DeFi-Sicherheitslandschaft: 50 Schlüsselakteure, die Sie kennen müssen

TL;DR

Sicherheit bleibt eine kritische und fortlaufende Herausforderung in DeFi, mit jährlich Milliardenverlusten.
Sicherheitsmaßnahmen für ein DeFi-Protokoll sollten seinen gesamten Lebenszyklus abdecken und sowohl inhärente als auch operationelle Aspekte von vor dem Start bis nach dem Start sichern. Es ist entscheidend, präventive Strategien und Notfallpläne zu implementieren, um potenzielle Angriffe zu mindern.
Pre-Launch-Sicherheit, die sich auf Code-Audits konzentriert, ist zu einem Konsens in der Community geworden. Trotz des Aufkommens von Post-Launch-Sicherheitslösungen (z. B. Angriffsüberwachung und -blockierung) wurde ihre Bedeutung von der Community noch nicht vollständig anerkannt.
Kontinuierliche Verbesserung der Sicherheitspraktiken und eine Verschiebung hin zu einer Security-First-Kultur sind unerlässlich, um Benutzervermögen zu schützen und das Vertrauen in das Ökosystem zu stärken.

Einleitung

Während DeFi die Finanzlandschaft weiterhin revolutioniert, bleibt die Sicherheit ein erhebliches Anliegen im Ökosystem, mit jährlichen Verlusten in Milliardenhöhe.

Laut Daten von Chainalysis, verursachten DeFi-Hacks im Jahr 2023 Verluste von über 1,1 Milliarden US-Dollar. Obwohl diese Zahl im Vergleich zu 2022 gesunken ist, gibt es im Jahr 2023 mehrere neue Trends bei DeFi-Hacks. Zum Beispiel wurden renommierte Protokolle wie Curve und KyberSwap, die jahrelang sicher liefen, gehackt. Darüber hinaus wurden raffinierte Hacks auf Infrastruktur-Schwachstellen, z. B. Flashbots relay, aufgedeckt.

In der ersten Hälfte des Jahres 2024 ereigneten sich mehr als fünfzig Hacks, die Verluste von über 100.000 US-Dollar verursachten, laut dem Security Incident Dashboard.

Einige aktuelle Hacks im Security Incident Dashboard

Sicherheit ist ein entscheidender Faktor für den Wohlstand und die massenhafte Akzeptanz von DeFi-Anwendungen. Dies liegt daran, dass DeFi-Protokolle Benutzervermögen im Wert von Milliarden von Dollar verwalten, und jeder Angriff auf diese Protokolle kann zu erheblichen Verlusten für die betroffenen Benutzer führen. Obwohl in einigen Fällen gehackte Gelder (teilweise) wiederhergestellt werden können (wie im Fall von Euler security incident), können wir uns nicht jedes Mal darauf verlassen. Jeder Angriff untergräbt das Vertrauen der Menschen in DeFi.

Obwohl mehrere Methoden zur Verbesserung der DeFi-Sicherheit vorgeschlagen wurden, gibt es noch viel Raum für Verbesserungen.

Positiv hervorzuheben ist, dass Code-Audits zu einem Konsens in der Community für die Gewährleistung der Sicherheit geworden sind. Die meisten Protokolle werden vor dem Start einer Code-Prüfung unterzogen, was dazu beiträgt, die Angriffsfläche durch Schwachstellen in den Smart Contracts zu verringern.
Eine reine Code-Prüfung reicht jedoch bei weitem nicht aus, um alle Sicherheitsprobleme zu lösen. Sie kann keine Hacks verhindern, die aus Schwachstellen resultieren, die bei Smart Contract-Upgrades, Konfigurationsänderungen und Laufzeitabhängigkeiten zwischen verschiedenen Protokollen entstehen.

Aufgrund dieser Einschränkungen sind proaktivere Lösungen wie operative Überwachung oder Angriffsdetektionssysteme entstanden und wurden von einigen Protokollen übernommen.

