DeFi-Sicherheitslandschaft: 50 wichtige Akteure, die Sie kennen sollten

TL;DR

Sicherheit bleibt eine kritische und andauernde Herausforderung in DeFi, wobei jährlich Milliarden von Dollar verloren gehen.
Sicherheitsmaßnahmen für ein DeFi-Protokoll sollten den gesamten Lebenszyklus umfassen und sowohl inhärente als auch operative Aspekte von der Phase vor dem Start bis nach dem Start absichern. Es ist entscheidend, präventive Strategien und Notfallpläne zu implementieren, um potenzielle Angriffe abzuschwächen.
Sicherheit vor dem Start, die sich auf Code-Audits konzentriert, ist zu einem Konsens der Community geworden. Trotz des Aufkommens von Sicherheitslösungen nach dem Start (z. B. Angriffsüberwachung & -blockierung) wurde ihre Bedeutung jedoch von der Community noch nicht vollständig erkannt.
Kontinuierliche Verbesserung der Sicherheitspraktiken und eine Verschiebung hin zu einer Sicherheitskultur sind unerlässlich, um Nutzervermögen zu schützen und das Vertrauen in das Ökosystem zu stärken.

Einführung

Während DeFi die Finanzlandschaft weiterhin revolutioniert, bleibt Sicherheit ein bedeutendes Anliegen innerhalb des Ökosystems, mit Milliarden von Dollar an Verlusten jedes Jahr.

Laut Daten von Chainalysis verursachten DeFi-Hacks im Jahr 2023 Verluste von mehr als 1,1 Milliarden US-Dollar. Obwohl diese Zahl im Vergleich zu 2022 gesunken ist, gibt es mehrere neue Trends bei den DeFi-Hacks im Jahr 2023. Zum Beispiel wurden angesehene Protokolle wie Curve und KyberSwap, die jahrelang sicher gelaufen sind, gehackt. Außerdem wurden ausgeklügelte Angriffe auf Infrastruktur-Schwachstellen, z. B. Flashbots relay, aufgedeckt.

In der ersten Hälfte des Jahres 2024 ereigneten sich laut Security Incident Dashboard mehr als fünfzig Hacks mit Verlusten von über 100.000 US-Dollar.

Einige aktuelle Hacks im Security Incident Dashboard

Sicherheit ist ein entscheidender Faktor für das Gedeihen und die massenhafte Einführung von DeFi-Anwendungen. Dies liegt daran, dass DeFi-Protokolle Milliarden von Dollar an Nutzervermögen verwalten, und jeder Hack, der auf diese Protokolle abzielt, kann zu erheblichen Verlusten für die betroffenen Nutzer führen. Obwohl in manchen Fällen die gehackten Gelder (teilweise) wiederhergestellt werden können (wie beim Euler-Sicherheitsvorfall), können wir uns nicht jedes Mal darauf verlassen. Jeder Angriff untergräbt das Vertrauen der Menschen in DeFi.

Obwohl mehrere Methoden vorgeschlagen wurden, um die DeFi-Sicherheit zu verbessern, gibt es noch viel Verbesserungspotenzial.

Auf der positiven Seite ist Code-Auditing zu einem Konsens der Community zur Gewährleistung der Sicherheit geworden. Die meisten Protokolle werden vor dem Start Code-Audits unterzogen, was hilft, Angriffsflächen zu reduzieren, die durch Schwachstellen in den Smart Contracts verursacht werden.
Code-Auditing allein reicht jedoch bei weitem nicht aus, um alle Sicherheitsprobleme zu lösen. Es kann Hacks nicht verhindern, die durch Schwachstellen entstehen, die während der Aktualisierung von Smart Contracts, Konfigurationsänderungen und Laufzeitabhängigkeiten zwischen verschiedenen Protokollen eingeführt werden.

Aufgrund dieser Einschränkungen sind proaktivere Lösungen wie operative Überwachung oder Angriffserkennungssysteme entstanden und wurden von einigen Protokollen übernommen.

In diesem Blog werden wir die DeFi Security Landscape untersuchen, indem wir die Sicherheitsreise eines Protokolls in verschiedenen Phasen nachverfolgen, von der Phase vor dem Start über die operative Phase bis hin zur Reaktion auf Angriffe. Wir werden verschiedene Arten von Sicherheitsmaßnahmen erläutern und die wichtigsten Anbieter (Produkte) in jeder Phase hervorheben und deren Vor- und Nachteile diskutieren. Wir hoffen, dass unsere Erkenntnisse der Community helfen können, den aktuellen Stand der Technik besser zu verstehen und, was noch wichtiger ist, innovative Lösungen für die Zukunft zu inspirieren.

