DeFi-Sicherheitslandschaft: 50 Schlüsselakteure, die Sie kennen müssen

TL;DR

Sicherheit bleibt eine kritische und fortlaufende Herausforderung im DeFi, mit jährlichen Verlusten in Milliardenhöhe.
Sicherheitsmaßnahmen für ein DeFi-Protokoll sollten seinen gesamten Lebenszyklus umfassen und sowohl inhärente als auch operationelle Aspekte von der Vor- bis zur Nach-Markteinführung sichern. Die Implementierung präventiver Strategien und Notfallpläne zur Minderung potenzieller Angriffe ist entscheidend.
Die Sicherheit vor der Markteinführung, die sich auf die Code-Prüfung konzentriert, ist zu einem Konsens der Community geworden. Trotz des Aufkommens von Lösungen für die Sicherheit nach der Markteinführung (z. B. Angriffsüberwachung und -blockierung) wurde ihre Bedeutung von der Community noch nicht vollständig anerkannt.
Die kontinuierliche Verbesserung von Sicherheitspraktiken und eine Hinwendung zu einer sicherheitsorientierten Kultur sind unerlässlich, um Nutzervermögen zu schützen und das Vertrauen in das Ökosystem zu stärken.

Einleitung

Da DeFi die Finanzlandschaft weiterhin revolutioniert, bleibt die Sicherheit ein bedeutendes Anliegen innerhalb des Ökosystems, mit jährlichen Verlusten in Milliardenhöhe.

Laut Daten von Chainalysis, verursachten DeFi-Hacks im Jahr 2023 Verluste von mehr als 1,1 Milliarden US-Dollar. Obwohl diese Zahl im Vergleich zu 2022 zurückging, gibt es 2023 mehrere neue Trends bei DeFi-Hacks. So wurden renommierte Protokolle wie Curve und KyberSwap, die seit Jahren sicher laufen, gehackt. Darüber hinaus wurden ausgeklügelte Hacks von Schwachstellen in der Infrastruktur, z. B. Flashbots relay, aufgedeckt.

In der ersten Hälfte des Jahres 2024 ereigneten sich laut dem Security Incident Dashboard mehr als fünfzig Hacks mit Verlusten von über 100.000 US-Dollar.

Einige aktuelle Hacks im Security Incident Dashboard

Sicherheit ist ein entscheidender Faktor für den Wohlstand und die massive Akzeptanz von DeFi-Anwendungen. Dies liegt daran, dass DeFi-Protokolle Nutzervermögen im Wert von Milliarden von Dollar verwalten, und jeder Hack, der auf diese Protokolle abzielt, kann zu erheblichen Verlusten für die betroffenen Nutzer führen. Obwohl in einigen Fällen die gehackten Gelder (teilweise) wiedererlangt werden können (wie im Fall von Euler security incident), können wir uns nicht jedes Mal darauf verlassen. Jeder Angriff untergräbt das Vertrauen der Menschen in DeFi.

Auch wenn verschiedene Methoden zur Verbesserung der DeFi-Sicherheit vorgeschlagen wurden, gibt es noch viel Raum für Verbesserungen.

Positiv ist, dass die Code-Prüfung zu einem Konsens der Community zur Gewährleistung der Sicherheit geworden ist. Die meisten Protokolle werden vor der Markteinführung einer Code-Prüfung unterzogen, was dazu beiträgt, Angriffsflächen durch Schwachstellen in den Smart Contracts zu reduzieren.
Allein die Code-Prüfung reicht jedoch bei weitem nicht aus, um alle Sicherheitsprobleme zu lösen. Sie kann keine Hacks verhindern, die sich aus Schwachstellen ergeben, die bei Smart Contract-Upgrades, Konfigurationsänderungen und Laufzeitabhängigkeiten zwischen verschiedenen Protokollen entstehen.

Aufgrund dieser Einschränkungen sind proaktivere Lösungen wie operative Überwachung oder Angriffserkennungssysteme entstanden und wurden von einigen Protokollen übernommen.

