L’adoption du Web3 semble inévitable, mais il en va de même pour l’augmentation des problèmes de sécurité et des piratages. Quels sont les principaux facteurs à l’origine de cela ? Le taux élevé d’innovation dans le monde de la cryptographie et les fréquentes mises à jour logicielles du monde multi-chaînes semblent inévitablement introduire plus de vulnérabilités. Nous devons disposer d’une infrastructure de surveillance en temps réel pour prévenir et réagir rapidement aux exploits.

« Une infrastructure de surveillance efficace entre les mains de la communauté agit comme un puissant moyen de dissuasion pour les mauvais acteurs », Nikos Andrikogiannopoulos, PDG de Metrika, a récemment déclaré à The Armchair Trader. « Semblable aux alertes incendie et météorologiques, qui mobilisent les communautés, évacuent les zones menacées et activent les équipes de secours bénévoles, les communautés blockchain ont besoin de processus et d’outils pour faire face aux situations d’urgence. »

Les technologies perturbatrices sont volatiles et, avec cela, comportent des risques importants et de grandes récompenses. La plupart des développeurs de l’espace blockchain apprennent à la volée, car ils proviennent de piles technologiques conventionnelles et modernisent leurs compétences. L’éducation deviendra une force motrice pour une programmation meilleure et plus sûre.

DeFi a besoin d’une bonne intendance

« Nous devons tous nous rappeler que la technologie n’est pas née mais plutôt développée », a expliqué Daniel Keller, Co-fondateur de Flux. « Au fur et à mesure que l’adoption se développe, vous verrez une forte poussée de la part des dirigeants, motivée par les exigences institutionnelles vis-à-vis de leur clientèle. Defi doit se sentir comme une finance héritée mais fonctionner comme un réseau décentralisé, et pour que cela se produise, nous devons être de bons intendants des meilleures pratiques de vitesse et de sécurité.

Andrew Morfilresponsable de la sécurité de l’information chez Komainu, pense qu’à mesure que l’industrie mûrit, nous continuerons à voir des piratages.

« Les premières indications avec Nomad étaient qu’il était dirigé par des » pillards « opportunistes, mais les ponts inter-chaînes ont été ciblés par les acteurs de la menace des États-nations dans le passé avec une planification méticuleuse et une exécution précise », dit-il. « Les moteurs sont différents, mais les résultats, inévitablement, sont les mêmes… la perte d’actifs. »

Le hack Nomad est encore une autre vulnérabilité crosschain. Nous en avons vu assez peu l’année dernière. Mais les investisseurs voudront savoir ce qui les cause et pourquoi se produisent-ils ? C’est également une préoccupation pour les régulateurs et les investisseurs institutionnels, car ils envisagent une plus grande participation des acteurs institutionnels dans l’espace des crypto-monnaies.

Les ponts inter-chaînes sont compliqués. Les mises à jour logicielles fréquentes des protocoles pris en charge et du protocole de pont lui-même peuvent introduire des bogues et permettre des exploits. Dans le cas de Nomad, un bogue dans la mise à jour du logiciel a permis un type de transaction qui devrait normalement être autorisé uniquement aux propriétaires des fonds. Ce bogue permettait à quiconque souhaitait copier-coller le type de transaction, de modifier l’adresse du destinataire et de vider les fonds.

Blockchain a été créé pour faire une chose, permettre le mouvement sans tiers de confiance. La plupart des modèles actuels de fiancés décentralisés (Defi) utilisent un hybride de technologie centralisée et décentralisée, il existe donc un risque accru d’exploits et d’acteurs tiers malveillants.

«L’opérabilité interchaîne continuera de croître à des niveaux profonds en mettant l’accent sur la sécurité et la décentralisation; cependant, une attention doit être accordée à la sécurité et pas seulement à la vitesse de développement alors que nous poussons les produits Defi vers les masses. a déclaré Keller à Flux.

En termes simples, après avoir examiné le contrat intelligent, il semble que des lacunes ont entraîné le traitement de toute transaction reçue.

Abonnez-vous pour plus d’histoires comme celle-ci, 8 heures du matin en semaine – gratuitement !

Comment l’industrie peut-elle être mieux préparée?

La plupart des financements décentralisés sont des réfugiés de la finance conventionnelle, se concentrant sur la construction d’un système basé sur l’héritage sur Defi. Lorsque ces dirigeants, développeurs et équipes se concentrent sur l’itération, ils examinent les mécanismes et le développement pour un accès rapide et rapide ; la sécurité a tendance à être une réflexion après coup.

« Ce n’est peut-être pas une opinion populaire, les développeurs doivent s’éloigner des frameworks de programmation comme Solidity et davantage vers des frameworks sécurisés comme PACT sur le réseau Kadena », a déclaré Keller. « Les problèmes autour d’Ethereum et ces violations devraient montrer la nécessité d’un développement plus approfondi de la sécurité des contrats intelligents avec des déploiements plus sûrs sur des produits comme Flux et Zelcore. »

Ce n’est pas un phénomène nouveau, les problèmes de sécurité liés aux ponts inter-chaînes ont été responsables de certains des piratages les plus importants en dollars cette année. En termes de prévention, un ensemble industriel de modèles de contrats intelligents standard connus pour être sécurisés, d’audit de contrats intelligents et de cycles de développement de logiciels sécurisés serait un pas dans la bonne direction.

