Unser Audit-Blindspot: Die Zukunft von Web3 hängt davon ab, die Sicherheit neu zu denken | Meinung

von

Den größten Teil des Jahres 2024 schien es, als würde ich in der Zukunft leben. Insbesondere hat Google einen Quantencomputerchip eingeführt, der Berechnungen ausführen kann, die ein herkömmlicher Computer länger dauern würde, als das Universum existiert. Darüber hinaus transportierten die selbstfahrenden Fahrzeuge von Waymo wöchentlich rund 150.000 Personen. Darüber hinaus machten KI-Modelle wie AlphaFold erhebliche Fortschritte bei der Lösung komplizierter biologischer Rätsel mit bemerkenswerter Genauigkeit.

Im Gegensatz zu den rasanten Fortschritten in verschiedenen anderen Bereichen scheinen bestimmte Bereiche unserer eigenen Branche zu stagnieren, insbesondere wenn es um Sicherheitsfragen geht. Auch wenn Spitzentechnologie zahlreiche Branchen revolutioniert, ist der Sicherheitsaspekt von Web3 weiterhin mit anhaltenden Problemen behaftet.

Als Forscher, der sich mit der Welt von Web3 beschäftigt, habe ich beobachtet, dass der Übergang von der zentralisierten Struktur von Web2 zur dezentralen Architektur von Web3 den Spielraum für potenzielle Angriffe erheblich erweitert hat. Während Dezentralisierung tatsächlich der Eckpfeiler der Innovation von Web3 ist, bringt sie paradoxerweise eine Sicherheitsherausforderung mit sich: Gerade die Offenheit und Verteilung, die Benutzern mehr Möglichkeiten bietet, erweitert auch eine ständig angreifbare Angriffsfläche. Angesichts des enormen Transaktionsvolumens, das sich auf Hunderte Milliarden pro Jahr beläuft, war die Bedeutung der Sicherung dieses Systems noch nie so wichtig.

Trotz der raschen Zunahme potenzieller Schwachstellen und des enormen Geldflusses durch diese Systeme verlässt sich unser Sektor weiterhin auf traditionelle, manuelle Sicherheitsbewertungen als Grundlage. Diese Methode, die einst als Höhepunkt der Web3-Sicherheit galt, hat sich als völlig unzureichend und veraltet erwiesen. Die Fakten bestätigen dies; überwältigende 90 % der ausgenutzten Verträge wurden bereits geprüft.

Genauso wie die Entwicklung von Web2-Software von ausschließlich manuellen Tests zur Integration zahlreicher Tools wie kontinuierlicher Integration, automatisierter Tests und Laufzeitüberwachung übergegangen ist, erfordert die Weiterentwicklung von Web3 eine vergleichbare Änderung unseres Entwicklungsansatzes mit dem Ziel der Bereitstellung in einem breites Publikum.

Die einzigartigen Herausforderungen von Web3 

Der aktuelle Stand der Smart-Contract-Sicherheitsmaßnahmen gibt angesichts der möglichen Schwere eines Web3-Sicherheitsvorfalls Anlass zu großer Sorge. Hier sind drei Hauptfaktoren, die dazu beitragen:

1. Mangel an Standardisierung und Best Practices bei der Entwicklung und Bereitstellung intelligenter Verträge.
2. Unzureichende Tests und Prüfungen von Smart Contracts, bevor sie auf der Blockchain gestartet werden.
3. Die Komplexität des Smart-Contract-Codes macht es schwierig, Schwachstellen zu erkennen und umgehend zu beheben.

  1. Unveränderlichkeit: Wenn Sie einen Smart Contract bereitstellen, wird sein Code dauerhaft – Unveränderlichkeit ist eine Kernfunktion und kein Fehler. Dies bedeutet, dass im Gegensatz zu Web2-Anwendungen, bei denen Entwickler Schwachstellen schnell beheben können, die Behebung von Smart-Contract-Fehlern eine komplexe Koordination über das gesamte Protokoll hinweg erfordert. 
  2. Sichtbarkeit: Diese Herausforderung wird durch die öffentliche Natur des Blockchain-Codes verschärft, sodass potenzielle Angreifer Einblick in den Quellcode haben. Wenn Schwachstellen vorhanden sind, können (und werden) böswillige Akteure diese finden.
  3. Direkte Kontrolle über Vermögenswerte: Am kritischsten ist, dass Web3-Schwachstellen tatsächliche Vermögenswerte einem unmittelbaren Risiko aussetzen. Während Web2-Angriffe typischerweise auf Daten abzielen, führen Smart-Contract-Exploits zu direkten, oft irreversiblen finanziellen Verlusten.

Die einzigartigen Eigenschaften, die web3 revolutionär machen – seine Beständigkeit, Offenheit und Benutzerkontrolle über Assets – erfordern auch eine grundlegende Änderung unseres Sicherheitsansatzes.

Warum Audits allein nicht ausreichen 

Um es ganz klar zu sagen: Ich bestreite nicht die Bedeutung von Audits, da sie für die Gewährleistung sicherer Smart Contracts von entscheidender Bedeutung sind. Allerdings ist es nicht der beste Ansatz, sich ausschließlich auf Audits zu verlassen. Wenn Audits unser einziger Schutz sind, bleiben die Vermögenswerte der Benutzer anfällig. Der Euler Finance-Hack im Jahr 2023 ist eine deutliche Erinnerung; Trotz zehn separater Prüfungen beliefen sich die Verluste auf über 200 Millionen US-Dollar.