In diesem Blog werden wir die DeFi-Sicherheitslandschaft untersuchen, indem wir den Sicherheitspfad eines Protokolls in verschiedenen Phasen verfolgen, von der Vor-Markteinführungsphase über die Betriebsphase bis hin zur Reaktion auf Angriffe. Wir werden verschiedene Arten von Sicherheitsmaßnahmen erörtern und die wichtigsten Anbieter (Produkte) in jeder Phase hervorheben, wobei wir ihre Vor- und Nachteile diskutieren. Wir hoffen, dass unsere Einblicke der Community helfen können, den Stand der Technik besser zu verstehen und, was noch wichtiger ist, innovative Lösungen für die Zukunft zu inspirieren.

DeFi-Sicherheitslandschaft

Sicherheitsmaßnahmen für ein DeFi-Protokoll müssen seinen gesamten Lebenszyklus umfassen, von der Vor-Markteinführungsphase bis zur Nach-Markteinführungsphase, und sowohl die inhärente als auch die operative Sicherheit des Protokolls gewährleisten. Darüber hinaus ist es unerlässlich, präventive Maßnahmen und Notfallpläne zur Bewältigung potenzieller Angriffe zu haben. Um den Lesern die verfügbaren Lösungen näher zu bringen, gliedern wir die DeFi-Sicherheitsanbieter (Produkte) in folgende Kategorien.

Sicherheit vor der Markteinführung

Diese Kategorie umfasst die Sicherheitsmaßnahmen, die vor der Einführung eines Protokolls durchgeführt werden, einschließlich Code-Prüfung, formale Verifikation und Sicherheitstests.

Code-Prüfungsdienste und -wettbewerbe

Die Code-Prüfung ist eine anerkannte Sicherheitspraxis in der Community zur Sicherung eines Protokolls. Bei diesem Prozess wird der Code von Sicherheitsunternehmen halbautomatisch überprüft, d. h. der Code wird automatisch auf gängige Schwachstellen gescannt und manuell auf komplizierte. Zu den repräsentativen Unternehmen gehören OpenZeppelin, ChainSecurity, BlockSec usw.

Darüber hinaus gibt es Plattformen für Prüfungswettbewerbe, die sich von Sicherheitsprüfungsunternehmen dadurch unterscheiden, wie die Prüfung durchgeführt wird. Diese Plattformen initiieren den Prüfungswettbewerb, beziehen Sicherheitsexperten aus der Community ein, um den Prüfungswettbewerb durchzuführen, und verteilen Prämien an diejenigen, die Probleme im Protokoll gefunden haben. Natürlich können Plattformen subtile Unterschiede in der Art und Weise aufweisen, wie die Schwere bewertet wird, im Algorithmus zur Verteilung der Prämien und in den Kriterien für die Einbeziehung von Sicherheitsexperten. Zu diesen Plattformen gehören Code4rena, SHERLOCK, Cantina und Secure3.

Die Code-Prüfung (und Wettbewerbe) ist die primäre Verteidigungslinie für die Sicherheit von Protokollen. Sie hat jedoch praktische Einschränkungen, die erklären, warum viele von renommierten Unternehmen geprüfte Protokolle immer noch gehackt werden.

Erstens kann die statische Code-Prüfung Sicherheitsprobleme, die durch Protokollabhängigkeiten verursacht werden, nicht vollständig bewerten, insbesondere aufgrund der Kompositionsfähigkeit von DeFi-Protokollen.
Zweitens wurden die Sicherheitsauswirkungen einiger Probleme während der Code-Prüfung unterschätzt. Präzisionsverlust ist beispielsweise ein häufiges Problem und kann sowohl von Prüfern als auch von Protokollen übersehen werden. Seine Sicherheitsauswirkungen wurden von der Community erst nach den Vorfällen mit Hundred Finance und Channels Finance vollständig erkannt.
Nicht zuletzt bleibt eine qualitativ hochwertige Code-Prüfung eine angesehene und knappe Ressource, die multidisziplinäre Talente erfordert, die auf Sicherheit, Finanzen und Informatik spezialisiert sind. Nur wenige Universitäten können derzeit konsistent und in großem Umfang solche Talente hervorbringen. Daher können Protokolle von Unternehmen geprüft werden, die nicht qualifiziert sind, das Geschäft zu betreiben.

