2022 a été une année rentable pour les pirates exploitant les domaines en plein essor du Web3 et de la finance décentralisée (DeFi), avec plus de 2 milliards de dollars de crypto-monnaies extraites dans un certain nombre de hacks de haut niveau à ce jour. Les protocoles inter-chaînes ont été considérablement épuisants, le piratage du pont Ronin de 650 millions de dollars d'Axie Infinity représentant une bonne partie des fonds volés cette année.
Le pillage s'est poursuivi dans la seconde moitié de 2022, lorsque la plate-forme inter-chaînes Nomad s'est fait voler 190 millions de dollars des portefeuilles. L'écosystème Solana était l'objectif suivant, où les pirates ont eu accès aux clés personnelles d'environ 8000 portefeuilles, ce qui a entraîné le vol de 5 millions de dollars de jetons Solana (SOL) et Solana Library (SPL).
deBridge Finance a réussi à échapper à une tentative d'attaque par hameçonnage le lundi 600,000 août en extrayant les stratégies utilisées par le vecteur d'attaque à longue portée présumé utilisé par les pirates nord-coréens Lazarus Group. Quelques jours plus tard, Curve Finance a subi un exploit où les pirates ont redirigé les clients vers un faux site Web, entraînant le vol de XNUMX XNUMX $ en USD Cash (USDC).
Plusieurs sources d'erreur
L'équipe de deBridge Finance a fourni une idée connexe de la prévalence de ces attaques dans la correspondance avec Cointelegraph, car certains de leurs membres d'équipe travaillaient auparavant pour une société antivirus bien connue.
Le co-fondateur Alex Smirnov a souligné le problème principal derrière l'alignement sur les protocoles inter-chaînes étant donné leur fonction d'agrégateurs de liquidité répondant aux demandes de changement de valeur inter-chaînes. La plupart de ces protocoles visent à amasser autant de liquidités que possible grâce à l'extraction de liquidités et à différentes incitations, ce qui s'est inévitablement transformé en pot de miel pour les acteurs néfastes :
"En bloquant une quantité considérable de liquidités et en offrant par inadvertance un large éventail de vecteurs d'attaque accessibles, les ponts deviennent un objectif pour les pirates."
Smirnov a ajouté que les protocoles de pontage sont des intergiciels qui dépendent des modes de sécurité de toutes les chaînes de blocs prises en charge à partir desquelles ils se mélangent, augmentant considérablement le niveau d'attaque potentiel. Cela permet de lancer une attaque dans une séquence pour vider les liquidités des autres.
Questions associées : Y a-t-il un avenir sûr pour les ponts inter-chaînes ?
Smirnov a ajouté que le Web3 et la maison inter-chaînes sont dans une partie naissante, avec un processus d'amélioration itératif des groupes de lieux à apprendre des erreurs des autres. Le co-fondateur de deBridge a établi des parallèles avec les deux premières années au sein de la maison DeFi où les exploits ont sévi, reconnaissant qu'il s'agissait d'un pur cours de dentition :
«La maison inter-chaînes est extrêmement jeune même dans le contexte du Web3, nous voyons donc le même processus. La chaîne croisée a un super potentiel et il est inévitable que des capitaux supplémentaires arrivent et que les pirates passent plus de temps et d'actifs à découvrir des vecteurs d'attaque.
L'incident de piratage DNS de Curve Finance illustre également le nombre de stratégies d'agression accessibles aux acteurs malveillants. Paolo Ardoino, directeur technique de Bitfinex, a déclaré à Cointelegraph que le commerce devait être en alerte face à toute menace pour la sécurité :
« Cette attaque révèle une fois de plus que l'ingéniosité des hackers est une menace proche et omniprésente pour notre métier. Le fait qu'un pirate soit prêt à modifier le rapport DNS du journal, à rediriger les clients vers un faux clone et à approuver un contrat malveillant en dit long sur la vigilance à exercer.
endiguer la marée
Parce que les exploits sont répandus, les tâches vont sans aucun doute envisager des méthodes pour atténuer ces risques. La réponse est loin d'être claire compte tenu du nombre de choix dont disposent les attaquants. Smirnov aime utiliser un "modèle de fromage suisse" lors de la conceptualisation de la sécurité des protocoles de pontage, où la seule solution pour lancer une attaque est que si une série de "trous" sont momentanément enchaînés.
"Pour rendre la chance négligeable, les dimensions de la sortie sur chaque couche doivent être aussi petites que possible et la variété des couches doit être maximisée."
Encore une fois, il s'agit d'une activité difficile compte tenu des éléments mouvants concernés dans les plates-formes inter-chaînes. La construction de modes de sécurité en couches fiables nécessite de comprendre le nombre de dangers liés aux protocoles inter-chaînes et les dangers des chaînes prises en charge.
Les principales menaces comprennent les vulnérabilités au sein de l'algorithme de consensus et dans la base de code des chaînes prises en charge, les attaques à 51 % et les réorganisations de la blockchain. Les dangers pour les couches de validation pourraient inclure la collusion entre les validateurs et l'infrastructure compromise.
Les dangers liés à l'amélioration du logiciel sont également une autre considération, car les vulnérabilités ou les bogues dans les contrats sensibles et les nœuds de validation de pont sont les principaux inconvénients. Enfin, deBridge prend en compte les risques d'administration des journaux tels que les clés d'autorité de journal compromises comme autre considération de sécurité.
"Tous ces dangers s'additionnent sous peu. Les tâches doivent adopter une stratégie à plusieurs facettes, incorporant de nombreuses mesures de sécurité et validations dans la conception du protocole lui-même, ainsi que des audits de sécurité et des campagnes de primes de bogues.
L'ingénierie sociale, mieux connue sous le nom d'attaques de phishing, est un autre niveau à envisager. Bien que l'équipage de deBridge ait réussi à contrecarrer ce type d'attaque, il reste néanmoins l'une des menaces les plus répandues pour tout l'écosystème. La conscience et les polices d'assurance de sécurité internes strictes sont importantes pour éviter de tomber victime de ces tentatives astucieuses de voler des informations d'identification et des méthodes de détournement.
