протоколе.

Еще один риск для пользователей — одобрение токенов для обновляемого смарт-контракта: такой контракт может быть автоматически обновлен с вредоносным кодом и украсть одобренные токены.
Часто фронтенд-приложения одобряют максимальные суммы токенов для контракта, а не только ту сумму, которая будет использоваться. Это делается для оплаты газа в одной транзакции. Если пользователь вносит токены в контракт, ему придется дополнительно платить за газ. Но если контракт действует злонамеренно, в этом случае он может вывести любую сумму токенов из кошелька.

Таким образом, лучшей практикой для максимальной безопасности является всегда проверять сумму одобрения и одобрять только ту сумму, которая необходима для работы контракта.

В: Хакеры становятся умнее или пользователи криптовалют становятся менее осторожными в вопросах кибербезопасности?

Оба утверждения верны. Хакеры добились серьезного прогресса в эксплуатации платформ флеш-кредитов в сочетании с различными протоколами для создания и эксплуатации уязвимостей. Сами по себе эти другие платформы в большинстве случаев безопасны, но флеш-кредиты создают большую структурную сложность, что делает уязвимости более частыми.

Такие атаки очень сложны. Даже их анализ занимает много времени. Кроме того, существует множество взломов проектов, которые просто имеют плохой код с простыми ошибками, которые, скорее всего, были бы устранены, если бы были проведены тесты или код был должным образом проверен.
Часть вины также лежит на пользователях, потому что многие из них знают о безопасных практиках, которые минимизируют риски, таких как холодное хранение, например. Но они часто пренебрегают ими, теряя голову от возможности, которая может принести им многократную прибыль. Иногда они просто теряют свои деньги.

В: Как пользователи могут лучше защитить свои активы в Metamask и связанных dapps, таких как OpenSea и DeFi?

Лучшая защита — не хранить все активы в горячих кошельках, а переводить их в холодные: последние не имеют доступа к Интернету. Лучше всего хранить в горячих кошельках только небольшую сумму активов, необходимых для операций, а остальное хранить в холодном хранилище.
Помимо этого, пользователи должны следовать стандартным правилам безопасности: использовать антивирусы, избегать открытия подозрительных ссылок в электронной почте и использовать двухфакторную аутентификацию, когда это возможно.

В: Вы считаете, что взломы и эксплойты станут более распространенными по мере роста индустрии?

По мере роста индустрии и запуска новых проектов, все больше из них будут сталкиваться с риском взлома. Вы не можете устранить все ошибки во всех проектах, но компании по безопасности блокчейна постоянно работают над их минимизацией. Это включает не только аудит исходного кода проектов, но и разработку аналитических инструментов, которые помогут предотвратить появление ошибок в целом или, по крайней мере, найти их на ранних стадиях разработки.

В: Какую роль играет HashEx в расширении криптоиндустрии?

Мы просвещаем людей в вопросах прозрачности и безопасности использования децентрализованных приложений. Логика их работы слишком сложна и непонятна для среднего пользователя. Кроме того, ни один здравомыслящий человек не доверит свои деньги чему-то, чего он не понимает, как Пиноккио в поле Чудес. Мы объясняем сложные понятия простыми словами и выявляем подводные камни, о которых люди должны знать и которых следует избегать, а также помогаем потенциальным инвесторам принять обоснованное решение о своих средствах.

Но в первую очередь мы являемся аудиторской фирмой, ориентированной на DeFi и криптовалюты. Это означает, что мы проводим множество аудитов смарт-контрактов и тем самым помогаем криптопроектам завоевать доверие инвесторов, поскольку инвесторы больше доверяют проектам, которые хорошо защищены от дорогостоящих ошибок, которые могут нанести финансовый ущерб их инвесторам.

В: Каково ваше мнение по поводу действий G7 и президента США Джо Байдена по борьбе с вымогательским ПО, кибербезопасностью и частыми взломами криптовалют?

