OKEx Academy Talks Recap: DCEP – Wie kann die Sicherheit für DeFi-Investoren gewährleistet werden?
DeFi, kurz für Decentralized Finance, war seit 2019 ein Schlagwort im Bereich der Kryptowährung. Mit dem Wachstum von DeFi gehen wir einen Schritt weiter in die Zukunft des Finanzwesens. Schaffung eines globalen und transparenteren Rahmens für jede Finanzdienstleistung von heute: Ersparnisse, Kredite, Handel und mehr.
Die OKEx Academy hatte mit einigen besonderen Gästen ein Online-Webinar zusammengestellt, um ihre Erkenntnisse über die DeFi-Sicherheit und darüber zu teilen, wie DeFi-Investoren sicherstellen können, dass ihre Anlagen sicher sind.
Dieser Artikel führt Sie durch die Zusammenfassung der Diskussion.
Gast Sprecher:
Yu Guo – Gründer der SECBIT Labs
Dominik Teiml – Leitender Ethereum-Auditor von Certik
Zhengchao Du – Senior Security Engineer bei Slowmist
Moderator:
Michael Gui – Boxmining
Michael: Die dezentrale Finanzierung wächst rasant. Derzeit verfügen wir über mehr als 800 Millionen US-Dollar an Krypto, die in DeFi Smart-Verträgen eingeschlossen sind. Da diese Verträge dezentralisiert sind, müssen die Ersteller sicherstellen, dass der Code hinter diesen Verträgen sicher ist. Andernfalls kann es zu katastrophalen Hacks kommen. Beispielsweise hat es ein Hacker vor weniger als zwei Wochen geschafft, Krypto im Wert von 25 Millionen US-Dollar aus dForce-Verträgen zu „stehlen“. Die Sicherheit vor Hacks ist von größter Bedeutung, um das langfristige Wachstum von DeFi sicherzustellen. Zum Glück haben wir heute eine Gruppe von Sicherheitsexperten.
Beginnen Sie mit einem kritischen Zitat eines DeFi-Kritikers "Ich lerne DeFi nur kennen, wenn ein Projekt fehlschlägt und Geld verliert". Was sind Ihrer Meinung nach die größten Sicherheitsrisiken für die dezentrale Finanzierung??
SECBIT: Das DeFi basiert auf Code, der aus vielen Modulen besteht, die von verschiedenen Teams entwickelt wurden. Das Missverständnis von Grundmodulen und Bausteinen würde größere Verluste bringen. Die Schnittstelle jedes Moduls ist nicht einfach zu klären, zu spezifizieren oder zu formalisieren.
Certik: Abgesehen von Off-Chain-Dingen wie der Sicherheit von Schlüsseln, der Entführung von Front-Ends und / oder DNS-Servern, OpSec usw. Ich denke, die größten Risiken in der Kette sind Ausführungsfehler (Hegic-Fehler) und die Interaktion mit anderen Konten, nämlich : manipulierbare Orakel (bZx-Hack) und Wiedereintrittsangriffe (Uniswap) & Lendf.me. hacken)
Slowmist: Dezentrale Finanzen bieten drei Hauptmerkmale: Interoperabilität, Programmierbarkeit und Kompositionsfähigkeit. Dank dieser drei Funktionen können wir alle Arten von intelligenten Verträgen wie die Kombination von Legoblöcken kombinieren, was uns reichlich Finanzprodukte und unendliche Möglichkeiten bietet. DeFi ist jedoch ein so kompliziertes System, dass die Risiken verstärkt werden. Mit anderen Worten, für das zentralisierte Finanzsystem können die möglichen Risikoszenarien durch Arbeiten an Standards und Begrenzen der Zugriffsberechtigungen gesteuert werden, während für DeFi zwei Verträge, die den Standards der Vereinbarung entsprechen, miteinander kombiniert werden können, was viele bedeutet mehr mögliche Szenarien und jedes neue Szenario bringt potenzielle neue Risiken mit sich. Und das Wichtigste ist, dass ein Merkmal einer Norm unter allen Umständen zu einem Defekt werden kann.
Michael:: Können wir mit DeFi jemals vollständige Sicherheit erreichen??
SECBIT: Es ist ein heiliger Gral. Es ist unmöglich, das Ziel sowohl theoretisch als auch praktisch zu erreichen. Jede Sicherheit basiert auf Annahmen. Je komplexer das System ist, desto mehr Sicherheitsannahmen werden getroffen. Die Zuverlässigkeit dieser Sicherheitsannahmen ist jedoch nicht bekannt. In vielen Fällen können sich diese Sicherheitsannahmen lösen.
Theoretisch ist die Definition von Sicherheit eher vage. Wir können spezifische Sicherheit definieren, zum Beispiel frei von ganzzahligen Überläufen. Aber es ist im Allgemeinen unvollständig. Da das Konzept von DeFi weiter wächst, wächst auch die Bedeutung von Sicherheit. Wir können kein vollständiges Sicherheitskonzept definieren.