Formale Verifikation

"Formale Verifikation ist der Akt des Beweisens oder Widerlegens der Korrektheit eines Systems in Bezug auf eine bestimmte formale Spezifikation oder Eigenschaft unter Verwendung formaler mathematischer Methoden." Da sie die Korrektheit von Systemen beweisen kann, wurde die formale Verifikation auf DeFi-Protokolle angewendet. Insbesondere kann sie sicherstellen, dass das Verhalten eines DeFi-Protokolls der formalen Spezifikation entspricht. Ein repräsentatives Produkt für formale Verifikation für DeFi-Protokolle ist Prover, das von Certora entwickelt wurde. Entwickler stellen die Regeln (Spezifikation) bereit, und Prover vergleicht die Ergebnisse mit den Regeln, um Fehler zu identifizieren, indem alle möglichen Programmzustände durchsucht werden.

Der vielversprechendste Aspekt der formalen Verifikation ist, dass sie die Korrektheit des DeFi-Protokolls mathematisch beweist. In der Praxis gibt es jedoch immer noch einige Einschränkungen, die eine breite Akzeptanz behindern.

Erstens muss die Spezifikation von den Entwicklern bereitgestellt werden, was von den Entwicklern eine gut dokumentierte Spezifikation des erwarteten Verhaltens des Protokolls verlangt. Dies ist nicht einfach, wenn man bedenkt, dass die meisten Entwickler keine Experten in diesem Bereich sind.
Zweitens kann die häufige Aktualisierung eines Protokolls aktualisierte Spezifikationen und eine Neubewertung des Protokolls erfordern. Manche Protokolle können Zeit und Aufwand nicht aufbringen.

Nichtsdestotrotz sollte die formale Verifikation von Protokollen durchgeführt werden, insbesondere von neuen, die noch nicht im Praxistest erprobt sind und erhebliche Nutzervermögen verwalten. Die Verbesserung der Benutzerfreundlichkeit und die Erhöhung der Akzeptanzrate der formalen Verifikation bleiben jedoch eine ständige Herausforderung.

Sicherheitstests

Sicherheitstests beziehen sich auf den Prozess der Verwendung von Testfällen, um Fehler in einem Protokoll zu finden. Im Vergleich zur formalen Verifikation, die die Korrektheit des Protokolls mathematisch beweist, verwendet das Sicherheitstesting normalerweise konkrete Eingaben anstelle der symbolischen Eingaben in der formalen Verifikation, ist daher viel effizienter, aber weniger fundiert.

Foundry ist eines der beliebten Entwicklungs- und Test-Frameworks für Smart Contracts. Entwickler können Tests in Foundry ausführen. Es bietet auch die Möglichkeit, Fuzz-Tests, Invarianztests und Differentialtests für DeFi-Protokolle durchzuführen.
Zu den weiteren Sicherheitstestwerkzeugen gehören Tenderly und Hardhat.

Sicherheit nach der Markteinführung

Diese Kategorie umfasst die Sicherheitsmaßnahmen, die nach der Einführung (oder dem Live-Schalten im Mainnet) eines Protokolls durchgeführt werden, einschließlich Bug-Bounty-Programmen, Angriffserkennung und operativer Überwachung.

Bug-Bounty-Programme

Bug-Bounty-Programme schaffen eine Brücke zwischen Protokollen und Sicherheitsexperten. Das Grundkonzept besteht darin, Forscher für die Meldung von Null-Day-Schwachstellen im Austausch gegen Prämien zu incentivieren. Insbesondere können Protokolle ihre Prämien auf Bug-Bounty-Plattformen auflisten und dabei den Umfang der Prämie und die Höhe der Belohnung für gemeldete Fehler angeben. Immunefi ist eine repräsentative Web3-Bug-Bounty-Plattform.

Angriffserkennung

Plattformen zur Angriffserkennung scannen Transaktionen, um bösartige zu identifizieren. Insbesondere prüfen diese Plattformen Transaktionen, die mit einem Protokoll interagieren, auf bösartige Verhaltensweisen. Wenn eine solche Transaktion auftritt, wird eine Benachrichtigung ausgelöst.