« Nous avons besoin d’analyses et de surveillance en temps réel, ainsi que de tests plus rigoureux et de normes de qualité logicielle plus élevées à la source, conformément aux principes de décalage vers la gauche », a déclaré Andrikogiannopoulos. « Une grande partie des analyses que nous voyons dans les exploits aujourd’hui sont des analyses médico-légales et de détection de fraude après que l’exploit se soit produit. Nous avons besoin d’analyses et d’une surveillance en temps réel des anomalies avant qu’elles ne se produisent. Beaucoup de ces exploits commencent par de petites expériences, souvent dans TestNet, et sont ensuite entièrement déployés sur MainNet. La détection en temps réel peut déclencher des alertes sur les activités suspectes avant que ces exploits n’entrent « en production ».

Par exemple, dans le cas de Nomad, imaginez voir une transaction avec un hachage zéro en cours d’exécution après la mise à niveau logicielle qui n’avait jamais été vue auparavant. Cela déclencherait une alerte. De plus, après la mise en ligne d’un exploit, alerter l’ensemble de la communauté en temps réel et notifier rapidement tous les membres permettrait une réponse rapide de la communauté, c’est-à-dire le gel des fonds exploités, la coordination avec les validateurs pour suspendre l’activité du réseau pendant la publication d’un un correctif logiciel est en cours de préparation.

Ce type de gouvernance opérationnelle en réponse aux crises d’urgence est aujourd’hui plus ad hoc et repose sur la bonne volonté de la communauté et les actions héroïques de l’équipe du protocole et des individus qui interviennent. Il doit y avoir plus d’outils et d’infrastructures dans cette direction pour donner à l’ensemble de la communauté une réponse standardisée aux situations d’urgence.

L’utilisateur final ou le protocole est-il ultimement responsable ?

Le protocole est responsable de l’identification des exploits et de la réalisation des audits, des procédures, des palliatifs et de la protection du code nécessaires. Maintes et maintes fois, nous avons vu que plusieurs audits ne suffisent toujours pas à promettre des protocoles à l’épreuve du piratage, principalement parce qu’une plus grande partie de ce code est itérative et développée pour la première fois.

Les investisseurs particuliers sont responsables de prendre ces risques en considération avant d’utiliser tout produit conventionnel ou basé sur Defi. C’est toujours le Far West là-bas – des rendements élevés ne vont pas sans les risques associés, et vous êtes le seul à pouvoir personnellement comprendre votre évaluation des risques. Bien que tristes, entendre des histoires de personnes perdant leurs économies ne devrait tout simplement pas se produire, et un niveau d’éducation plus profond est nécessaire pour permettre à Defi de vraiment s’épanouir.

En fin de compte, les protocoles qui se sont avérés sûrs auront de la crédibilité sur ceux qui subissent ces types d’incidents, mais les investisseurs particuliers doivent faire leurs recherches et comprendre les risques, les promesses de rendements élevés en % APY ou les largages inhabituels ne sont pas rares, mais les mauvais choix peuvent entraîner la perte des investissements des investisseurs (si cela semble trop beau pour être vrai, c’est probablement le cas).

Les équipes de protocole sont ultimement responsables de la sécurité associée aux versions logicielles de leur protocole. Les équipes de protocole embauchent souvent plusieurs sociétés d’audit de sécurité logicielle externes et mettent également en place des primes pour s’assurer que toutes les vulnérabilités sont découvertes avant la publication.

Les marchés des crypto-monnaies ne sont pas réglementés comme les marchés à terme

Malgré les meilleures pratiques en matière de développement de logiciels et de cycles de publication, il n’est pas clair où se situe la responsabilité financière autour des exploits. Contrairement aux banques où les dépôts sont sécurisés jusqu’à 250 000 $ par la Federal Deposit Insurance, la crypto n’est pas réglementée à la même profondeur ; la réglementation dans ces domaines est activement développée par la CFTC et la SEC.

Jusqu’à ce que l’espace crypto atteigne ce niveau de maturité, la responsabilité financière ultime incombe aux consommateurs qui ont choisi de faire des investissements précoces dans le monde crypto naissant. Une plus grande sensibilisation aux risques liés à la cryptographie serait très bénéfique pour la communauté des investisseurs en cryptographie.

« En outre, l’opérabilité interchaîne est le Saint Graal de la technologie blockchain, non seulement pour DeFi mais aussi pour d’autres secteurs technologiques conventionnels tels que l’EMR, la chaîne d’approvisionnement, les actifs physiques, etc. », a déclaré Keller. « Comprendre que nous sommes très tôt dans le cycle d’adoption nous permet d’être des innovateurs et des perturbateurs, mais l’innovation s’accompagne de risques inhérents. Les points faibles donneront désormais une infrastructure plus robuste pour le cadre de livraison de la blockchain à de nombreux utilisateurs.

Morfill de Komainu ajoute : « À mesure que le marché mûrit, des protocoles développés et mis à jour en toute sécurité avec une réelle utilité fourniront la crédibilité et l’assurance de sécurité que les investisseurs recherchent.

Lié