Как блокчейн-мосты стали главной целью хакеров

Криптоиндустрия превратилась в экосистему, объединяющую несколько блокчейнов уровня 1 (L1) и решения для масштабирования уровня 2 (L2) с уникальными возможностями и компромиссами. 

Такие сети, как Fantom, Terra или Avalanche, стали активными благодаря деятельности DeFi, в то время как децентрализованные приложения, такие как Axie Infinity и DeFi Kingdoms, поддерживают целые экосистемы, такие как Ronin и Harmony. Эти блокчейны стали серьезной альтернативой плате за газ Ethereum и относительно медленному времени транзакций. Потребность в простом способе перемещения активов между протоколами в разрозненных цепочках блоков стала более важной, чем когда-либо. 

Вот тут-то и появляются блокчейн-мосты.

В результате сценария с несколькими цепями общая заблокированная стоимость (TVL) во всех децентрализованных приложениях DeFi резко возросла. В конце марта 2022 года TVL отрасли оценивался в 215 миллиардов долларов, что на 156% выше, чем в марте 2021 года. Объем средств, заблокированных и связанных в этих децентрализованных приложениях DeFi, привлек внимание злоумышленников, и последняя тенденция предполагает, что злоумышленники могли нашли слабое звено в мостах блокчейна. 

Согласно базе данных Rekt, в первом квартале 1.2 года было украдено криптоактивов на сумму 1 миллиарда долларов, что составляет 2022% всех украденных средств, согласно тому же источнику. Интересно, что не менее 35.8% потерянных активов в 80 году были украдены с мостов. 

Одна из самых тяжелых атак произошла две недели назад, когда Мост Ронина был взломан за 540 миллионов долларов. До этого Солана червоточина и мост Qubit Finance сети BNB были использованы более чем на 400 миллионов долларов в 2022 году. Крупнейший взлом в истории криптографии произошел в августе 2021 года, когда Мост PolyNetwork был использован за 610 миллионов долларов, хотя позже украденные средства были возвращены. 

Мосты являются одним из самых ценных инструментов в отрасли, но их интероперабельность представляет собой серьезную проблему для проектов по их созданию. 

Понимание мостов блокчейна

По аналогии с манхэттенскими мостами, блокчейн-мосты представляют собой платформы, которые соединяют две разные сети, обеспечивая межсетевую передачу активов и информации из одного блокчейна в другой. Таким образом, криптовалюты и NFT не изолированы внутри своих собственных цепочек, а могут быть «соединены» между разными цепочками блоков, увеличивая количество вариантов использования этих активов. 

Благодаря мостам Биткойн используется в сетях на основе смарт-контрактов для целей DeFi, а NFL All Day NFT может быть перенаправлен из Flow в Ethereum для дробления или использования в качестве залога. 

Существуют разные подходы к передаче активов. Как следует из их названия, мосты Lock-and-Mint работают, блокируя исходные активы внутри смарт-контракта на отправляющей стороне, в то время как принимающая сеть создает копию исходного токена на другой стороне. Если Эфир связан с Эфириумом в Солане, Эфир в Солане — это просто «обернутое» представление криптовалюты, а не сам токен.  

В то время как подход «блокировка и чеканка» является наиболее популярным методом соединения, существуют и другие способы завершения передачи активов, такие как «сжигание и чеканка» или атомарные свопы, автоматически выполняемые смарт-контрактом для обмена активами между двумя сетями. Connext (ранее xPollinate) и cМост мосты, основанные на атомарных свопах. 

С точки зрения безопасности мосты можно разделить на две основные группы: доверенные и ненадежные. Доверенные мосты — это платформы, которые полагаются на третью сторону для проверки транзакций, но, что более важно, выступают в качестве хранителей связанных активов. Примеры доверенных мостов можно найти почти во всех мостах, специфичных для блокчейна, таких как Binance Bridge, Многоугольный мост POS, WBTC Bridge, Avalanche Bridge, Harmony Bridge, Terra Shuttle Bridge и специальные децентрализованные приложения, такие как Multichain (ранее Anyswap) или Just Cryptos от Tron. 

И наоборот, платформы, которые полагаются исключительно на смарт-контракты и алгоритмы для хранения активов, ненадежные мосты. Фактор безопасности в ненадежных мостах привязан к базовой сети, в которой активы соединяются, т. е. где активы заблокированы. Ненадежные мосты можно найти в Радужный мост NEAR, Solana's Wormhole, Polkadot's Snow Bridge, Cosmos IBC и такие платформы, как Hop, Connext и Celer. 

На первый взгляд может показаться, что мосты без доверия предлагают более безопасный способ передачи активов между блокчейнами. Однако как надежные, так и ненадежные мосты сталкиваются с разными проблемами. 

Ограничения доверенных и доверенных мостов

Мост Ronin работает как централизованная доверенная платформа. Этот мост использует кошелек с мультиподписью для хранения активов, подключенных к мосту. Короче говоря, кошелек с мультиподписью — это адрес, который требует двух или более криптографических подписей для подтверждения транзакции. В случае Ронина сайдчейн имеет девять валидаторов, которым требуется пять разных подписей для утверждения депозитов и снятия средств.  