Zum Beispiel scannt BlockSec Phalcon Transaktionen und verwendet eine verhaltensbasierte Erkennungs-Engine, um bösartige Aktivitäten (wie bösartige Verträge oder Vorschläge) zu erkennen. Stellen Sie sich das wie einen virtuellen Sicherheitsmann vor, der jeden Schritt einer Finanztransaktion überwacht und nach verdächtigen Verhaltensweisen sucht. Er extrahiert Verhaltensmuster aus diesen Transaktionen, ähnlich wie ein Detektiv Hinweise analysiert, und verwendet dann Finanzmodelle – ähnlich denen, die von Banken zur Betrugserkennung verwendet werden –, um potenzielle Angriffe zu identifizieren.
Ähnliche Systeme umfassen Produkte von Hypernative und Hexagate.
Außerdem bietet das Venn Security Network von Ironblocks eine dezentrale Infrastruktur, um Erkennungsergebnisse aus mehreren Quellen zu kombinieren.

Operative Überwachung

Frameworks zur operativen Überwachung bieten eine Möglichkeit, die operative Sicherheit für DeFi-Protokolle zu implementieren. So muss ein DeFi-Protokoll beispielsweise Änderungen am Admin-Schlüssel kennen, Smart Contracts bereitstellen und aktualisieren und Pull-Anfragen auf Sicherheitslücken scannen.

OpenZeppelin Defender bietet eine Plattform, die es Entwicklern ermöglicht, Smart Contracts sicher zu programmieren, bereitzustellen und zu betreiben.
BlockSec Phalcon kann Risiken im Zusammenhang mit Contract-Upgrades, Erstellung von Safe-Wallet-Transaktionen, neuen Signaturen und Ausführungen, Zugriffskontrolle und Governance überwachen.
Forta Network verfügt über eine Infrastruktur, mit der Benutzer ihre eigenen Bots erstellen können, um ihre Protokolle zu überwachen, oder sich bei bestehenden Bots für Phishing- oder Bedrohwarnungen anmelden.

Reaktion auf Angriffe

Diese Kategorie umfasst die Sicherheitsmaßnahmen, die ausgelöst werden, wenn ein Angriff stattfindet, einschließlich Angriffsblockierung, automatische Aktionen, Krisenmanagement (War Room), Ursachenanalyse und Nachverfolgung des Geldflusses von Angreifern.

Von den fünf Maßnahmen zur Angriffsreaktion ist die Angriffsblockierung besonders bemerkenswert, da sie es Projektteams ermöglicht, präventive Maßnahmen im Voraus einzusetzen, Angriffe erfolgreich vor der Ausführung zu blockieren und Verluste auf Null zu minimieren. Plattformen für automatische Reaktionen helfen ebenfalls, den durch Angriffe verursachten Schaden zu reduzieren.

Die Einrichtung eines Krisenmanagements, die Durchführung einer Ursachenanalyse und die Verfolgung gestohlener Gelder sind reaktive Schritte, die nach einem Angriff unternommen werden. Während diese Strategien einige Schäden mindern und helfen können, ähnliche Angriffe in Zukunft zu verhindern, sind Verluste möglicherweise bereits eingetreten und können schwer wieder hereinzuholen sein. Darüber hinaus können der Schaden für den Ruf des Projekts und der daraus resultierende Vertrauensverlust der Nutzer erheblich sein.

Risiken sind allgegenwärtig und oft unkontrollierbar, doch die Entscheidung für präventive Verteidigungsmaßnahmen ist gut erreichbar und sehr empfehlenswert.

Angriffsblockierung

Angriffserkennung reicht in der Praxis zur Bekämpfung von Hacks nicht aus. Denn ohne die Möglichkeit, Hacks automatisch zu blockieren, sind manuelle Reaktionen nicht schnell genug. In einigen Fällen (KyberSwap, Gamma Strategies und Telcoin in der folgenden Tabelle) dauert es einige Minuten bis Stunden, bis das Protokoll manuelle Maßnahmen ergreift, was zu spät ist, um die Vermögenswerte im Protokoll zu retten. Bei den jüngsten Hacks von Velocore und Rho wurde die gesamte Linea und Scroll Kette jeweils angehalten, was Bedenken hinsichtlich der Zentralisierung für die L2-Kette aufwirft.

