איך גשרי בלוקצ'יין הפכו למטרות העיקריות של האקרים

תעשיית הקריפטו התפתחה למערכת אקולוגית המחברת כמה שרשראות בלוקצ'יין של Layer-1(L1) ופתרונות קנה מידה של Layer-2(L2) עם יכולות ייחודיות ופשרות. 

רשתות כמו Fantom, Terra או Avalanche הפכו עשירות בפעילות DeFi, בעוד ש-Play-to-Earn Dapps כמו Axie Infinity ו-DeFi Kingdoms מקיימים מערכות אקולוגיות שלמות כמו רונין והרמוני. הבלוקצ'יין הללו עלו כחלופות רציניות לעמלות הגז של Ethereum וזמני עסקה איטיים יחסית. הצורך בדרך קלה להעביר נכסים בין פרוטוקולים ב-blockchains שונים הפך קריטי מתמיד. 

כאן נכנסים לתמונה גשרי בלוקצ'יין.

כתוצאה מהתרחיש הרב-שרשרת, הערך הכולל נעול (TVL) בכל ה-Dapps של DeFi זינק. בסוף מרץ 2022, ה-TVL של התעשייה נאמד ב-215 מיליארד דולר, גבוה ב-156% ממרץ 2021. כמות הערך שננעלה ומגושרת ב-Dapps של DeFi משכה את תשומת לבם של האקרים זדוניים, והמגמה האחרונה מעידה על כך שהתוקפים מצאו חוליה חלשה בגשרי בלוקצ'יין. 

לפי מסד הנתונים של Rekt, נכסי קריפטו של 1.2 מיליארד דולר נגנבו ברבעון הראשון של 1, המהווים 2022% מהכספים שנגנבו בכל הזמנים לפי אותו מקור. מעניין שלפחות 35.8% מהנכסים האבודים בשנת 80 נגנבו מגשרים. 

אחד ההתקפים הקשים ביותר אירע לפני שבועיים כאשר גשר רונין נפרץ תמורת 540 מיליון דולר. לפני כן, ה חור תולעת סולאנה וגשר Qubit Finance של BNB Chain נוצלו עבור יותר מ-400 מיליון דולר בשנת 2022. הפריצה הגדולה ביותר בהיסטוריה של הקריפטו התרחשה באוגוסט 2021 כאשר גשר PolyNetwork נוצל תמורת 610 מיליון דולר, אם כי הכספים הגנובים הוחזרו מאוחר יותר. 

גשרים הם אחד הכלים היקרים ביותר בתעשייה, אך אופי הפעולה ההדדית שלהם מהווה אתגר חשוב עבור הפרויקטים שבונים אותם. 

הבנת גשרי בלוקצ'יין

אנלוגי לגשרי מנהטן, גשרי בלוקצ'יין הם פלטפורמות המחברים בין שתי רשתות שונות המאפשרות העברה צולבת של נכסים ומידע מבלוקצ'יין אחד לאחר. בדרך זו, מטבעות קריפטוגרפיים ו-NFT אינם מושלמים בתוך השרשראות המקוריות שלהם, אלא ניתן "לגשר" על פני בלוקצ'יין שונים, תוך הכפלת האפשרויות לניצול נכסים אלה. 

הודות לגשרים, ביטקוין משמש ברשתות מבוססות חוזים חכמות למטרות DeFi, או שניתן לגשר ב-NFL All Day NFT מ-Flow ל-Ethereum כדי לחלק אותו או להשתמש בו כבטוחה. 

ישנן גישות שונות בכל הנוגע להעברת נכסים. כפי שמרמז שמם, גשרי נעילה-אנד-מנטה פועלים על ידי נעילת הנכסים המקוריים בתוך חוזה חכם בצד השולח בזמן שהרשת המקבלת מטביעה העתק של האסימון המקורי בצד השני. אם האתר מגושר מאתריום לסולנה, האתר בסולנה הוא רק ייצוג "עטוף" של הקריפטו, לא האסימון עצמו.  

בעוד שגישת הנעילה והנעילה היא שיטת הגישור הפופולרית ביותר, ישנן דרכים אחרות להשלים את העברת הנכסים כמו  'צריבה-אנד-מנטה' או החלפות אטומיות בביצוע עצמי על ידי חוזה חכם להחלפת נכסים בין שתי רשתות. קונקסט (לשעבר xPollinate) ו cBridge הם גשרים המסתמכים על החלפות אטומיות. 

