Riepilogo dei colloqui di OKEx Academy: DCEP – Come garantire la sicurezza agli investitori DeFi?

DeFi, abbreviazione di finanza decentralizzata, è diventata una parola d’ordine nel settore delle criptovalute dal 2019. Con la crescita della DeFi, ci stiamo muovendo un passo avanti verso il futuro della finanza. Creare oggi un quadro globale e più trasparente per ogni servizio finanziario: risparmi, prestiti, trading e altro ancora.

OKEx Academy ha organizzato un webinar online con alcuni ospiti speciali per condividere le loro intuizioni sulla sicurezza DeFi e su come gli investitori DeFi possono garantire che i loro investimenti siano sicuri.

Questo articolo ti guiderà attraverso il riepilogo della discussione.

Relatori ospiti:

Yu Guo – Fondatore dei SECBIT Labs

Dominik Teiml – Lead Ethereum Auditor di Certik

Zhengchao Du – Senior Security Engineer presso Slowmist

Moderatore:

Michael Gui – Boxmining

Michael: La finanza decentralizzata sta crescendo a un ritmo rapido, attualmente abbiamo più di $ 800 milioni di dollari con criptovalute bloccate nei contratti DeFi Smart. Poiché questi contratti sono decentralizzati, i creatori devono garantire che il codice alla base di questi contratti sia sicuro. In caso contrario, potrebbero verificarsi attacchi catastrofici: ad esempio, meno di 2 settimane fa un hacker è riuscito a “rubare” $ 25 milioni di criptovalute dai contratti dForce. La sicurezza dagli hack è così fondamentale per garantire la crescita a lungo termine della DeFi. Per fortuna oggi abbiamo un gruppo di esperti di sicurezza.

Partendo da una citazione critica di un critico DeFi "Imparo a conoscere la DeFi solo quando un progetto fallisce e perde fondi". Quali pensi siano i maggiori rischi per la sicurezza per la finanza decentralizzata?

SECBIT: La DeFi è costruita su codice, che è composto da molti moduli, che sono stati sviluppati da diversi team. L’incomprensione dei moduli di base, i blocchi di costruzione porterebbero perdite maggiori. L’interfaccia di ogni modulo non è facile da chiarire, specificare o formalizzare.

Certik: A parte le cose off-chain come la sicurezza delle chiavi, il dirottamento di front-end e / o server DNS, OpSec, ecc. : oracoli manipolabili (bZx hack) e attacchi di rientro (Uniswap & Lendf.me hack)

Slowmist: La finanza decentralizzata ci offre tre caratteristiche principali: interoperabilità, programmabilità e componibilità. Grazie a queste tre caratteristiche, siamo in grado di combinare tutti i tipi di contratti intelligenti come la combinazione di blocchi lego, che ci offre abbondanti prodotti finanziari e infinite possibilità. Tuttavia, la DeFi è un sistema così complicato che i rischi saranno amplificati. In altre parole, per il sistema finanziario centralizzato, i possibili scenari di rischio possono essere controllati lavorando su standard e limitando i permessi di accesso, mentre per DeFi, uno qualsiasi dei due contratti che soddisfano gli standard dell’accordo può essere combinato insieme, il che significa che molti più possibili scenari e ogni nuovo scenario comporta potenziali nuovi rischi. E, cosa più importante di tutte, una caratteristica di uno standard può diventare un difetto in qualsiasi circostanza.

Michael: Riusciremo mai a raggiungere la sicurezza completa con DeFi?

SECBIT: È un santo graal. È impossibile raggiungere l’obiettivo, sia teoricamente che praticamente. Qualsiasi sicurezza si basa su ipotesi. Più complesso è il sistema, più si fa affidamento sulle ipotesi di sicurezza. Ma l’affidabilità di queste ipotesi di sicurezza è sconosciuta. In molti casi, questi presupposti di sicurezza possono allentarsi.

In teoria, la definizione di sicurezza è piuttosto vaga. Possiamo definire una sicurezza specifica, ad esempio, priva di integer overflow. Ma generalmente è incompleto. Man mano che il concetto di DeFi continua a crescere, cresce anche il significato di sicurezza. Non sappiamo come definire un concetto completo di sicurezza.