Постоянное совершенствование стандартов безопасности является частью нашей рутины и корпоративной идеологии. Мы стремимся привнести доверие в бесперспективное пространство DeFi. И этот вопрос имеет решающее значение в любой сфере ИТ, а не только в DeFi. С быстрым появлением новых программных продуктов, к аспекту кибербезопасности, к сожалению, уделяется недостаточно внимания, что создает возможности для хакеров. Есть две основные причины этого: «программирование в один клик» и низкоквалифицированная рабочая сила, которой неоправданно предлагают большие зарплаты.

Это недостаток быстро растущих ИТ-бизнесов. В этой жесткой конкурентной среде компании пытаются опередить друг друга, предлагая новые продукты и часто закрывая глаза на проблемы безопасности, несмотря на их важность. В результате иногда мы получаем большие системы, которыми пользуется большое количество клиентов, но которые все еще содержат ошибки, которые могут привести к потере средств пользователей. Иногда последствия этих ошибок могут быть даже континентального масштаба.

С этой точки зрения, государственное вмешательство полностью оправдано. Если бы не участие государственных правительств в этих вопросах, кто еще мог бы ограничить жадных бизнесменов и убедить их уделять усилия мерам безопасности и разработке программного обеспечения разумным образом?

Если люди начнут сообщать о взломах в государственные органы, это окажет положительное влияние. Своевременная информация может помочь минимизировать последствия потенциального сбоя, позволив задействовать резервные каналы (ситуация с поставкой нефти на восточное побережье США может служить хорошим примером этой практики).

Единые стандарты безопасности по всей отрасли также принесут пользу, если они будут разработаны экспертами, а не аутсайдерами. Даже на текущей ранней стадии разработки DApp мы видим, что такие стандарты внедряются ведущими аудиторами. Интеграция таких протоколов поможет всем: это упростит программирование, сделает код безопаснее и защитит средства пользователей.

В: Эти взломы говорят об их влиянии на криптоиндустрию

Обратная связь для криптоиндустрии — это попытка контролировать украденные средства. Я думаю, это хорошо. В настоящее время вы не можете получить все удобства реального мира через криптовалюту. Эта ситуация меняется с каждым днем, но она далека от совершенства. Поэтому хакерам все еще нужен мост между крипто и фиатными средствами для вывода незаконно полученных средств.

Это этап, на котором преступников можно идентифицировать. Чем больше их найдут, тем меньше будет желающих попробовать сделать это снова. Можно вспомнить, как в восточных культурах отрезали части тела за кражу. Такие вмешательства правоохранительных органов оказывают совершенно положительное влияние на криптоиндустрию и ее репутацию. Эти действия заставляют людей чувствовать себя в безопасности.

В: Плохие акторы/игроки, стоящие за многими из этих крипто-взломов, какие санкции вы бы рекомендовали для них, чтобы отпугнуть других?

Как я уже говорил ранее, я полностью за наказание таких лиц. Я бы рассматривал такие операции как финансовое мошенничество различной степени тяжести и применял бы к ним соответствующие юридические меры. Я бы не пытался разрабатывать новые законы в настоящее время.

В: Криптомир без взломов почти невозможно достичь, как участники криптоиндустрии, политики и все остальные могут свести атаки к минимуму?

Любая сфера ИТ немыслима без киберугроз. Но когда мы говорим об обычном бизнесе, мы видим только вершину айсберга, а не всю картину. Существует гораздо больше взломов, которые не бросаются в глаза, потому что компании могут подорвать свою репутацию, если такие знания станут публичными. С криптовалютами все прозрачно и известно публично, поэтому средства массовой информации чаще пишут об этом.

Кибербезопасность — это многомерная практика, которая включает нормативные рамки на точках входа и выхода крипто-в-фиат, обучение пользователей, команды кибербезопасности, проверяющие код и т.д. Эта индустрия все еще молода, что предоставляет отличную возможность направить ее по правильным векторам развития. Таким образом, мы можем использовать более безопасные практики с самого начала, вместо того чтобы пытаться заделывать дыры где-то в будущем.