Kako so Blockchain Bridges postali glavne tarče hekerjev

Kriptoindustrija se je razvila v ekosistem, ki medsebojno povezuje več verig blokov plasti 1 (L1) in rešitev za skaliranje ravni 2 (L2) z edinstvenimi zmogljivostmi in kompromisi. 

Omrežja, kot so Fantom, Terra ali Avalanche, so postala bogata z dejavnostjo DeFi, medtem ko aplikacije za zaslužek igraj, kot sta Axie Infinity in DeFi Kingdoms, vzdržujejo celotne ekosisteme, kot sta Ronin in Harmony. Te verige blokov so postale resna alternativa provizijam za plin Ethereum in razmeroma počasnemu času transakcij. Potreba po preprostem načinu za premikanje sredstev med protokoli v različnih verigah blokov je postala bolj kritična kot kdaj koli prej. 

Tu nastopijo mostovi blockchain.

Kot rezultat večverižnega scenarija je Total Value Locked (TVL) v vseh aplikacijah DeFi skokovito narasel. Konec marca 2022 je bil TVL v industriji ocenjen na 215 milijard USD, kar je 156 % več kot marca 2021. Količina vrednosti, zaklenjene in premoščene v teh aplikacijah DeFi, je pritegnila pozornost zlonamernih hekerjev, zadnji trend pa kaže, da bi lahko napadalci našel šibko povezavo v mostovih blockchain. 

Glede na bazo podatkov Rekt je bilo v prvem četrtletju 1.2 ukradenih 1 milijarde dolarjev kripto sredstev, kar predstavlja 2022 % vseh ukradenih sredstev vseh časov po istem viru. Zanimivo je, da je bilo vsaj 35.8 % izgubljenih sredstev v letu 80 ukradenih z mostov. 

Eden najhujših napadov se je zgodil pred dvema tednoma, ko je Roninov most je bil vlomljen za 540 milijonov dolarjev. Pred tem je Solana črvina in most Qubit Finance BNB Chain sta bila leta 400 izkoriščena za več kot 2022 milijonov dolarjev. Največji vdor v zgodovini kripto se je zgodil avgusta 2021, ko je Most PolyNetwork je bil izkoriščen za 610 milijonov dolarjev, čeprav so bila ukradena sredstva pozneje vrnjena. 

Mostovi so eno najdragocenejših orodij v industriji, vendar njihova interoperabilna narava predstavlja pomemben izziv za projekte, ki jih gradijo. 

Razumevanje Blockchain Bridges

Podobno manhattanskim mostovom so mostovi blockchain platforme, ki povezujejo dve različni omrežji, kar omogoča medverižni prenos sredstev in informacij iz ene verige blokov v drugo. Na ta način kriptovalute in NFT niso ločeni znotraj svojih izvornih verig, ampak jih je mogoče »premostiti« prek različnih verig blokov, kar pomnoži možnosti za uporabo teh sredstev. 

Zahvaljujoč mostovom se Bitcoin uporablja v omrežjih, ki temeljijo na pametnih pogodbah, za namene DeFi ali pa je NFL All Day NFT mogoče premostiti iz Flow v Ethereum, da se frakcionalizira ali uporabi kot zavarovanje. 

Obstajajo različni pristopi, ko gre za prenos sredstev. Kot pove že njihovo ime, mostovi Lock-and-Mint delujejo tako, da zaklenejo izvirna sredstva znotraj pametne pogodbe na strani pošiljatelja, medtem ko prejemno omrežje na drugi strani kuje repliko izvirnega žetona. Če je eter premoščen iz Ethereuma v Solano, je eter v Solani samo "zavita" predstavitev kriptovalute in ne sam dejanski žeton.  

Medtem ko je pristop ključavnice in kovnice najbolj priljubljena premostitvena metoda, obstajajo tudi drugi načini za dokončanje prenosa sredstev, kot so "zažgaj in kovni" ali atomske zamenjave, ki se samoizvedejo s pametno pogodbo za izmenjavo sredstev med dvema omrežjema. Poveži se (prej xPollinate) in cBridge so mostovi, ki temeljijo na atomskih zamenjavah. 