In diesem Blog werden wir die DeFi-Sicherheitslandschaft untersuchen, indem wir die Sicherheitsreise eines Protokolls in verschiedenen Phasen verfolgen, von der Pre-Launch-Phase über die Betriebsphase bis hin zur Reaktion auf Angriffe. Wir werden verschiedene Arten von Sicherheitsmaßnahmen erläutern und die wichtigsten Anbieter (Produkte) in jeder Phase hervorheben und ihre Vor- und Nachteile diskutieren. Wir hoffen, dass unsere Erkenntnisse der Community helfen, den aktuellen Stand der Technik besser zu verstehen und, was noch wichtiger ist, zukünftige innovative Lösungen zu inspirieren.

DeFi-Sicherheitslandschaft

Sicherheitsmaßnahmen für ein DeFi-Protokoll müssen seinen gesamten Lebenszyklus umfassen, von der Pre-Launch-Phase bis zur Post-Launch-Phase, und sowohl die inhärente als auch die operative Sicherheit des Protokolls gewährleisten. Darüber hinaus ist es unerlässlich, präventive Maßnahmen und Notfallpläne für den Umgang mit potenziellen Angriffen zu implementieren. Um den Lesern die verfügbaren Lösungen zu verdeutlichen, kategorisieren wir DeFi-Sicherheitsanbieter (Produkte) wie folgt.

Pre-Launch-Sicherheit

Diese Kategorie umfasst die Sicherheitsmaßnahmen, die vor dem Start eines Protokolls durchgeführt werden, einschließlich Code-Audits, formaler Verifizierung und Sicherheitstests.

Code-Audit-Dienst und Wettbewerb

Code-Auditing ist eine weithin anerkannte Sicherheitspraxis in der Community zur Sicherung eines Protokolls. Während dieses Prozesses wird der Code von Sicherheitsunternehmen semi-automatisch überprüft, d. h. indem der Code automatisch auf gängige Schwachstellen gescannt und manuell auf komplizierte geprüft wird. Repräsentative Unternehmen sind OpenZeppelin, ChainSecurity, BlockSec usw.

Darüber hinaus gibt es Audit-Wettbewerbsplattformen, die sich von Sicherheitsaudit-Unternehmen dadurch unterscheiden, wie die Prüfung durchgeführt wird. Diese Plattformen initiieren den Audit-Wettbewerb, beziehen Sicherheitsforscher aus der Community ein, um den Audit-Wettbewerb durchzuführen, und verteilen die Belohnungen an diejenigen, die Probleme im Protokoll gefunden haben. Natürlich können Plattformen subtile Unterschiede in der Art und Weise aufweisen, wie die Schwere bewertet wird, der Algorithmus zur Verteilung der Belohnungen und die Kriterien für die Einbeziehung von Sicherheitsforschern. Solche Plattformen umfassen Code4rena, SHERLOCK, Cantina und Secure3.

Code-Auditing (und Wettbewerbe) sind die primäre Verteidigungslinie für die Protokollsicherheit. Sie haben jedoch praktische Einschränkungen, weshalb viele von angesehenen Unternehmen geprüfte Protokolle immer noch gehackt werden.

Erstens kann die statische Code-Prüfung Sicherheitsprobleme, die durch Protokollabhängigkeiten verursacht werden, nicht vollständig bewerten, insbesondere aufgrund der Kompositionalität von DeFi-Protokollen.
Zweitens wurden die Sicherheitsauswirkungen einiger Probleme während des Code-Audits unterschätzt. Zum Beispiel ist Präzisionsverlust ein häufiges Problem und kann sowohl von Prüfern als auch von Protokollen vernachlässigt werden. Seine Sicherheitsauswirkungen wurden von der Community erst nach den Zwischenfällen mit Hundred Finance und Channels Finance vollständig erkannt.
Zu guter Letzt ist die hochwertige Code-Prüfung eine angesehene und knappe Ressource, die interdisziplinäre Talente erfordert, die in Sicherheit, Finanzen und Informatik versiert sind. Wenige Universitäten können derzeit solche Talente konsistent und in großem Umfang bereitstellen. Daher können Protokolle von Unternehmen geprüft werden, die für das Geschäft nicht qualifiziert sind.