La finanza è rischiosa per natura. Convenzionalmente, i profitti provengono dall’assunzione di rischi. Ora, i rischi finanziari sono mescolati con la complessità computazionale, e quindi i rischi combinati sono più difficili da controllare. In pratica, la sicurezza è difficile da individuare, difficile da verificare. Ci sono problemi di sicurezza che possono verificarsi a diversi livelli, presupposti di sicurezza, blockchain, macchine virtuali e compilatori, librerie, logica del codice, interfaccia dei servizi. Nessuno di questi è facile da ottenere senza bug.

Una delle caratteristiche promettenti di DeFi è che gli smart contract sono altamente componibili, anche se gli smart contract sono stati sviluppati da team diversi. Ma abbiamo visto bug trovati sulle interfacce, ad esempio ERC777, ERC827, ERC 233. La componibilità renderà il sistema più aperto e dinamico. Molti approcci tradizionali mirano a rendere sicuro il sistema statico non funzionerebbe per il sistema nuovo, aperto, dinamico ed enorme.

Certik: La sicurezza è una questione di rendimenti decrescenti. Non possiamo mai essere sicuri che un ragionamento logico sia valido perché potremmo sbagliare nella verifica stessa, il paradosso della logica. Allo stesso modo, non possiamo mai essere sicuri al 100% che qualcosa sia sicuro. Tuttavia, sono molto ottimista sul fatto che possiamo ottenere garanzie di alta sicurezza con le misure adeguate. Audit estesi e intensivi, verifica formale, generose ricompense di bug …

La domanda più interessante è se queste scale. Possiamo trovare uno strumento che automatizzi la sicurezza? Nessuno lo ha ancora raggiunto; è ancora una questione aperta.

Slowmist: La sicurezza completa è impossibile per tutti i prodotti, inclusa la DeFi. Dovremmo renderci conto che la sicurezza implica contromisure, allo scopo che l’hacker costerebbe molto di più dei benefici che potrebbe ottenere. E la sicurezza è dinamica, nuovi scenari, nuove tecniche e l’iterazione dei prodotti DeFi potrebbero causare nuovi problemi di sicurezza, quindi essere sicuri una volta per tutte non è possibile.

Michael: Con i nuovi linguaggi di programmazione adottati – Vyper (Ethereum), Haskell (Cardano) – pensi che questo aiuterà con la sicurezza della blockchain?

SECBIT: Vyper è più o meno come la solidità, la maggior parte dei miglioramenti. Haskell, d’altra parte, è più matematico. Ma, come ho detto, i maggiori problemi di sicurezza derivano dal livello logico, non dal livello linguistico. I nuovi attacchi non sono a livello puramente linguistico e provengono dall’intero sistema blockchain, il che è molto complicato. Gli hacker continuano a inventare nuovi attacchi che non abbiamo mai visto prima. Le nuove vulnerabilità sono difficili da rilevare dagli strumenti incorporati nei compilatori. Non possiamo immaginare che gli attacchi vengano prevenuti automaticamente. Vedremo più vulnerabilità radicate dal livello logico, anche se gli strumenti linguistici stanno migliorando. Il codice deve essere verificato da esperti.

Apprezzo il lavoro della comunità dei linguaggi di programmazione, dove la digitazione statica impedisce ai programmatori di commettere errori stupidi. Ad esempio, il linguaggio proposto da Facebook, denominato MOVE, è in esecuzione sulla catena Libra. Prende in prestito l’idea da RUST di "sposta contro copia", "proprietà e prestiti". Il sistema di tipo statico garantisce che la quantità totale di risorse digitali rimanga invariata, in modo che né gli sviluppatori né gli hacker possano farlo.

D’altra parte, abbiamo bisogno di specifiche formali o verifiche formali per garantire il "correttezza" in una certa misura. Non al 100%, ma alla massima sicurezza dipendiamo solo dalla matematica. Tuttavia, gli strumenti e le pratiche sono ancora in arrivo. Suggerisco il lavoro del team CertiK.

Certik: Probabilmente. Penso che abbiamo sottovalutato la sicurezza nelle prime fasi del nostro ecosistema. Abbiamo preso decisioni architettoniche che sono estremamente difficili da modificare in seguito. L’EVM ha salti dinamici, che rendono qualsiasi analisi statica estremamente ingombrante e non ci sono quasi benefici. La solidità dallo 0,5, a mio parere, è diventata incentrata sulla sicurezza, invertendo parte di ciò che era con decisioni di progettazione del linguaggio scadenti.

