Обобщение на разговорите в Академията OKEx: DCEP – Как да осигурим сигурност за инвеститорите в DeFi?
DeFi, съкратено от Децентрализирано финансиране, се превърна в модна дума в криптовалутното пространство от 2019 г. С нарастването на DeFi вървим стъпка напред към бъдещето на финансите. Създаване на глобална и по-прозрачна рамка за всяка финансова услуга днес: спестявания, заеми, търговия и др.
Академията OKEx събра онлайн уеб семинар с някои специални гости, за да споделят своите идеи за сигурността на DeFi и как инвеститорите в DeFi могат да гарантират, че инвестициите им са безопасни.
Тази статия ще ви преведе през резюмето на дискусията.
Гост-лектори:
Ю Го – основател на лабораториите SECBIT
Доминик Теймл – водещ одитор на Ethereum на Certik
Zhengchao Du – старши инженер по сигурността в Slowmist
Модератор:
Michael Gui – Boxmining
Майкъл: Децентрализираното финансиране расте с бързи темпове, в момента имаме над 800 милиона долара с крипто, заключени в договорите на DeFi Smart. Тъй като тези договори са децентрализирани, създателите трябва да гарантират сигурността на кода зад тези договори. Ако не го направите, това може да доведе до катастрофални хакове – например преди по-малко от 2 седмици хакер успя да „открадне“ крипто на стойност 25 милиона долара от договори на dForce. Защитата от хакове е от първостепенно значение, за да осигури дългосрочния растеж на DeFi. За щастие днес имаме група от експерти по сигурността.
Започвайки с критичен цитат от DeFi Critic "Научавам за DeFi само когато даден проект се провали и загуби средства". Кои според вас са най-големите рискове за сигурността на децентрализираните финанси?
СЕКБИТ: DeFi е изграден върху код, който е съставен от много модули, разработени от различни екипи. Неразбирането на основните модули, градивни елементи би донесло по-големи загуби. Интерфейсът на всеки модул не е лесен за изясняване, уточняване или формализиране.
Certik: Освен нестандартните неща като сигурност на ключове, отвличане на предни краища и / или DNS сървъри, OpSec и др. Мисля, че най-големите верижни рискове са неправилността на изпълнението (Hegic бъг) и взаимодействието с други акаунти, а именно : манипулируеми оракули (bZx хак) и атаки за повторно влизане (Uniswap & Lendf.me хак)
Бавно: Децентрализираното финансиране ни носи три основни характеристики: оперативна съвместимост, програмируемост и композируемост. Благодарение на тези три функции, ние сме в състояние да комбинираме всички видове интелигентни договори като комбиниране на лего блокове, което ни носи изобилие от финансови продукти и безкрайни възможности. DeFi обаче е толкова сложна система, че рисковете ще бъдат увеличени. С друга дума, за централизираната финансова система възможните рискови сценарии могат да бъдат контролирани чрез работа по стандарти и ограничаване на разрешенията за достъп, докато за DeFi всеки от двата договора, които отговарят на стандартите на споразумението, може да се комбинира, което означава повече възможни сценарии и всеки нов сценарий носи потенциални нови рискове. И най-важното от всичко, характеристика на стандарта може да се превърне в дефект при всякакви обстоятелства.
Майкъл: Можем ли да постигнем пълна безопасност с DeFi?
СЕКБИТ: Това е свещен Граал. Невъзможно е да се постигне целта, както теоретично, така и практически. Всяка сигурност се основава на предположения. Колкото по-сложна е системата, толкова повече се разчита на предположенията за сигурност. Но надеждността на тези предположения за безопасност е неизвестна. В много случаи тези предположения за безопасност могат да се разхлабят.
На теория определението за безопасност е доста неясно. Можем да дефинираме конкретна безопасност, например без препълване с цели числа. Но обикновено е непълна. Тъй като концепцията за DeFi непрекъснато расте, значението на безопасността също нараства. Ние не знаем как да дефинираме цялостна концепция за безопасност.
