Poly Network Hack - Revurderer "Real Hacker"-scenariet

Den nylige Poly Network inter-chain hack, inkludert Ethereum, Binance Smart Chain og Polygon har skapt mye hype da hackeren returnerte de stjålne midlene.

Jo lenger historien fortsetter, jo flere detaljer og spekulasjoner om hackerens sanne motiver vises.

Hvis du ser nærmere på denne hendelsen, kan du lure på om dette var angrepet fullt implementert av utenforstående.

Hva ligger under hacket

Poly Network-hacket skjedde gjennom en sårbarhetsutnyttelse i interchain-broene bygget av Poly Network. Dette er gitt i rapporterer av nettsikkerhetsfirmaet SlowMist.

Cybersikkerhetsfirmaet BlockSec har tilbudt en versjon av hacket. I denne versjonen er hackeren fikk tak i en nøkkel som gjorde det mulig for ham å signere transaksjoner på tvers av kjeder ved å bruke Poly Network-broene. Ellers fant han en feil i Poly Networks smarte kontrakt som tillot ham å generere sine egne transaksjoner.

Begge slike utnyttelser ville være svært vanskelig å finne for både hackere og revisorer. Revisorene fant tydeligvis ikke utnyttelsen. Så det åpner opp for oss en mulighet for tvil angående en ekstern hacker.

Du må også ta hensyn til PR-effekten som nyhetene har forårsaket. Dette får meg til å vurdere muligheten for at det var en PR-øvelse fra selskapets side.

Imidlertid er scenariet "ekte hacker" fortsatt relevant ned til noen få fakta. Hackeren bestemte seg for å returnere midlene. Dette var etter at informasjonen knyttet til hackerens IP-adresse og klientens bekreftede adresse på den Kina-baserte kryptovalutabørsen Hoo.com dukket opp på Twitter.

Før angrepet, hackeren trakk 0.47 ETH fra det til å betale for gassavgiftene på transaksjonene. Utvekslingen var i stand til å registrere e-posten og IP-adressen som ble brukt av hackeren.

Så, truet av straffeforfølgelse, bestemte hackeren seg for å returnere de stjålne midlene for å unngå tiltale. Det ser imidlertid ganske tvilsomt ut, siden hackeren brukte en rekke anonymiseringsinstrumenter. Dette sto også i hans svar på SlowMist-rapporten.

Det er også verdt å merke seg at angriperen sendte noen av de stjålne midlene inn i en Ellipsis Finance-likviditetspool. Dette kan allerede ha gitt ham en anstendig fortjeneste, noe som gjør at resten av midlene ikke er verdt risikoen.

Ny teknologi innebærer risiko

Hovedårsaken bak hackene er bruken av nye programmeringsspråk som mange blokkjedeutviklere ikke er helt kjent med, for eksempel programmeringsspråket Solidity.

Den største belastningen ligger imidlertid på de arkitektoniske egenskapene til smarte kontrakter som skaper de største sikkerhet trusselen mot desentralisert finans spesielt.

Dessuten er antallet sikkerhetsansatte åpenbart utilstrekkelig i de fleste blockchain-oppstarter. Noen av dem gidder ikke engang å gjøre en skikkelig revisjon av teknologien deres.

I mellomtiden, ettersom industrien vokser, øker også antallet nerder som studerer teknologien. Forskjellen i antall er ofte i favør av nerdene som, når de først er forent i en gruppe, kan forårsake massiv fare for noen tusen hardtarbeidende mennesker over hele bransjen.

Jo mer bransjen vokser, jo flere sårbarheter vil det være så lenge situasjonen med sikkerhet i bransjen er som nå.

Måter å takle cybertrusler i kryptovaluta-sfæren

Først og fremst bør mer oppmerksomhet gå til sikkerheten til smarte kontrakter. Oftest skjer vellykkede hackingangrep på smarte kontrakter som ikke er ordentlig revidert.

Bare en systemisk tilnærming til sikkerheten til blokkjedeprosjekter kunne tillate Defi å skalere. Dette inkluderer revisjoner utført av fagfolk og å følge sikkerhetsprotokoller i virksomheten.

Når vi snakker om å takle de arkitektoniske risikoene, kan den modulære tilnærmingen være en god løsning på problemet. Det som er bra med modulær utvikling er at det er som å bygge et lokalt nettverk ved å bruke bladsystemer som kan erstattes uten å stenge ned hele enheten de jobber i.

Du kan erstatte serveren uten å kompromittere arbeidet til det lokale nettverket. Så du kan bygge om en modul uten å kompromittere arbeidet til resten av teknologistabelen din.

Eksemplet med Poly Network er ikke unikt, ethvert prosjekt som jobber med enorme mengder penger må gjennom utallige kodesjekker, og det er alltid best å bruke tjenesten til flere revisorer i stedet for én, uansett hvor gode og profesjonelle de måtte være.

Dobbeltsjekking bør være et ledende prinsipp i denne forbindelse. For det andre bør ikke prosjektet slippes ut i et hastverk fordi prisen på en feil i en uforanderlig kode er for høy. Selv om noen av utgivelsesdatoene må endres, er det bedre å gjøre det enn å risikere å gi ut et produkt du ikke har full tillit til.

Begge disse taktikkene kan redusere den kontrollerbare og ikke-påvirkelige risikoen betydelig.

Hva betyr det for fremtiden?

Dette kan være et hackerangrep fra tredjepart eller en innsider som bestemte seg for å skape hype rundt prosjektet. Foreløpig er det lite sannsynlig at vi får vite sannheten før selskapet avslører resultatene.

Men hvis det var et angrep utført av selskapet av hensyn til offentlig oppmerksomhet, ville det være dumt å forvente at de skulle komme rent ettersom det kan få svært alvorlige konsekvenser for alle dets ledere.

Sannheten i historien er at sikkerhetsproblemet må tas opp på alvor. Så lenge det ikke er det, kommer vi til å se flere overskrifter om episke tyverier dukke opp i kryptovalutamediene.