מנקודת מבט ביטחונית, ניתן לסווג גשרים לשתי קבוצות עיקריות: מהימנים וחסרי אמון. גשרים מהימנים הן פלטפורמות המסתמכות על צד שלישי כדי לאמת עסקאות, אך, חשוב מכך, לפעול כשומרים של הנכסים המגושרים. דוגמאות לגשרים מהימנים ניתן למצוא כמעט בכל הגשרים הספציפיים לבלוקצ'יין כמו גשר Binance, גשר קופה מצולע, WBTC Bridge, Avalanche Bridge, Harmony Bridge, Terra Shuttle Bridge ודאפים ספציפיים כמו Multichain (לשעבר Anyswap) או Tron's Just Cryptos. 

לעומת זאת, פלטפורמות המסתמכות אך ורק על חוזים חכמים ואלגוריתמים לשמירה על נכסים גשרים חסרי אמון. גורם האבטחה בגשרים חסרי אמון קשור לרשת הבסיסית שבה מגשרים על הנכסים, כלומר, שבה הנכסים נעולים. ניתן למצוא גשרים חסרי אמון ב גשר הקשת של NEAR, חור התולעת של סולאנה, גשר השלג של Polkadot, Cosmos IBC ופלטפורמות כמו Hop, Connext ו- Celer. 

במבט ראשון, זה עשוי להיראות שגשרים חסרי אמון מציעים אפשרות בטוחה יותר להעברת נכסים בין בלוקצ'יין. עם זאת, גשרים מהימנים וחסרי אמון מתמודדים עם אתגרים שונים. 

מגבלות של גשרים מהימנים וחסרי אמון

גשר רונין פועל כפלטפורמה מהימנה ריכוזית. גשר זה משתמש בארנק מולטי-sig לשמירה על הנכסים המגושרים. בקיצור, ארנק multisig הוא כתובת שדורשת שתי חתימות קריפטוגרפיות או יותר כדי לאשר עסקה. במקרה של רונין, ל-sidechain יש תשעה מאמתים שצריכים חמש חתימות שונות כדי לאשר הפקדות ומשיכות.  

פלטפורמות אחרות משתמשות באותה גישה אך מגוונות את הסיכון טוב יותר. לדוגמה, Polygon מסתמך על שמונה מאמתים ודורש חמש חתימות. חמש החתימות נשלטות על ידי גורמים שונים. במקרה של רונין, ארבע חתימות הוחזקו על ידי צוות Sky Mavis בלבד, מה שיצר נקודת כישלון אחת. לאחר שההאקר הצליח לשלוט בארבע חתימות Sky Mavis בבת אחת, נדרשה רק חתימה אחת נוספת כדי לאשר את משיכת הנכסים. 

ב-23 במרץ, התוקף השיג שליטה על החתימה של ה-Axie DAO, החלק האחרון הנדרש להשלמת המתקפה. 173,600 ETH ו-25.5 מיליון USDC נוקזו מחוזה האפוטרופוס של רונין בשתי עסקאות שונות במתקפת הקריפטו השנייה בגודלה אי פעם. ראוי גם לציין שצוות Sky Mavis גילה על הפריצה כמעט שבוע לאחר מכן, והראה שמנגנוני הניטור של רונין היו לכל הפחות לקויים, וחשף פגם נוסף בפלטפורמה האמינה הזו. 

בעוד שריכוזיות מציגה פגם מהותי, גשרים חסרי אמון נוטים לניצול עקב באגים ופגיעויות בתוכנה ובקידוד שלהם. 

The Solana Wormhole, פלטפורמה המאפשרת עסקאות חוצות גשר בין סולנה לאתריום, סבלה מניצול בפברואר 2022, שם 325 מיליון דולר נגנבו עקב באג בחוזי האפוטרופוס של סולנה. באג בחוזי חור התולעת אפשר להאקר לתכנן את המאמתים חוצי השרשרת. התוקף שלח 0.1 ETH מ-Ethereum לסולנה כדי להפעיל קבוצה של "הודעות העברה" שהטעו את התוכנית לאשר הפקדה לכאורה של 120,000 ETH.

פריצת חור התולעת אירעה לאחר מכן רשת פולי נוצל תמורת 610 מיליון דולר באוגוסט 2021 עקב פגמים בטקסונומיה ובמבנה של החוזים. עסקאות צולבות שרשרת ב-dapp זה מאושרות על ידי קבוצה ריכוזית של צמתים הנקראת "שומרים" ומאומתות ברשת המקבלת על ידי חוזה שער. בהתקפה זו, ההאקר הצליח להשיג הרשאות כשומר ובכך הונה את השער על ידי הגדרת פרמטרים משלו. התוקף חזר על התהליך ב-Ethereum, Binance, Neo ושאר בלוקצ'יין כדי לחלץ נכסים נוספים.