Финансите са рискови по природа. Обикновено печалбите идват от поемане на риск. Сега финансовите рискове се смесват с изчислителната сложност и по този начин комбинираните рискове са по-трудни за контрол. На практика е трудно да се забележи безопасността, трудно да се провери. Има проблеми с безопасността, които могат да възникнат на различни нива, предположение за сигурност, блокчейн, виртуална машина и компилатори, библиотеки, логиката на кода, интерфейсът на услугите. Нито един от тях не е лесен за постигане без грешки.
Една от обещаващите характеристики на DeFi е, че интелигентните договори могат да се съставят много добре, дори ако интелигентните договори са разработени от различни екипи. Но сме виждали грешки, намерени в интерфейсите – например ERC777, ERC827, ERC 233. Композирането ще направи системата по-отворена и динамична. Много традиционни подходи са за осигуряване на сигурността на статичната система няма да работи за новата, отворена, динамична и огромна система.
Certik: Безопасността е въпрос на намаляваща възвръщаемост. Никога не можем да сме сигурни, че някакви логически разсъждения са валидни, защото може да допуснем грешка в самата проверка, парадоксът на логиката. По същия начин никога не можем да бъдем 100% сигурни, че нещо е сигурно. Много съм оптимист обаче, че можем да постигнем гаранции с висока сигурност с подходящите мерки. Обширни и интензивни одити, официална проверка, щедри награди за грешки …
По-интересният въпрос е дали тези везни. Можем ли да намерим инструмент, който автоматизира сигурността? Все още никой не е постигнал това; все още е отворен въпрос.
Бавно: Пълната сигурност е невъзможна за всички продукти, включително DeFi. Трябва да осъзнаем, че сигурността включва контрамерки, с цел хакерът да струва много повече от ползите, които може да получи. А сигурността е динамична, новите сценарии, новите техники и повторението на продуктите на DeFi може да предизвика нови проблеми със сигурността, така че бъдете сигурни веднъж завинаги не е възможно.
Майкъл: С приетите нови езици за програмиране – Vyper (Ethereum), Haskell (Cardano) – мислите ли, че това ще помогне за сигурността на блокчейн?
СЕКБИТ: Vyper почти прилича на солидност, повечето подобрения. Haskell, от друга страна, е по-математически. Но, както казах, най-големите проблеми със сигурността са от логическо ниво, а не от езиково ниво. Новите атаки не са чисто на езиково ниво и те идват от цялата блокчейн система, което е много сложно. Хакерите продължават да измислят нови атаки, които никога досега не сме виждали. Новите уязвимости са трудни за откриване от инструменти, вградени в компилаторите. Не можем да си представим, че атаките ще бъдат предотвратени автоматично. Ще видим повече уязвимости, изкоренени от логическото ниво, дори ако езиковите инструменти се подобряват. Кодът трябва да бъде одитиран от експерти.
Оценявам работата на езиковата общност за програмиране, където статичното писане не позволява на програмистите да правят глупави грешки. Например езикът, предложен от Facebook, наречен MOVE, работи във веригата Libra. Взаимства идеята от РЪЖА на "преместване срещу копиране", "собственост и заеми". Системата от статичен тип гарантира, че общият размер на цифровите активи е непроменен, така че нито разработчиците, нито хакерите могат.
От друга страна, ние се нуждаем от официални спецификации или официални проверки, за да гарантираме "коректност" до някъде. Не 100%, а максимална безопасност зависим само от математиката. Инструментите и практиките обаче все още са на път. Предлагам работата от екипа на CertiK.
Certik: Вероятно. Мисля, че подценихме сигурността в ранните фази на нашата екосистема. Взехме архитектурни решения, които са изключително трудни за промяна след това. EVM има динамични скокове, които правят всеки статичен анализ изключително тромав и едва ли изобщо има ползи. По мое мнение солидността от 0.5 насам се фокусира върху сигурността, обръщайки част от онова, което беше със заден поглед, лоши решения за езиков дизайн.