Другие платформы используют тот же подход, но лучше диверсифицируют риск. Например, Polygon использует восемь валидаторов и требует пять подписей. Пять подписей контролируются разными сторонами. В случае с Ронином только команда Sky Mavis владела четырьмя подписями, что создало единую точку отказа. После того, как хакеру удалось контролировать сразу четыре подписи Sky Mavis, для одобрения вывода активов понадобилась еще одна подпись. 

23 марта злоумышленник получил контроль над подписью Axie DAO, последней частью, необходимой для завершения атаки. 173,600 25.5 ETH и XNUMX млн долларов США были выведены из кастодиального контракта Ронина в двух разных транзакциях во время второй по величине крипто-атаки за всю историю. Также стоит отметить, что команда Sky Mavis узнала о взломе почти неделю спустя, показав, что механизмы мониторинга Ronin были как минимум несовершенны, что выявило еще один недостаток в этой надежной платформе. 

В то время как централизация представляет собой фундаментальный недостаток, мосты без доверия подвержены эксплойтам из-за ошибок и уязвимостей в их программном обеспечении и кодировании. 

В феврале 2022 года Solana Wormhole, платформа, которая позволяет осуществлять кросс-мостовые транзакции между Solana и Ethereum, подверглась уязвимости, когда Было украдено 325 миллионов долларов из-за ошибки в кастодиальных контрактах Соланы. Ошибка в контрактах Wormhole позволила хакеру разработать межсетевые валидаторы. Злоумышленник отправил 0.1 ETH из Ethereum в Solana, чтобы вызвать набор «сообщений о переводе», которые обманом заставили программу утвердить предполагаемый депозит в 120,000 XNUMX ETH.

Взлом червоточины произошел после Поли Сеть был использован на сумму 610 миллионов долларов в августе 2021 года из-за недостатков в таксономии и структуре контрактов. Кроссчейн-транзакции в этом децентрализованном приложении утверждаются централизованной группой узлов, называемых «хранителями», и проверяются в принимающей сети с помощью шлюзового контракта. В этой атаке хакер смог получить привилегии хранителя и таким образом обманул шлюз, установив собственные параметры. Злоумышленник повторил процесс в Ethereum, Binance, Neo и других блокчейнах, чтобы извлечь больше активов.

Все мосты ведут к Эфириуму

Ethereum остается самой доминирующей экосистемой DeFi в отрасли, на которую приходится почти 60% TVL отрасли. В то же время появление различных сетей в качестве альтернативы децентрализованным приложениям Ethereum DeFi спровоцировало межцепочечную активность мостов блокчейнов. 

Крупнейшим мостом в отрасли является мост WBTC, который находится под управлением BitGo, Kyber и Republic Protocol, команды, стоящей за RenVM. Поскольку биткойн-токены технически несовместимы с блокчейнами на основе смарт-контрактов, мост WBTC «обертывает» нативный биткойн, блокирует его в кастодиальном контракте моста и выпускает его версию ERC-20 на Ethereum. Этот мост стал чрезвычайно популярным летом DeFi и теперь содержит биткойны на сумму около 12.5 миллиардов долларов. WBTC позволяет использовать BTC в качестве залога в децентрализованных приложениях, таких как Aave, Compound и Maker, или для получения дохода или получения процентов по нескольким протоколам DeFi. 

Multichain, ранее известный как Anyswap, представляет собой децентрализованное приложение, которое предлагает кроссчейн-транзакции для более чем 40 блокчейнов со встроенным мостом. Multichain держит 6.5 миллиардов долларов во всех подключенных сетях. Тем не менее, мост Fantom к Ethereum на сегодняшний день является крупнейшим пулом с заблокированными 3.5 миллиардами долларов. Во второй половине 2021 года сеть Proof-of-Stake зарекомендовала себя как популярное место назначения DeFi с привлекательными доходными фермами, включающими FTM, различные стейблкоины или wETH, подобные тем, которые можно найти на SpookySwap. 

В отличие от Fantom, большинство блокчейнов L1 используют независимый прямой мост для соединения сетей. Мост Avalanche в основном находится в ведении Avalanche Foundation и является крупнейшим мостом L1<>L1. Avalanche может похвастаться одним из самых надежных ландшафтов DeFi с такими децентрализованными приложениями, как Trader Joe, Aave, Curve и Platypus Finance. 

Мост Binance также выделяется с заблокированными активами на 4.5 миллиарда долларов, за ним следует Solana Wormhole с 3.8 миллиардами долларов. Shuttle Bridge от Terra обеспечивает всего 1.4 миллиарда долларов, несмотря на то, что он является вторым по величине блокчейном с точки зрения TVL.