Formale Verifizierung

„Formale Verifizierung ist der Akt des Beweisens oder Widerlegens der Korrektheit eines Systems in Bezug auf eine bestimmte formale Spezifikation oder Eigenschaft, unter Verwendung formaler Methoden der Mathematik“. Da sie die Korrektheit von Systemen beweisen kann, wurde die formale Verifizierung auf DeFi-Protokolle angewendet. Insbesondere kann sie sicherstellen, dass das Verhalten eines DeFi-Protokolls die formale Spezifikation erfüllt. Der Repräsentant für formale Verifizierungsprodukte für DeFi-Protokolle ist Prover, entwickelt von Certora. Entwickler stellen die Regeln (Spezifikation) bereit und Prover vergleicht die Ergebnisse mit den Regeln, um Fehler durch die Untersuchung aller möglichen Programmzustände zu identifizieren.

Der vielversprechendste Aspekt der formalen Verifizierung ist, dass sie die Korrektheit des DeFi-Protokolls mathematisch beweist. In der Praxis gibt es jedoch immer noch einige Einschränkungen, die ihre breite Akzeptanz behindern.

Erstens muss die Spezifikation von den Entwicklern bereitgestellt werden, was von den Entwicklern verlangt, eine gut dokumentierte Spezifikation des erwarteten Verhaltens des Protokolls zu haben. Dies ist nicht einfach, da die meisten Entwickler keine Experten in diesem Bereich sind.
Zweitens kann die häufige Aktualisierung eines Protokolls aktualisierte Spezifikationen und eine Neubewertung des Protokolls erfordern. Einige Protokolle können die Zeit und den Aufwand nicht aufbringen.

Dennoch sollte eine formale Verifizierung von Protokollen durchgeführt werden, insbesondere von neuen, die noch nicht im Praxistest erprobt wurden und erhebliche Benutzervermögen verwalten. Die Verbesserung der Benutzerfreundlichkeit und die Erhöhung der Akzeptanzrate der formalen Verifizierung bleiben jedoch eine ständige Herausforderung.

Sicherheitstests

Sicherheitstests beziehen sich auf den Prozess der Verwendung von Testfällen, um die Fehler in einem Protokoll zu finden. Im Vergleich zur formalen Verifizierung, die die Korrektheit des Protokolls mathematisch beweist, verwendet Sicherheitstests normalerweise konkrete Eingaben anstelle der symbolischen Eingaben bei der formalen Verifizierung, ist daher viel effizienter, aber weniger solide.

Foundry ist eines der beliebten Entwicklungs- und Test-Frameworks für Smart Contracts. Entwickler können Tests in Foundry ausführen. Es bietet auch die Funktionalität, Fuzz-Tests, Invarianten-Tests und Differential-Tests für DeFi-Protokolle durchzuführen.
Andere Sicherheitstest-Tools umfassen Tenderly und Hardhat.

Post-Launch-Sicherheit

Diese Kategorie umfasst die Sicherheitsmaßnahmen, die nach dem Start eines Protokolls (oder nach der Veröffentlichung im Mainnet) durchgeführt werden, einschließlich Bug Bounty, Angriffsdetektion und Betriebsüberwachung.

Bug Bounty

Bug-Bounty-Programme schaffen eine Brücke zwischen Protokollen und Sicherheitsforschern. Das Grundkonzept besteht darin, Forscher zu Anreizen zu motivieren, Zero-Day-Schwachstellen im Austausch gegen Belohnungen zu melden. Insbesondere können Protokolle ihre Bounties auf Bug-Bounty-Plattformen auflisten und den Umfang der Bounty und den Belohnungsbetrag für gemeldete Bugs angeben. Immunefi ist eine repräsentative Web3-Bug-Bounty-Plattform.

Angriffsdetektion

Angriffsdetektionsplattformen scannen Transaktionen, um bösartige zu lokalisieren. Insbesondere überprüfen diese Plattformen die Transaktionen, die mit einem Protokoll interagieren, auf bösartige Verhaltensweisen. Wenn eine solche Transaktion auftritt, wird ein Alarm ausgelöst.