כל הגשרים מובילים לאתריום

Ethereum נותרה האקולוגית הדומיננטית ביותר של DeFi בתעשייה, ומהווה כמעט 60% מה-TVL של התעשייה. במקביל, עלייתן של רשתות שונות כחלופות ל-DeFi dapps של Ethereum עוררה את הפעילות צולבת השרשרת של גשרי בלוקצ'יין. 

הגשר הגדול ביותר בתעשייה הוא גשר WBTC, שנמצא בשמירה על ידי BitGo, Kyber ו-Republic Protocol, הצוות מאחורי RenVM. מכיוון שאסימוני ביטקוין אינם תואמים טכנית לבלוקצ'יין מבוססי חוזים חכמים, גשר WBTC "עוטף" את הביטקוין המקומי, נועל אותו בחוזה האפוטרופוס של הגשר ומטביע את גרסת ה-ERC-20 שלו ב-Ethereum. הגשר הזה הפך לפופולרי מאוד בקיץ DeFi וכעת מחזיק ביטקוין בשווי של כ-12.5 מיליארד דולר. WBTC מאפשר ל-BTC לשמש כבטוחה ב-dapps כמו Aave, Compound ו-Maker, או להניב חווה או להרוויח ריבית במספר פרוטוקולי DeFi. 

Multichain, שנקרא בעבר Anyswap, הוא Dapp שמציע עסקאות צולבות שרשרת ליותר מ-40 בלוקצ'יין עם גשר מובנה. Multichain מחזיקה 6.5 מיליארד דולר בכל הרשתות המחוברות. עם זאת, גשר Fantom לאת'ריום הוא ללא ספק הבריכה הגדולה ביותר עם 3.5 מיליארד דולר נעולים. במהלך המחצית השנייה של 2021, רשת Proof-of-Stake ביססה את עצמה כיעד DeFi פופולרי עם חוות תשואה אטרקטיביות הכוללות FTM, מטבעות יציבות שונים או wETH כמו אלה שנמצאו ב- SpookySwap. 

שלא כמו Fantom, רוב רשתות הבלוקצ'יין L1 משתמשות בגשר ישיר עצמאי לחיבור רשתות. גשר Avalanche נשמר ברובו על ידי קרן Avalanche והוא הגשר L1<>L1 הגדול ביותר. Avalanche מתגאה באחד מנופי ה-DeFi החזקים ביותר עם דפים כמו Trader Joe, Aave, Curve ו- Platypus Finance. 

גשר Binance בולט גם הוא עם נכסים נעולים של 4.5 מיליארד דולר, ואחריו סולאנה Wormhole עם 3.8 מיליארד דולר. גשר המעבורת של טרה משיג 1.4 מיליארד דולר בלבד למרות היותו הבלוקצ'יין השני בגודלו מבחינת TVL.

באופן דומה, פתרונות קנה מידה כמו Polygon, Arbitrum ואופטימיות הם גם בין הגשרים המשמעותיים ביותר מבחינת נכסים נעולים. גשר ה-Polygon POS, נקודת הכניסה העיקרית בין Ethereum לרשת הצדדית שלו, הוא הגשר השלישי בגודלו עם כמעט 6 מיליארד דולר בשמירה. בינתיים, גם הנזילות בגשרים של פלטפורמות L2 פופולריות כמו ארביטרום ואופטימיזם במגמת עלייה. 

גשר נוסף שכדאי להזכיר הוא גשר Near Rainbow, שמטרתו לפתור את המפורסם טרילמה של יכולת פעולה הדדית. פלטפורמה זו שמחברת את Near ואת Aurora עם Ethereum עשויה להוות הזדמנות חשובה להשיג אבטחה בגשרים ללא אמון. 

שיפור אבטחה צולבת שרשרת

גשרים מהימנים וחסרי אמון, שתי הגישות לשמירה על נכסים מגושרים, מועדים לחולשות בסיסיות וטכניות. ובכל זאת, ישנן דרכים למנוע ולהפחית את ההשפעה הנגרמת על ידי תוקפים זדוניים המכוונים לגשרי בלוקצ'יין. 

במקרה של גשרים מהימנים, ברור שיש צורך בהגדלת יחס החותמים הנדרש, תוך שמירת מולטיסיגים מפוזרים בארנקים שונים. ולמרות שגשרים חסרי אמון מסירים את הסיכונים הקשורים לריכוזיות, באגים ואילוצים טכניים אחרים מציגים מצבים מסוכנים, כפי שמוצג על ידי חור התולעת של Solana או Qubit Finance. לפיכך, יש צורך ליישם פעולות מחוץ לשרשרת כדי להגן על פלטפורמות צולבות שרשרת ככל האפשר.