Angriffsblockierung ist die Fähigkeit, Hacks automatisch zu verhindern, was zwei Schlüsseltechniken erfordert: frühe Erkennung und automatische Frontrunning von Hacks.

Frühe Erkennung bedeutet, dass das System Angriffstransaktionen identifizieren kann, bevor sie auf der Blockchain finalisiert werden, insbesondere während sie noch im Mempool ausstehend sind.
Das Frontrunning eines Angriffs beinhaltet die Platzierung einer Transaktion auf der Kette vor der Angriffstransaktion, um das Protokoll anzuhalten und so den Angriff effektiv zu stoppen, bevor er ausgeführt werden kann.

In dieser Kategorie ist BlockSec Phalcon das einzige Produkt, das diese Schlüsseltechniken besitzt. Nachdem ein Hacker eine Angriffstransaktion initiiert hat, kann die Angriffserkennungs-Engine von Phalcon diese Transaktion sofort erkennen, Angriffsalarme an Benutzer senden und automatisch im Frontrunning das Protokoll anhalten, wodurch die Verluste auf Null reduziert werden. Seine Schlüsseltechniken wurden in mehr als zwanzig Rettungsaktionen mit über 20 Millionen US-Dollar im Praxistest erprobt.

Automatische Aktionen

Plattformen wie Phalcon, Hexagate und Hypernative können auch automatisch auf Angriffe reagieren.

Nach dem Abonnement solcher Plattformen können Benutzer Überwachungs- und Reaktionsmaßnahmen für verschiedene Protokollrisiken einrichten. Wenn eine Transaktion die Überwachungsregeln erfüllt, initiiert das System automatisch die vom Benutzer voreingestellten Reaktionsmaßnahmen (wie das Anhalten des Protokolls), wodurch die Verluste reduziert werden.

Einige Plattformen verfügen jedoch nicht über eine Angriffserkennungs-Engine, und das System kann Angriffstransaktionen nicht direkt erkennen und den Benutzer benachrichtigen. Stattdessen müssen Benutzer benutzerdefinierte Bedingungen festlegen, unter denen eine Transaktion als Angriff betrachtet werden kann. Da die Merkmale von Angriffstransaktionen sehr komplex sind und Benutzer (oft Vertragsentwickler) möglicherweise nicht über ausreichende Sicherheitskenntnisse verfügen, kann dies für sie recht herausfordernd sein.

Krisenmanagement (War Room)

Die Einrichtung eines Krisenmanagements ist erforderlich, wenn ein Protokoll angegriffen wird. Dies kann dem Protokoll helfen zu verstehen, was vor sich geht, Informationen in der Community zu teilen und Ressourcen für weitere Maßnahmen zu nutzen. Dies beinhaltet in der Regel Experten aus verschiedenen Perspektiven.

SEAL 911 ist ein Projekt, das "Benutzern, Entwicklern und Sicherheitsexperten einen zugänglichen Weg bietet, sich im Notfall mit einer kleinen Gruppe von hochvertrauenswürdigen Sicherheitsexperten zu verbinden." Es ist über den SEAL 911 Telegram Bot erreichbar. Im Falle eines gehackten Projekts kann ein Krisenmanagement eingerichtet werden, um das Protokoll zu unterstützen.

Ursachenanalyse

Wenn ein Angriff stattfindet, muss das Protokoll die Ursache verstehen, wie z. B. die Schwachstelle innerhalb der Smart Contracts und wie sie ausgenutzt wurde. Dazu sind einige nützliche Werkzeuge zur Analyse von Angriffstransaktionen erforderlich. Phalcon Explorer, OpenChain und Tenderly können zu diesem Zweck verwendet werden.