Zum Beispiel scannt BlockSec Phalcon die Transaktionen und verwendet eine verhaltensbasierte Erkennungsmaschine, um bösartige Aktivitäten (wie bösartige Verträge oder Vorschläge) zu erkennen. Stellen Sie sich das wie einen virtuellen Wachmann vor, der jeden Schritt einer Finanztransaktion beobachtet und nach verdächtigen Verhaltensweisen sucht. Er extrahiert die Verhaltensmuster aus diesen Transaktionen, ähnlich wie ein Detektiv Hinweise analysiert, und verwendet dann Finanzmodelle – ähnlich denen, die Banken zur Erkennung von Betrug verwenden –, um potenzielle Angriffe zu identifizieren.
Ähnliche Systeme sind Produkte von Hypernative und Hexagate.
Außerdem bietet das Venn Security network von Ironblocks eine dezentrale Infrastruktur, um die Erkennungsergebnisse aus mehreren Quellen zu kombinieren.

Betriebsüberwachung

Betriebsüberwachungs-Frameworks bieten eine Möglichkeit, operative Sicherheit für DeFi-Protokolle zu implementieren. Zum Beispiel muss das DeFi-Protokoll die Änderung des Admin-Schlüssels kennen, Smart Contract-Bereitstellungen und -Upgrades durchführen und Pull-Requests automatisch auf Sicherheitslücken scannen.

OpenZeppelin Defender bietet eine Plattform, die es Entwicklern ermöglicht, Smart Contracts sicher zu codieren, bereitzustellen und zu betreiben.
BlockSec Phalcon kann Risiken im Zusammenhang mit Vertragsaktualisierungen, der Erstellung von Safe-Wallet-Transaktionen, neuen Unterschriften und Ausführungen, Zugriffssteuerungen und Governance überwachen.
Forta Network verfügt über eine Infrastruktur, die es Benutzern ermöglicht, eigene Bots zu erstellen, um ihre Protokolle zu überwachen, oder bestehende Bots zu abonnieren, um Phishing- oder Bedrohungsalarme zu erhalten.

Angriffsreaktion

Diese Kategorie umfasst die Sicherheitsmaßnahmen, die ausgelöst werden, wenn ein Angriff stattfindet, einschließlich Angriffsblockierung, automatischer Aktion, War Room, Ursachenanalyse und Nachverfolgung des Geldflusses des Angreifers.

Unter den fünf Maßnahmen der Angriffsreaktion ist die Angriffsblockierung besonders hervorzuheben, da sie es Projektteams ermöglicht, präventive Maßnahmen im Voraus einzusetzen, Angriffe erfolgreich vor der Ausführung zu blockieren und Verluste auf Null zu minimieren. Automatische Reaktionsplattformen helfen ebenfalls, den durch Angriffe verursachten Schaden zu reduzieren.

Die Einrichtung eines War Rooms, die Durchführung einer Ursachenanalyse und die Verfolgung gestohlener Gelder sind reaktive Schritte, die nach einem Angriff unternommen werden. Obwohl diese Strategien einige Schäden mindern und helfen können, ähnliche Angriffe in Zukunft zu verhindern, sind Verluste möglicherweise bereits eingetreten und könnten schwer wiederherzustellen sein. Darüber hinaus können die Schäden für den Ruf des Projekts und der daraus resultierende Vertrauensverlust der Benutzer erheblich sein.

Risiken sind allgegenwärtig und oft unkontrollierbar, doch die Entscheidung, präventive Abwehrmaßnahmen einzusetzen, ist gut erreichbar und sehr empfehlenswert.

Angriffsblockierung

Die Angriffsdetektion reicht in der Praxis zur Bekämpfung von Hacks nicht aus. Dies liegt daran, dass ohne die Möglichkeit, Angriffe automatisch zu blockieren, manuelle Reaktionen nicht schnell genug sind. In einigen Fällen (wie bei KyberSwap, Gamma Strategies und Telcoin in der folgenden Tabelle) dauert es einige Minuten und sogar Stunden, bis das Protokoll manuell eingreift, was zu spät ist, um die Vermögenswerte im Protokoll zu retten. Bei den jüngsten Hacks von Velocore und Rho wurde die gesamte Linea- und Scroll-Kette angehalten, was Bedenken hinsichtlich der Zentralisierung für die L2-Kette aufwirft.