Z varnostnega vidika lahko mostove razvrstimo v dve glavni skupini: zaupanja vredne in nezaupljive. Zaupanja vredni mostovi so platforme, ki se za potrjevanje transakcij zanašajo na tretjo osebo, vendar, kar je še pomembneje, delujejo kot skrbniki premostitvenih sredstev. Primere zaupanja vrednih mostov lahko najdete v skoraj vseh mostovih, specifičnih za verigo blokov, kot je Binance Bridge, Poligon POS most, WBTC Bridge, Avalanche Bridge, Harmony Bridge, Terra Shuttle Bridge in posebne aplikacije, kot je Multichain (prej Anyswap) ali Tron's Just Cryptos. 

Nasprotno pa so platforme, ki se zanašajo izključno na pametne pogodbe in algoritme za skrbništvo sredstev nezaupljivi mostovi. Varnostni dejavnik pri nezaupljivih mostovih je vezan na osnovno omrežje, kjer se sredstva premostijo, tj. kjer so sredstva zaklenjena. Mostove brez zaupanja je mogoče najti v NEAR's Rainbow Bridge, Solana's Wormhole, Polkadot's Snow Bridge, Cosmos IBC in platforme, kot so Hop, Connext in Celer. 

Na prvi pogled se morda zdi, da nezaupljivi mostovi ponujajo varnejšo možnost za prenos sredstev med verigami blokov. Vendar se tako zaupanja vredni kot nezaupljivi mostovi soočajo z različnimi izzivi. 

Omejitve zaupanja vrednih in nezaupljivih mostov

Most Ronin deluje kot centralizirana zaupanja vredna platforma. Ta most uporablja multisig denarnico za skrbništvo nad premoščenimi sredstvi. Na kratko, multisig denarnica je naslov, ki zahteva dva ali več kriptografskih podpisov za odobritev transakcije. V Roninovem primeru ima stranska veriga devet validatorjev, ki potrebujejo pet različnih podpisov za odobritev pologov in dvigov.  

Druge platforme uporabljajo enak pristop, vendar bolje razpršijo tveganje. Polygon se na primer opira na osem validatorjev in zahteva pet podpisov. Pet podpisov nadzorujejo različne strani. V primeru Ronina je štiri podpise imela samo ekipa Sky Mavis, kar je ustvarilo eno točko napake. Potem ko je hekerju uspelo nadzorovati štiri podpise Sky Mavis naenkrat, je bil potreben le še en podpis za odobritev umika sredstev. 

23. marca je napadalec pridobil nadzor nad podpisom Axie DAO, zadnjim delom, potrebnim za dokončanje napada. 173,600 ETH in 25.5 milijona USDC je bilo izčrpanih iz Roninove skrbniške pogodbe v dveh različnih transakcijah v drugem največjem kripto napadu doslej. Prav tako je treba omeniti, da je ekipa Sky Mavis izvedela za vdor skoraj teden dni kasneje, kar je pokazalo, da so bili Roninovi nadzorni mehanizmi najmanj pomanjkljivi, kar je razkrilo še eno napako v tej zaupanja vredni platformi. 

Medtem ko centralizacija predstavlja temeljno napako, so nezaupljivi mostovi nagnjeni k izkoriščanju zaradi napak in ranljivosti v njihovi programski opremi in kodiranju. 

Solana Wormhole, platforma, ki omogoča navzkrižne transakcije med Solano in Ethereumom, je februarja 2022 utrpela zlorabo, kjer je Ukradeno je bilo 325 milijonov dolarjev zaradi napake v Solaninih skrbniških pogodbah. Napaka v pogodbah Wormhole je hekerju omogočila, da je izdelal validatorje med verigami. Napadalec je poslal 0.1 ETH iz Ethereuma v Solano, da je sprožil nabor »prenosnih sporočil«, ki so pretentala program, da je odobril domnevni depozit v višini 120,000 ETH.