Finanzen sind von Natur aus riskant. Herkömmlicherweise stammen die Gewinne aus dem Eingehen von Risiken. Jetzt vermischen sich die finanziellen Risiken mit der Komplexität der Berechnungen, und daher sind die kombinierten Risiken schwerer zu kontrollieren. In der Praxis ist die Sicherheit schwer zu erkennen und zu überprüfen. Es gibt Sicherheitsprobleme, die auf verschiedenen Ebenen auftreten können: Sicherheitsannahmen, Blockchains, virtuelle Maschinen und Compiler, Bibliotheken, die Logik des Codes und die Schnittstelle von Diensten. Keiner von ihnen ist leicht fehlerfrei zu erreichen.
Eines der vielversprechenden Merkmale von DeFi ist, dass die intelligenten Verträge hochgradig zusammensetzbar sind, selbst wenn die intelligenten Verträge von verschiedenen Teams entwickelt wurden. Wir haben jedoch Fehler an den Schnittstellen festgestellt, z. B. ERC777, ERC827, ERC 233. Durch die Kompositionsfähigkeit wird das System offener und dynamischer. Bei vielen traditionellen Ansätzen geht es darum, das statische System sicher zu machen, dass es für das neue, offene, dynamische und riesige System nicht funktioniert.
Certik: Sicherheit ist eine Frage der sinkenden Rendite. Wir können niemals sicher sein, dass eine logische Argumentation gültig ist, weil wir einen Fehler in der Verifikation selbst machen könnten, dem Paradox der Logik. Ebenso können wir niemals 100% sicher sein, dass etwas sicher ist. Ich bin jedoch sehr optimistisch, dass wir mit den richtigen Maßnahmen Hochsicherheitsgarantien erreichen können. Umfangreiche und intensive Audits, formale Überprüfung, großzügige Bug Bounties…
Die interessantere Frage ist, ob diese Skalen. Können wir ein Tool finden, das die Sicherheit automatisiert? Das hat noch niemand erreicht; es ist noch eine offene Frage.
Slowmist: Für Produkte, einschließlich DeFi, ist keine vollständige Sicherheit möglich. Wir sollten uns darüber im Klaren sein, dass Sicherheit Gegenmaßnahmen beinhaltet, damit der Hacker viel mehr kostet als die Vorteile, die er erhalten könnte. Und Sicherheit ist dynamisch, neue Szenarien, neue Techniken und die Iteration von DeFi-Produkten können neue Sicherheitsprobleme verursachen. Daher ist es nicht möglich, ein für alle Mal sicher zu sein.
Michael:: Glauben Sie, dass die Einführung neuer Programmiersprachen – Vyper (Ethereum), Haskell (Cardano) – die Blockchain-Sicherheit verbessern wird??
SECBIT: Vyper ist ziemlich solide, die meisten Verbesserungen. Haskell hingegen ist mathematischer. Aber wie gesagt, die größten Sicherheitsprobleme betreffen die Logikebene und nicht die Sprachebene. Neue Angriffe sind nicht nur auf Sprachebene und stammen aus dem gesamten Blockchain-System, was sehr kompliziert ist. Die Hacker erfinden immer wieder neue Angriffe, die wir noch nie gesehen haben. Die neuen Sicherheitslücken sind mit in Compilern eingebetteten Tools schwer zu erkennen. Wir können uns nicht vorstellen, dass Angriffe automatisch verhindert werden. Wir werden mehr Schwachstellen sehen, die auf der Logikebene verwurzelt sind, selbst wenn sich die Sprachwerkzeuge verbessern. Der Code muss von Experten geprüft werden.
Ich schätze die Arbeit der Programmiersprachen-Community, bei der statisches Tippen Programmierer daran hindert, dumme Fehler zu machen. Beispielsweise läuft die von Facebook vorgeschlagene Sprache MOVE in der Libra-Kette. Es leiht die Idee von RUST von "bewegen gegen kopieren", "Eigentum und Ausleihe". Das statische Typsystem stellt sicher, dass die Gesamtmenge der digitalen Assets unverändert bleibt, sodass weder Entwickler noch Hacker dies können.
Andererseits benötigen wir formale Spezifikationen oder formale Überprüfungen, um dies sicherzustellen "Richtigkeit" bis zu einem gewissen Grad. Nicht 100%, aber maximale Sicherheit, wir sind nur auf Mathematik angewiesen. Die Tools und Praktiken sind jedoch noch in Vorbereitung. Ich schlage die Arbeit des CertiK-Teams vor.
Certik: Wahrscheinlich. Ich denke, wir haben die Sicherheit in den frühen Phasen unseres Ökosystems unterschätzt. Wir haben architektonische Entscheidungen getroffen, die sich danach nur schwer ändern lassen. Das EVM verfügt über dynamische Sprünge, die eine statische Analyse äußerst umständlich machen, und es gibt kaum Vorteile. Die Solidität seit 0,5 ist meiner Meinung nach sicherheitsorientiert geworden und hat einige der Probleme rückgängig gemacht, die mit schlechten Sprachentwurfsentscheidungen im Nachhinein verbunden waren.