Angriffsblockierung ist die Fähigkeit, Hacks automatisch zu verhindern, was zwei Schlüsseltechniken erfordert: frühe Erkennung und automatische Front-Running von Hacks.

Frühe Erkennung bedeutet, dass das System Angriffstransaktionen identifizieren kann, bevor sie auf der Blockchain finalisiert werden, insbesondere während sie sich noch im Mempool befinden.
Das Front-Running des Angriffs beinhaltet, eine Transaktion vor der Angriffstransaktion in die Kette zu platzieren, um das Protokoll anzuhalten und den Angriff effektiv zu stoppen, bevor er ausgeführt werden kann.

In dieser Kategorie ist BlockSec Phalcon das einzige Produkt, das diese Schlüsseltechniken besitzt. Nachdem ein Hacker eine Angriffstransaktion initiiert hat, kann die Angriffsüberwachungsmaschine von Phalcon diese Transaktion sofort erkennen, Angriffsalarme an Benutzer senden und automatisch Front-Running betreiben, um das Protokoll anzuhalten und Verluste auf Null zu reduzieren. Seine Schlüsseltechniken wurden mit mehr als zwanzig Rettungsaktionen im Wert von über 20 Millionen US-Dollar getestet.

Automatische Aktion

Plattformen wie Phalcon, Hexagate und Hypernative können im Falle eines Angriffs auch automatisch reagieren.

Nach dem Abonnieren solcher Plattformen können Benutzer Überwachungs- und Reaktionsmaßnahmen für verschiedene Protokollrisiken einrichten. Wenn eine Transaktion den Überwachungsregeln entspricht, löst das System automatisch die vom Benutzer voreingestellten Reaktionsaktionen aus (wie das Anhalten des Protokolls) und reduziert so die Verluste.

Einige Plattformen verfügen jedoch nicht über eine Angriffsdetektionsmaschine, und das System kann Angriffstransaktionen nicht direkt erkennen und den Benutzer benachrichtigen. Stattdessen müssen Benutzer individuell festlegen, unter welchen Bedingungen eine Transaktion als Angriff betrachtet werden kann. Da die Merkmale von Angriffstransaktionen sehr komplex sind und Benutzer (oft Vertragsentwickler) möglicherweise nicht über ausreichende Sicherheitskenntnisse verfügen, kann dies für sie sehr schwierig sein.

War Room

Die Einrichtung eines War Rooms ist erforderlich, wenn ein Protokoll angegriffen wird. Dies kann dem Protokoll helfen, zu verstehen, was vor sich geht, Informationen in der Community zu teilen und Ressourcen für weitere Maßnahmen zu nutzen. Dies beinhaltet in der Regel Experten aus verschiedenen Perspektiven.

SEAL 911 ist ein Projekt, das "Benutzern, Entwicklern und Sicherheitsforschern eine zugängliche Möglichkeit bietet, sich im Notfall mit einer kleinen Gruppe hochvertrauenswürdiger Sicherheitsexperten zu verbinden." Erreichbar ist es über den SEAL 911 Telegram Bot. Im Falle eines Projektangriffs kann ein War Room eingerichtet werden, um das Protokoll zu unterstützen.

Ursachenanalyse

Wenn ein Angriff stattfindet, muss das Protokoll die Grundursache verstehen, wie z. B. die Schwachstelle in den Smart Contracts und wie sie ausgenutzt wurde. Dies erfordert einige nützliche Werkzeuge zur Analyse der Angriffstransaktionen. Phalcon Explorer, OpenChain und Tenderly können zu diesem Zweck verwendet werden.