Vdor v Wormhole se je zgodil po Poly omrežje je bil avgusta 610 izkoriščen za 2021 milijonov dolarjev zaradi napak v taksonomiji in strukturi pogodb. Transakcije med verigami v tem dapp-u odobri centralizirana skupina vozlišč, imenovanih »skrbniki«, in potrdi v sprejemnem omrežju s pogodbo o prehodu. V tem napadu je hekerju uspelo pridobiti privilegije kot čuvaj in tako prevarati prehod z nastavitvijo lastnih parametrov. Napadalec je ponovil postopek v verigah blokov Ethereum, Binance, Neo in drugih, da bi pridobil več sredstev.

Vsi mostovi vodijo v Ethereum

Ethereum ostaja najbolj prevladujoč ekosistem DeFi v industriji, saj predstavlja skoraj 60 % TVL v industriji. Hkrati je vzpon različnih omrežij kot alternativ za aplikacije DeFi Ethereum sprožil medverižno dejavnost mostov blockchain. 

Največji most v panogi je most WBTC, ki ga skrbijo BitGo, Kyber in Republic Protocol, ekipa za RenVM. Ker žetoni Bitcoin tehnično niso združljivi z verigami blokov, ki temeljijo na pametnih pogodbah, most WBTC »ovije« izvorni Bitcoin, ga zaklene v skrbniško pogodbo mostu in kuje njegovo različico ERC-20 na Ethereum. Ta most je postal izjemno priljubljen v poletju DeFi in zdaj hrani okoli 12.5 milijarde dolarjev bitcoinov. WBTC omogoča, da se BTC uporablja kot zavarovanje v aplikacijah, kot so Aave, Compound in Maker, ali za ustvarjanje donosa ali pridobivanje obresti v več protokolih DeFi. 

Multichain, prej znan kot Anyswap, je dapp, ki ponuja medverižne transakcije za več kot 40 verig blokov z vgrajenim mostom. Multichain ima 6.5 ​​milijarde dolarjev v vseh povezanih omrežjih. Vendar pa je Fantomov most do Ethereuma daleč največji bazen z zaklenjenimi 3.5 milijarde dolarjev. V drugi polovici leta 2021 se je omrežje Proof-of-Stake uveljavilo kot priljubljena destinacija DeFi s privlačnimi farmami donosov, ki vključujejo FTM, različne stabilne kovance ali wETH, kot so tisti na SpookySwap. 

Za razliko od Fantoma večina blokovnih verig L1 uporablja neodvisen neposredni most za povezovanje omrežij. Lavinski most je večinoma v skrbništvu Fundacije Avalanche in je največji most L1<>L1. Avalanche se ponaša z eno najbolj robustnih pokrajin DeFi s programi dapp, kot so Trader Joe, Aave, Curve in Platypus Finance. 

Binance bridge prav tako izstopa s 4.5 milijarde dolarjev zaklenjenih sredstev, tesno pa mu sledi Solana Wormhole s 3.8 milijarde dolarjev. Terra's Shuttle Bridge zagotavlja le 1.4 milijarde dolarjev, čeprav je druga največja veriga blokov v smislu TVL.

Podobno so tudi rešitve za skaliranje, kot so Polygon, Arbitrum in Optimism, med najpomembnejšimi mostovi v smislu zaklenjenih sredstev. Polygon POS Bridge, glavna vstopna točka med Ethereumom in njegovo stransko verigo, je tretji največji most s skrbništvom za skoraj 6 milijard dolarjev. Medtem se povečuje tudi likvidnost v mostovih priljubljenih platform L2, kot sta Arbitrum in Optimism. 

Drugi most, ki ga je vredno omeniti, je most Near Rainbow, katerega namen je rešiti slavno trilema interoperabilnosti. Ta platforma, ki povezuje Near in Auroro z Ethereumom, lahko predstavlja dragoceno priložnost za doseganje varnosti v nezaupljivih mostovih. 

Izboljšanje medverižne varnosti

Tako zaupanja vredni kot nezaupljivi mostovi, dva pristopa k premostitvenemu skrbništvu, so nagnjeni k temeljnim in tehničnim pomanjkljivostim. Kljub temu obstajajo načini za preprečevanje in zmanjšanje vpliva zlonamernih napadalcev, ki ciljajo na mostove blockchain. 