Vyper è migliore, ma sfortunatamente non è pronto per la produzione per grandi progetti e manca di molte funzionalità importanti.

Sono davvero entusiasta di DeapSEA, un linguaggio di programmazione mirato a EVM che cerca di superare queste sfide imposte da EVM e consentire una più facile verifica formale dei contratti intelligenti di Ethereum. È stato sviluppato da Certik e Yale e presto ne sapremo di più.

Anche se questo è su un orizzonte più lungo, penso che la transizione a eWASM sarà ottima per la sicurezza. Non solo wasm è molto più focalizzato sulla sicurezza, ma saremo anche in grado di attingere al suo ecosistema di strumenti di sicurezza.

Slowmist: Queste lingue hanno le proprie caratteristiche di sicurezza. Ad esempio, Vyper esegue molti controlli di overflow applicati ai calcoli aritmetici e linguaggi funzionali come Haskell possono aiutare con la verifica formale. Ma la sicurezza è multidimensionale e, a parte le funzionalità di sicurezza del linguaggio di programmazione, la sicurezza dello sviluppo del prodotto e la sicurezza della logica di business sono importanti quanto i linguaggi.

Michael: Qual è l’hacking più devastante che tu abbia mai incontrato? Qualsiasi esperienza personale che puoi condividere?

SECBIT: Chiave rubata. A poche centinaia di ETH da uno dei nostri clienti. Tuttavia, più casi che venivano da noi per chiedere aiuto erano persi. La gente ha appena dimenticato il codice mnemonico o la password. È ancora un altro dilemma nel mondo della sicurezza. Come potremmo ricordare una password sicura? Una password debole è facile da ricordare ma con bassa entropia. È vulnerabile agli attacchi di forza bruta. (es. Rainbow Table Attack); mentre una password più casuale è mortalmente difficile da ricordare. Scrivilo su un foglio? Potremmo dimenticarci del giornale l’altra mattina.

Certik: Sono fortunato che nessuno dei progetti su cui ho lavorato sia stato violato.

Slowmist: Il giorno di San Valentino di Ethereum Black, chiamato dal nostro team. Questo incidente di sicurezza è stato osservato per la prima volta nel marzo del 2018. L’hacker aveva rubato gli eth e altri token dal portafoglio dell’utente con lo script automatico per due anni prima che lo trovassimo per la prima volta. Ormai, circa 54864 ETH con il valore attuale di 10 milioni di dollari sono stati rubati da 6679 wallet. Questo hack è molto impressionante considerando la sua influenza e il tempo di durata.

Micahel: Se ci fosse UN UNICO suggerimento per la sicurezza per i nostri spettatori – Il suggerimento che pensi possa far risparmiare ai nostri spettatori potenzialmente migliaia di dollari – quale sarebbe?

SECBIT: Esercitati a ricordare il codice mnemonico; So che è difficile. È estremamente difficile. Ma credimi, è l’unico modo per mantenere al sicuro le tue risorse digitali. Chiedere ai fornitori di servizi quanto budget hanno speso per la sicurezza e il controllo del rischio, quali contromisure hanno adottato e leggere i materiali come il rapporto di audit, i documenti di progettazione del sistema sul sito web. Penso che i fornitori che gestiscono seriamente un’attività sulla blockchain dovrebbero avere politiche rigorose su questo.

Certik: Leggi i rapporti. Leggi un rapporto di audit prima di utilizzare qualsiasi applicazione decentralizzata. Di tanto in tanto vediamo vulnerabilità evidenziate durante gli audit, mai corrette e successivamente sfruttate. Verificare se l’ultimo rapporto emesso menziona eventuali vulnerabilità critiche o significative.

Slowmist: Per le risorse personali, suggeriamo di proteggere la tua chiave privata da Internet.

Per le criptovalute nei prodotti DeFi, suggeriamo che quando si scelgono i prodotti e le piattaforme DeFi, l’utente dovrebbe prestare attenzione sia al meccanismo di controllo del rischio che all’approvazione dei rapporti di audit di sicurezza da parte di un eccezionale team di sicurezza di terze parti. Inoltre, la sicurezza è dinamica, quindi tutti dovrebbero controllare il background di sicurezza dei prodotti e delle piattaforme defi di tanto in tanto.