Vyper е по-добър, но за съжаление не е готов за производство за големи проекти и му липсват много важни функции.
Всъщност съм развълнуван от DeapSEA, насочен към EVM език за програмиране, който се опитва да преодолее тези предизвикателства, наложени от EVM, и да позволи по-лесна формална проверка на интелигентните договори на Ethereum. Разработва се от Certik и Yale и скоро ще чуем повече за него.
Въпреки че това е на по-дълъг хоризонт, мисля, че преходът към eWASM ще бъде чудесен за сигурността. Wasm не само е много по-фокусиран върху секцията, но и ще можем да се възползваме от неговата екосистема от инструменти за сигурност.
Бавно: Тези езици имат свои собствени функции за сигурност. Например Vyper извършва много проверки за препълване, приложими към аритметични изчисления, а функционални езици като Haskell могат да помогнат при официална проверка. Но сигурността е многоизмерна и освен защитните функции на езика за програмиране, сигурността на разработката на продукта и сигурността на бизнес логиката са също толкова важни, колкото и езиците.
Майкъл: Кой е най-опустошителният хак на акаунта, който някога сте срещали? Всеки личен опит, който можете да споделите?
СЕКБИТ: Ключ откраднат. Няколко стотин ETH от един от нашите клиенти. Но повече случаи, идващи към нас за помощ, бяха загубени. Хората просто забравиха мнемоничния код или парола. Това е още една дилема в света на сигурността. Как бихме могли да запомним безопасна парола? Слабата парола е лесна за запомняне, но с ниска ентропия. То е уязвимо за атаки, форсиращи грубо. (напр. Атака на дъгата); докато по-случайната парола е смъртоносно трудна за запомняне. Да го запишете на хартия? Може да забравим за хартията другата сутрин.
Certik: Щастлив съм, че нито един от проектите, по които някога съм работил, не е хакнат.
Бавно: Ethereum Black Valentine’s Day, кръстен от нашия екип. Този инцидент със сигурността е наблюдаван за първи път през март 2018 г. Хакерът е откраднал етикетите и други символи от портфейла на потребителя с автоматичния скрипт в продължение на две години, преди да го намерим за първи път. Към настоящия момент от 6679 портфейла са откраднати около 54864 ETH с настоящата стойност от 10 милиона долара. Този хак е много впечатляващ, като се има предвид неговото влияние и времето на продължителност.
Микахел: Ако имаше ЕДИН съвет за сигурност за нашите зрители – Съветът, който според вас ще спести на нашите зрители потенциално хиляди долари – какво би бил той?
СЕКБИТ: Практикувайте да запомните мнемоничния код; Знам, че е трудно. Това е изключително трудно. Но, повярвайте ми, това е единственият начин да запазите цифровите си активи в безопасност. Попитайте доставчиците на услуги колко бюджет са похарчили за сигурността и контрола на риска, какви контрамерки са предприели и прочетете материали като одиторски доклад, документи за проектиране на системата на уебсайта. Мисля, че доставчиците, които сериозно управляват бизнес на блокчейн, трябва да имат строги политики за това.
Certik: Прочетете отчети. Прочетете одиторски доклад, преди да използвате каквото и да е децентрализирано приложение. От време на време виждаме уязвимости, посочени по време на одитите, никога не коригирани и по-късно използвани. Проверете дали в последния издаден доклад се споменават някакви критични или значителни уязвимости.
Бавно: За лични активи предлагаме да защитите личния си ключ от интернет.
Що се отнася до криптовалутите в продуктите на DeFi, препоръчваме при избора на продукти и платформи на DeFi потребителят да обърне внимание както на механизма за контрол на риска, така и на одобрението на докладите за одити на сигурността от изключителен екип за сигурност на трета страна. Освен това сигурността е динамична, така че всеки оттук нататък трябва да проверява фона на сигурността на продуктите и платформите на defi.