Nachverfolgung des Geldflusses

Die Nachverfolgung des Geldflusses dient dazu, die ursprünglichen Gelder des Angreifers und die Angriffsgewinne auf der Blockchain zu verfolgen, um die zugehörigen Adressen und Entitäten zu lokalisieren. Wenn die Vermögenswerte in zentralisierte Entitäten (z. B. zentralisierte Börsen und andere institutionelle Entitäten) fließen, können Strafverfolgungsbehörden kontaktiert werden, um bei der Sperrung der Gelder zu helfen.

Es gibt einige Unternehmen und Tools in dieser Kategorie, darunter Chainalysis, TRM Labs, ARKHAM, ELLIPTIC, MetaSleuth und andere.

Zum Beispiel hat MetaSleuth, das von BlockSec entwickelt wurde, die Möglichkeit, Gelder über verschiedene Ketten hinweg mit reichen Beschriftungen von Wallet-Adressen automatisch zu verfolgen.
ARKHAM verfügt über eine Community, in der das Protokoll eine Prämie für die Untersuchung aussetzen kann, was die Community anregt, bei der Verfolgung der Gelder des Angreifers zu helfen.

Bildungsressourcen zur Sicherheit

Informierte Köpfe bauen stärkere Abwehrmaßnahmen. Über die oben genannten Sicherheitsanbieter und -produkte hinaus gibt es eine weitere wichtige Komponente der DeFi-Sicherheit: Bildungsplattformen.

Diese Plattformen bieten wesentliche Ressourcen für DeFi-Praktiker und Benutzer, um Sicherheitserkenntnisse zu verstehen, das Bewusstsein zu schärfen und Sicherheitsfähigkeiten zu entwickeln. Sie spielen eine entscheidende Rolle bei der Weiterentwicklung der DeFi-Sicherheit. Wir bedanken uns bei diesen Bildungsplattformen und nennen einige bemerkenswerte Beispiele.

SΞCURΞUM: Eine Discord-Community, die sich auf Ethereum-Sicherheit konzentriert. Sie veranstaltet auch ein monatliches Quiz zur Smart-Contract-Sicherheit, das "Secureum RACE".
Security Incidents Dashboard: Diese Plattform sammelt alle Angriffsereignisse mit Verlusten über 100.000 US-Dollar und detailliert Verluste, betroffene Ketten, Schwachstellen, Ursachen und Proofs of Concept (PoCs).
Rekt: Bekannt als das Dark Web der DeFi-Journalistik, bietet Rekt detaillierte Analysen von Exploits, Hacks und Betrügereien im Ökosystem.
RugDoc: Eine Community für DeFi-Sicherheit und Bildung, die Projektrisiken bewertet. Sie bietet auch eine Plattform namens RugDocWiKi, die das DeFi-Ökosystem und die Technologie vorstellt.
DeFiHackLabs: Eine Web3-Sicherheits-Community mit über 2.600 Mitgliedern und fast 200 White-Hat-Hackern, die darauf abzielt, die Sicherheitskompetenz von Web2 und Web3 zu verbinden.
Solodit: Eine Plattform, die historische Berichte verschiedener Web3-Prüfungsunternehmen zusammenstellt und als wertvolle Ressource für Smart-Contract-Prüfer dient.
Ethernaut: Ein spielbasiertes Spiel auf Basis von Web3/Solidity, bei dem Spieler Schwachstellen von Ethereum-Contracts identifizieren, ähnlich wie bei CTF-Herausforderungen.

Schlussfolgerung

Sicherheit ist weiterhin eine anhaltende und ernste Bedrohung für das DeFi-Ökosystem und verursacht jährlich Verluste in Milliardenhöhe. Derzeit werden die meisten Sicherheitsmaßnahmen in der Vor-Markteinführungsphase durchgeführt. Es gibt jedoch keine Wunderwaffe in der Sicherheit, und verschiedene Methoden sollten über die gesamte Lebensdauer eines DeFi-Protokolls hinweg angewendet werden. Wir erwarten, dass die Branche Lösungen für die Sicherheit nach der Markteinführung einführen wird, um Angriffe zu überwachen und, was noch wichtiger ist, automatisch zu blockieren. Wir gehen davon aus, dass im Ökosystem eine sicherheitsorientierte Kultur etabliert wird, um Nutzervermögen vollständig zu schützen.