Nachverfolgung des Geldflusses des Angreifers

Die Nachverfolgung des Geldflusses dient dazu, die ursprünglichen Gelder des Angreifers und die Angriffsgewinne auf der Blockchain zu verfolgen, um die zugehörigen Adressen und Entitäten zu lokalisieren. Wenn die Vermögenswerte in zentralisierte Entitäten (z. B. zentralisierte Börsen und andere institutionelle Entitäten) fließen, können Strafverfolgungsbehörden kontaktiert werden, um die Gelder einzufrieren.

Einige Unternehmen und Tools fallen in diese Kategorie, darunter Chainalysis, TRM Labs, ARKHAM, ELLIPTIC, MetaSleuth und andere.

Zum Beispiel kann MetaSleuth, entwickelt von BlockSec, automatisch Gelder über verschiedene Ketten hinweg mit reichhaltigen Bezeichnungen von Wallet-Adressen verfolgen.
ARKHAM hat eine Community, in der das Protokoll eine Prämie für die Untersuchung aussetzen kann, was die Community zur Mithilfe bei der Verfolgung der Gelder des Angreifers motiviert.

Sicherheitsbildungsmaterialien

Informierte Köpfe bauen stärkere Abwehrmaßnahmen auf. Über die oben genannten Sicherheitsanbieter und -produkte hinaus gibt es eine weitere entscheidende Komponente der DeFi-Sicherheit: Bildungsplattformen.

Diese Plattformen bieten wesentliche Ressourcen für DeFi-Praktiker und Benutzer, um Sicherheitseinblicke zu gewinnen, das Bewusstsein zu schärfen und Sicherheitskenntnisse zu entwickeln. Sie spielen eine entscheidende Rolle bei der Weiterentwicklung der DeFi-Sicherheit. Wir danken diesen Bildungsplattformen und listen einige bemerkenswerte Beispiele auf.

SΞCURΞUM: Eine Discord-Community, die sich auf Ethereum-Sicherheit konzentriert. Sie veranstaltet auch einen monatlichen Smart Contract-Sicherheitsquiz, das „Secureum RACE“.
Security Incidents Dashboard: Diese Plattform sammelt alle Angriffsereignisse, die Verluste von über 100.000 US-Dollar verursachen, und detailliert Verluste, betroffene Ketten, Schwachstellen, Grundursachen und PoCs.
Rekt: Bekannt als das Dark Web der DeFi-Journalistik, bietet Rekt detaillierte Analysen von Exploits, Hacks und Betrügereien im Ökosystem.
RugDoc: Eine DeFi-Sicherheits- und Bildungsgemeinschaft, die Projektrisiken bewertet. Sie verfügt auch über eine Plattform namens RugDocWiKi, die das DeFi-Ökosystem und die Technologie vorstellt.
DeFiHackLabs: Eine Web3-Sicherheitsgemeinschaft mit über 2.600 Mitgliedern und fast 200 White-Hat-Hackern, die darauf abzielt, die Sicherheitskompetenzen von Web2 und Web3 zu verbinden.
Solodit: Eine Plattform, die historische Berichte von verschiedenen Web3-Audit-Unternehmen zusammenfasst und als wertvolle Ressource für Smart Contract-Auditoren dient.
Ethernaut: Ein Web3/Solidity-basiertes Spiel, bei dem Spieler Ethereum-Vertragsschwachstellen identifizieren, ähnlich wie bei CTF-Herausforderungen.

Fazit

Sicherheit ist nach wie vor eine anhaltende und ernste Bedrohung für das DeFi-Ökosystem, die jährlich Milliardenverluste verursacht. Derzeit werden die meisten Sicherheitsmaßnahmen im Pre-Launch-Stadium durchgeführt. Es gibt jedoch keine Universallösung für Sicherheit, und verschiedene Methoden sollten während der gesamten Lebensdauer eines DeFi-Protokolls angewendet werden. Wir erwarten, dass die Branche Post-Launch-Sicherheitslösungen übernehmen wird, um Angriffe zu überwachen und, was noch wichtiger ist, automatisch zu blockieren. Wir gehen davon aus, dass im Ökosystem eine Security-First-Kultur etabliert wird, um Benutzervermögen vollständig zu schützen.