Точно так же решения для масштабирования, такие как Polygon, Arbitrum и Optimism, также являются одними из наиболее важных мостов с точки зрения заблокированных активов. Мост Polygon POS, основная точка входа между Ethereum и его сайдчейном, является третьим по величине мостом, на хранении которого находится почти 6 миллиардов долларов. Между тем, ликвидность в мостах популярных платформ L2, таких как Arbitrum и Optimism, также растет. 

Еще один мост, о котором стоит упомянуть, — это мост «Ближняя радуга», который призван решить знаменитую трилемма интероперабельности. Эта платформа, которая соединяет Near и Aurora с Ethereum, может предоставить ценную возможность для обеспечения безопасности в ненадежных мостах. 

Улучшение межсетевой безопасности

Как доверительные, так и ненадежные мосты, два подхода к хранению активов, объединенных мостом, подвержены фундаментальным и техническим недостаткам. Тем не менее, есть способы предотвратить и уменьшить воздействие, вызванное злоумышленниками, нацеленными на мосты блокчейна. 

В случае доверенных мостов ясно, что необходимо увеличить количество необходимых подписантов, а также сохранить мультиподписи, распределенные по разным кошелькам. И хотя мосты без доверия устраняют риски, связанные с централизацией, ошибки и другие технические ограничения создают рискованные ситуации, о чем свидетельствуют эксплойты Solana Wormhole или Qubit Finance. Таким образом, необходимо реализовать действия вне сети, чтобы максимально защитить кроссчейн-платформы.

Необходимо сотрудничество между протоколами. Пространство Web3 характеризуется своим сплоченным сообществом, поэтому идеальным сценарием было бы объединение самых ярких умов отрасли, работающих вместе над тем, чтобы сделать это пространство более безопасным. Animoca Brands, Binance и другие бренды Web3 привлекли 150 миллионов долларов, чтобы помочь Sky Mavis уменьшить финансовые последствия взлома моста Ронина. Совместная работа над многоцепочечным будущим может вывести функциональную совместимость на новый уровень. 

Точно так же координация с платформами цепной аналитики и централизованными биржами (CEX) должна помочь отследить и пометить украденные токены. Это условие может отпугнуть преступников в среднесрочной перспективе, поскольку шлюз для обналичивания криптовалюты в фиат должен контролироваться процедурами KYC на установленных CEX. Прошлый месяц, пара 20-летних были подвергнуты юридическим санкциям после мошенничества в пространстве NFT. Справедливо требовать такого же обращения с идентифицированными хакерами.

Аудиты и вознаграждение за ошибки — еще один способ улучшить работоспособность любой платформы Web3, включая мосты. Сертифицированные организации, такие как Certik, Chainsafe, Blocksec и некоторые другие, помогают сделать взаимодействие с Web3 более безопасным. Все активные мосты должны быть проверены как минимум одной сертифицированной организацией. 

Между тем, программы вознаграждения за ошибки создают синергию между проектом и его сообществом. Белые хакеры играют жизненно важную роль в выявлении уязвимостей до того, как это сделают злоумышленники. Например, у Sky Mavis есть Недавно запустили программу поощрения ошибок на 1 миллион долларов. для укрепления своей экосистемы. 

Заключение

Всплеск решений L1 и L2 как целостных блокчейн-экосистем, бросающих вызов децентрализованным приложениям Ethereum, создал потребность в кроссчейн-платформах для перемещения активов между сетями. В этом суть функциональной совместимости, одного из столпов Web3. 

Тем не менее, текущий сценарий функциональной совместимости опирается на межцепочечные протоколы, а не на многоцепочечный подход, сценарий, в отношении которого Виталик смягчил слова предостережения в начале года. Необходимость взаимодействия в космосе более чем очевидна. Тем не менее, необходимы более надежные меры безопасности для этого типа платформы. 

К сожалению, это испытание не будет легко преодолено. Как доверенные, так и не доверенные платформы имеют недостатки в своей конструкции. Эти врожденные недостатки перекрестной цепи стали заметными. Более 80% из 1.2 миллиарда долларов, потерянных в результате взломов в 2022 году, пришлись на эксплуатируемые мосты. 

Кроме того, по мере того, как стоимость в отрасли продолжает расти, хакеры также становятся все более изощренными. Традиционные кибератаки, такие как социальная инженерия и фишинговые атаки, адаптировались к концепции Web3. 

До многоцепочечного подхода, при котором все версии токенов являются родными для каждого блокчейна, еще далеко. Поэтому кроссчейн-платформы должны извлечь уроки из предыдущих событий и укрепить свои процессы, чтобы максимально сократить количество успешных атак.

Прочтите исходный пост на Вызывающий

• Коинсмарт. Лучшая в Европе биржа биткойнов и криптовалют.
• Платоблокчейн. Интеллект метавселенной Web3. Расширение знаний. БЕСПЛАТНЫЙ ДОСТУП.
• КриптоХок. Альткоин Радар. Бесплатная пробная версия.
• Источник: https://thedefiant.io/hackers-target-blockchain-bridges/