יש צורך בשיתוף פעולה בין הפרוטוקולים. מרחב ה-Web3 מאופיין בקהילה המלוכדת שלו, כך שהמוחות הבהירים ביותר בתעשייה יעבדו יחד כדי להפוך את המרחב למקום בטוח יותר יהיה התרחיש המושלם. Animoca Brands, Binance ומותגי Web3 אחרים גייסו 150 מיליון דולר כדי לעזור ל-Sky Mavis להפחית את ההשפעה הכספית של פריצת הגשר של רונין. עבודה משותפת למען עתיד מרובה שרשרת יכולה לדחוף יכולת פעולה הדדית לשלב הבא. 

כמו כן, תיאום עם פלטפורמות ניתוח שרשרת ובורסות מרכזיות (CEXs) אמור לסייע במעקב ובסימון של אסימונים גנובים. מצב זה עשוי להפריע לפושעים באמצע הטווח, שכן השער לפדיון קריפטו עבור פיאט צריך להיות נשלט על ידי נהלי KYC ב-CEXs מבוססים. חודש שעבר, זוג ילדים בני 20 קיבלו סנקציות משפטיות לאחר הונאה באנשים בחלל ה-NFT. הוגן לבקש את אותו טיפול עבור האקרים שזוהו.

ביקורת והטבות באגים הם דרך נוספת לשיפור הבריאות של כל פלטפורמת Web3, כולל גשרים. ארגונים מוסמכים כמו Certik, Chainsafe, Blocksec ועוד כמה עוזרים להפוך את האינטראקציות של Web3 לבטוחות יותר. כל הגשרים הפעילים צריכים להיבדק על ידי לפחות ארגון מוסמך אחד. 

בינתיים, תוכניות באגים יוצרות סינרגיה בין הפרויקט לקהילה שלו. האקרים לבנים ממלאים תפקיד חיוני בזיהוי נקודות תורפה לפני שתוקפים זדוניים עושים זאת. למשל, יש ל-Sky Mavis השיקה לאחרונה תוכנית פרס באגים בסך מיליון דולר כדי לחזק את המערכת האקולוגית שלו. 

סיכום

הזינוק של פתרונות L1 ו-L2 כמערכות אקולוגיות של בלוקצ'יין הוליסטיות המאתגרות את ה-Ethereum dapps יצרו את הצורך בפלטפורמות חוצות שרשרת כדי להעביר נכסים בין רשתות. זוהי המהות של יכולת פעולה הדדית, אחד מעמודי התווך של Web3. 

אף על פי כן, התרחיש הפעיל הדדי הנוכחי מסתמך על פרוטוקולים חוצי שרשרת ולא על גישת ריבוי שרשרת, תרחיש לגביו ויטליק הקל בדברי הזהירות בתחילת השנה. הצורך בפעילות הדדית במרחב ברור יותר. עם זאת, יש צורך באמצעי אבטחה חזקים יותר בפלטפורמה מסוג זה. 

למרבה הצער, האתגר לא יתגבר בקלות. גם פלטפורמות מהימנות וגם חסרות אמון מציגות פגמים בעיצוב שלהן. הפגמים הצולבים האלה הפכו לבולטים. יותר מ-80% מ-1.2 מיליארד הדולר שאבדו בפריצות ב-2022 הגיעו דרך גשרים מנוצלים. 

בנוסף, ככל שהערך בתעשייה ממשיך לעלות, גם ההאקרים הולכים ומשתכללים. התקפות סייבר מסורתיות כמו הנדסה חברתית והתקפות פישינג התאימו לנרטיב Web3. 

גישת ה-multichain שבה כל גרסאות האסימונים מקוריות בכל בלוקצ'יין עדיין רחוקה. לכן, פלטפורמות צולבות שרשרת חייבות ללמוד מאירועים קודמים ולחזק את התהליכים שלהן כדי לצמצם ככל האפשר את מספר ההתקפות המוצלחות.

קרא את הפוסט המקורי על המתריס

• Coinsmart. בורסת הביטקוין והקריפטו הטובה באירופה.
• Platoblockchain. Web3 Metaverse Intelligence. ידע מוגבר. גישה חופשית.
• CryptoHawk. רדאר אלטקוין. ניסיון חינם.
• מקור: https://thedefiant.io/hackers-target-blockchain-bridges/