V primeru zaupanja vrednih mostov je jasno, da je potrebno povečati razmerje med zahtevanimi podpisniki, hkrati pa ohraniti multisige, porazdeljene v različne denarnice. In čeprav nezaupljivi mostovi odstranjujejo tveganja, povezana s centralizacijo, hrošči in druge tehnične omejitve predstavljajo tvegane situacije, kot je razvidno iz Solana Wormhole ali izkoriščanja Qubit Finance. Zato je treba izvajati ukrepe zunaj verige, da čim bolj zaščitimo medverižne platforme.

Potrebno je sodelovanje med protokoli. Za prostor Web3 je značilna njegova povezana skupnost, zato bi bilo sodelovanje najbistrejših umov v panogi, da bi naredili prostor bolj varno mesto, popoln scenarij. Animoca Brands, Binance in druge blagovne znamke Web3 so zbrale 150 milijonov dolarjev, da bi Sky Mavisu pomagale zmanjšati finančni vpliv Roninovega vdora v most. Skupno delo za večverižno prihodnost lahko interoperabilnost dvigne na višjo raven. 

Podobno bi moralo usklajevanje s platformami za analizo verige in centraliziranimi borzami (CEX) pomagati pri sledenju in označevanju ukradenih žetonov. Ta pogoj bi lahko srednjeročno odvrnil kriminalce, saj bi moral biti prehod za izplačilo kripto za fiat nadzorovan s postopki KYC v uveljavljenih CEX. Prejšnji mesec, par 20 letnikov so bili pravno sankcionirani, potem ko so prevarali ljudi v prostoru NFT. Pošteno je zahtevati enako obravnavo prepoznanih hekerjev.

Revizije in nagrade za napake so še en način za izboljšanje zdravja katere koli platforme Web3, vključno z mostovi. Certificirane organizacije, kot so Certik, Chainsafe, Blocksec in številne druge, pomagajo narediti interakcije Web3 varnejše. Vse aktivne mostove mora pregledati vsaj ena certificirana organizacija. 

Medtem pa programi za nagrado za napake ustvarjajo sinergijo med projektom in njegovo skupnostjo. Beli hekerji igrajo ključno vlogo pri prepoznavanju ranljivosti pred zlonamernimi napadalci. Na primer, Sky Mavis ima je pred kratkim uvedel 1 milijon dolarjev vreden program nagrad za hrošče okrepiti svoj ekosistem. 

zaključek

Naval rešitev L1 in L2 kot celostnih ekosistemov blockchain, ki izzivajo dapps Ethereum, je ustvaril potrebo po medverižnih platformah za premikanje sredstev med omrežji. To je bistvo interoperabilnosti, enega od stebrov Web3. 

Kljub temu se trenutni interoperabilni scenarij opira na medverižne protokole in ne na večverižni pristop, scenarij, o katerem Vitalik je omilil opozorilne besede na začetku leta. Potreba po interoperabilnosti v prostoru je več kot očitna. Kljub temu so potrebni strožji varnostni ukrepi pri tej vrsti platforme. 

Na žalost izziva ne bo zlahka premagati. Tako zaupanja vredne kot nezaupljive platforme imajo pomanjkljivosti v svoji zasnovi. Te inherentne napake med verigami so postale opazne. Več kot 80 % od 1.2 milijarde dolarjev izgubljenih vdorov leta 2022 je prišlo prek izkoriščenih mostov. 

Poleg tega, ker se vrednost v industriji nenehno povečuje, tudi hekerji postajajo vse bolj prefinjeni. Tradicionalni kibernetski napadi, kot so socialni inženiring in lažno predstavljanje, so se prilagodili pripovedi Web3. 

Večverižni pristop, kjer so vse različice žetonov izvorne za vsako verigo blokov, je še daleč. Zato se morajo medverižne platforme učiti iz prejšnjih dogodkov in okrepiti svoje procese, da čim bolj zmanjšajo število uspešnih napadov.

Preberite izvirno objavo na Zavračevalec

• Coinsmart. Najboljša evropska borza bitcoinov in kriptovalut.
• Platoblockchain. Web3 Metaverse Intelligence. Razširjeno znanje. PROST DOSTOP.
• CryptoHawk. Altcoin radar. Brezplačen preizkus.
• Vir: https://thedefiant.io/hackers-target-blockchain-bridges/