Vyper ist besser, aber leider nicht produktionsbereit für große Projekte und es fehlen viele wichtige Funktionen.
Ich freue mich wirklich über DeapSEA, eine auf EVM ausgerichtete Programmiersprache, die versucht, diese von EVM auferlegten Herausforderungen zu bewältigen und eine einfachere formale Überprüfung von Ethereum-Smart-Verträgen zu ermöglichen. Es wird von Certik und Yale entwickelt und wir werden bald mehr darüber erfahren.
Obwohl dies ein längerer Horizont ist, denke ich, dass der Übergang zu eWASM für die Sicherheit von großer Bedeutung sein wird. Wasm konzentriert sich nicht nur viel mehr auf Sek., Sondern wir werden auch in der Lage sein, das Ökosystem der Sicherheitstools zu nutzen.
Slowmist: Diese Sprachen haben ihre eigenen Sicherheitsfunktionen. Zum Beispiel führt Vyper viele Überlaufprüfungen durch, die auf arithmetische Berechnungen angewendet werden, und funktionale Sprachen wie Haskell können bei der formalen Überprüfung helfen. Die Sicherheit ist jedoch mehrdimensional, und neben den sicheren Funktionen der Programmiersprache sind die Sicherheit der Produktentwicklung und die Sicherheit der Geschäftslogik ebenso wichtig wie die Sprachen.
Michael: Was ist der verheerendste Account-Hack, dem Sie jemals begegnet sind? Jede persönliche Erfahrung, die Sie teilen können?
SECBIT: Schlüssel gestohlen. Ein paar hundert ETH von einem unserer Kunden. Aber mehr Fälle, in denen wir um Hilfe gebeten wurden, gingen verloren. Die Leute haben nur den Mnemonikcode oder das Passwort vergessen. Es ist ein weiteres Dilemma in der Sicherheitswelt. Wie können wir uns an ein sicheres Passwort erinnern? Ein schwaches Passwort ist leicht zu merken, aber mit geringer Entropie. Es ist anfällig für Brute-Forcing-Angriffe. (zB Rainbow Table Attack); während ein zufälligeres Passwort tödlich schwer zu merken ist. Schreiben Sie es auf ein Papier? Vielleicht vergessen wir neulich die Zeitung.
Certik: Ich habe das Glück, dass keines der Projekte, an denen ich jemals gearbeitet habe, gehackt wurde.
Slowmist: Der Ethereum Black Valentinstag, benannt von unserem Team. Dieser Sicherheitsvorfall wurde erstmals im März 2018 beobachtet. Der Hacker hatte die Eths und andere Token zwei Jahre lang mit dem automatischen Skript aus der Brieftasche des Benutzers gestohlen, bevor wir sie zum ersten Mal fanden. Inzwischen wurden rund 54864 ETH mit einem aktuellen Wert von 10 Millionen Dollar aus 6679 Geldbörsen gestohlen. Dieser Hack ist angesichts seines Einflusses und der Dauer sehr beeindruckend.
Micahel: Wenn es EINEN Sicherheitstipp für unsere Zuschauer gäbe – Der Tipp, von dem Sie glauben, dass er unseren Zuschauern möglicherweise Tausende von Dollar erspart – was wäre das??
SECBIT: Üben Sie, sich an den Mnemonikcode zu erinnern; Ich weiß, dass es schwer ist. Es ist extrem schwer. Vertrauen Sie mir, nur so können Sie Ihre digitalen Assets schützen. Fragen Sie die Dienstleister, wie viel Budget sie für die Sicherheit und Risikokontrolle ausgegeben haben, welche Gegenmaßnahmen sie ergriffen haben, und lesen Sie die Materialien wie Prüfbericht und Systemdesigndokumente auf der Website. Ich denke, die Anbieter, die ernsthaft ein Geschäft in der Blockchain betreiben, sollten diesbezüglich strenge Richtlinien haben.
Certik: Berichte lesen. Lesen Sie einen Auditbericht, bevor Sie eine dezentrale Anwendung verwenden. Von Zeit zu Zeit werden bei Audits auf Schwachstellen hingewiesen, die nie behoben und später ausgenutzt werden. Überprüfen Sie, ob im zuletzt veröffentlichten Bericht kritische oder signifikante Sicherheitslücken erwähnt werden.
Slowmist: Für persönliche Vermögenswerte empfehlen wir, Ihren privaten Schlüssel vor dem Internet zu schützen.
Für Kryptowährungen in DeFi-Produkten empfehlen wir, dass der Benutzer bei der Auswahl der DeFi-Produkte und -Plattformen sowohl den Risikokontrollmechanismus als auch die Bestätigung von Sicherheitsüberprüfungsberichten eines hervorragenden Sicherheitsteams eines Drittanbieters berücksichtigt. Außerdem ist die Sicherheit dynamisch, sodass jeder von Zeit zu Zeit den Sicherheitshintergrund von Defi-Produkten und -Plattformen überprüfen sollte.