Eine große Herausforderung bei der Abhängigkeit von menschlichen Prüfungen besteht darin, dass selbst die erfahrensten Prüfer bestimmte Probleme übersehen können; Menschen sind anfällig für Fehler. Da Smart Contracts immer komplexer werden, führt jede hinzugefügte Funktion zu mehr potenziellen Schwachstellen, was es für eine manuelle Prüfung äußerst schwierig macht, jede mögliche Schwachstelle zu lokalisieren. Die Tatsache, dass ein Projekt möglicherweise zehn separate Audits durchläuft und trotzdem gehackt wird, verdeutlicht dieses Problem – es ist keine Frage der Fähigkeiten der Auditoren, sondern vielmehr der inhärenten Einschränkungen der manuellen Bewertung.

Ein Argument für proaktive Sicherheit

Im Wesentlichen hat die übermäßige Abhängigkeit unseres Fachgebiets von Audits einen nicht rechenschaftspflichtigen Standard für die Web3-Sicherheit hervorgebracht, bei dem die aktive Sicherung intelligenter Verträge eher selten als alltäglich ist. Die Erkenntnis, dass sich Web3 weiterentwickelte, während die Sicherheit vernachlässigt wurde, war der Auslöser für die Einführung von Olympix, einer entwicklerorientierten Web3-Sicherheitsplattform im Jahr 2022, die Programmierern dabei helfen soll, ihre Arbeit bei der Erstellung zu sichern.

Unser Ziel ist es, einen erheblichen Teil des Auditverfahrens zu automatisieren und 20–50 % der potenziellen Schwachstellen vor dem ersten Audit zu identifizieren. Dieser Ansatz ermöglicht es Sicherheitsspezialisten, sich auf die Aufdeckung kritischer und innovativer Schwachstellen zu konzentrieren, anstatt sich mit Routineproblemen zu befassen. Das System erweist sich als wirksam; Eine Bewertung innerhalb unserer Organisation ergab, dass im dritten Quartal 2024 zuvor geprüfte Verträge im Wert von etwa 60 Millionen US-Dollar vor Missbrauch geschützt gewesen wären, wenn die Teams unsere Tools eingesetzt hätten. Diese Zahl umfasst hochkarätige Hacker wie Pendle (6,5 Millionen US-Dollar) und LIFI (600.000 US-Dollar). Dennoch ist es wichtig zu beachten, dass fortschrittliche Tools wie Olympix keine umfassende Lösung darstellen. Die Komplexität von Web3 erfordert einen ausgefeilten, mehrschichtigen Ansatz, der proaktive, entwicklerorientierte Tools mit herkömmlichen Audits, Bug-Bounty-Programmen und On-Chain-Überwachung integriert, um mehrere Schutzebenen einzurichten.

Der Weg nach vorne: Von reaktiv zu proaktiv

Berücksichtigen Sie Ihre aktuellen Sicherheitsstrategien. Basieren sie in erster Linie auf gelegentlichen Einschätzungen? Sind Ihre Sicherheitsmaßnahmen auf die Komplexität und das Risiko abgestimmt, die mit den von Ihnen umgesetzten Projekten verbunden sind? Es ist wahrscheinlich, dass bei vielen Unternehmen immer noch eine erhebliche Diskrepanz zwischen ihren Sicherheitspraktiken und dem erforderlichen Schutzniveau besteht.

Im Jahr 2025 verfügen wir über alle notwendigen Technologien, um die Web3-Sicherheit zu revolutionieren. Die Mittel zur sicheren Implementierung intelligenter Verträge sind jetzt verfügbar, und Lösungen wie Olympix gehören zu den Tools, die uns zur Verfügung stehen.

Ich bin der festen Überzeugung, dass die Zukunft unseres Fachgebiets von Vertrauen geprägt sein wird, insbesondere beim Schutz der Vermögenswerte, deren Besitz andere uns anvertrauen. Web3 bringt zwar Transformation mit sich, ist aber auch anspruchsvoll. Angesichts des erheblichen Mehrwerts liegt die Belastbarkeit und Haltbarkeit von web3 auf unseren Schultern. Lassen Sie uns Maßnahmen ergreifen, um uns eine sichere Zukunft zu ermöglichen.

Channi Greenwall

Channi Greenwall, der Visionär hinter Olympix, leitet eine dynamische Organisation, die sich auf fortschrittliche Sicherheitslösungen für die Web3-Entwicklung spezialisiert hat. Bis heute hat Olympix über verschiedene Protokolle Vermögenswerte im Wert von über 10 Milliarden US-Dollar geschützt, ein Beweis für seine Wirksamkeit. In nur wenigen Jahren vertrauen mehr als 30 % der Solidity-Entwickler der Plattform im Hinblick auf die Sicherheit intelligenter Verträge. Vor ihrer Anstellung bei Olympix verfeinerte sie ihre Fähigkeiten bei der Erstellung wesentlicher Sicherheits-Frameworks bei JP Morgan Chase. Anschließend arbeitete sie als Produktmanagerin bei Security Scorecard. Sie verfügt über einen BS in Informatik und einen MS in Sicherheitstechnik von der NYU.

Weiterlesen

2025-01-08 16:34