DeFi Security Landscape

Sicherheitsmaßnahmen für ein DeFi-Protokoll müssen seinen gesamten Lebenszyklus umfassen, von der Phase vor dem Start bis zur Phase nach dem Start, und sowohl die inhärente als auch die operative Sicherheit des Protokolls gewährleisten. Zusätzlich ist es unerlässlich, präventive Maßnahmen und Notfallpläne bereitzuhalten, um potenzielle Angriffe zu adressieren. Um den Lesern zu helfen, die verfügbaren Lösungen zu verstehen, ordnen wir DeFi-Sicherheitsanbieter (Produkte) den folgenden Kategorien zu.

Sicherheit vor dem Start

Diese Kategorie umfasst die Sicherheitsmaßnahmen, die vor dem Start eines Protokolls durchgeführt werden, einschließlich Code-Auditing, formaler Verifikation und Sicherheitstests.

Code-Auditing-Service und -Wettbewerb

Code-Auditing ist eine in der Community weithin akzeptierte Sicherheitspraxis zur Absicherung eines Protokolls. Bei diesem Prozess wird der Code von Sicherheitsunternehmen auf halbautomatische Weise überprüft, d. h. der Code wird automatisch auf gängige Schwachstellen gescannt und manuell auf komplizierte Probleme überprüft. Repräsentative Unternehmen sind OpenZeppelin, ChainSecurity, BlockSec usw.

Außerdem gibt es Auditing-Wettbewerbsplattformen, die sich von Sicherheitsauditing-Unternehmen in der Art und Weise, wie das Audit durchgeführt wird, unterscheiden. Diese Plattformen starten den Audit-Wettbewerb, beziehen Sicherheitsforscher aus der Community ein, um den Audit-Wettbewerb durchzuführen, und verteilen die Belohnungen an diejenigen, die Probleme im Protokoll gefunden haben. Natürlich können Plattformen leichte Unterschiede in der Art aufweisen, wie sie den Schweregrad bewerten, den Algorithmus zur Verteilung der Belohnungen und die Kriterien zur Einbeziehung der Sicherheitsforscher. Zu solchen Plattformen gehören Code4rena, SHERLOCK, Cantina und Secure3.

Code-Auditing (und Wettbewerbe) ist die primäre Verteidigungslinie für die Protokollsicherheit. Es hat jedoch praktische Einschränkungen, die erklären, warum viele von angesehenen Unternehmen geprüfte Protokolle trotzdem gehackt werden.

Erstens kann statisches Code-Auditing die Sicherheitsprobleme, die durch Protokollabhängigkeiten verursacht werden, nicht vollständig bewerten, besonders aufgrund der Kombinierbarkeit von DeFi-Protokollen.
Zweitens wurden die Sicherheitsauswirkungen einiger Probleme während des Code-Audits unterschätzt. Zum Beispiel ist Präzisionsverlust ein häufiges Problem und wird sowohl von Auditoren als auch von Protokollen möglicherweise vernachlässigt. Seine Sicherheitsauswirkung wurde von der Community erst nach den Vorfällen von Hundred Finance und Channels Finance vollständig erkannt.
Nicht zuletzt bleibt hochwertiges Code-Auditing eine angesehene und knappe Ressource, die multidisziplinäre Talente erfordert, die sich in Sicherheit, Finanzen und Informatik auskennen. Derzeit können nur wenige Universitäten solche Talente konsistent und in großem Umfang bereitstellen. Daher können Protokolle von Unternehmen geprüft werden, die für dieses Geschäft nicht qualifiziert sind.

Formale Verifikation

„Formale Verifikation ist der Akt, die Korrektheit eines Systems in Bezug auf eine bestimmte formale Spezifikation oder Eigenschaft mithilfe formaler Methoden der Mathematik zu beweisen oder zu widerlegen“. Da sie die Korrektheit von Systemen beweisen kann, wurde formale Verifikation auf DeFi-Protokolle angewendet. Konkret kann sie sicherstellen, dass das Verhalten eines DeFi-Protokolls die formale Spezifikation erfüllt. Der Vertreter formaler Verifikationsprodukte für DeFi-Protokolle ist Prover, entwickelt von Certora. Entwickler stellen die Regeln (Spezifikation) bereit, und Prover vergleicht die Ergebnisse mit den Regeln, um Fehler zu identifizieren, indem jeder mögliche Programmzustand untersucht wird.

Der vielversprechendste Aspekt der formalen Verifikation ist, dass sie die Korrektheit des DeFi-Protokolls mathematisch beweist. In der Praxis hat sie jedoch immer noch einige Einschränkungen, die ihre breite Einführung behindern.

Erstens sollte die Spezifikation von den Entwicklern bereitgestellt werden, was erfordert, dass die Entwickler eine gut dokumentierte Spezifikation des erwarteten Verhaltens des Protokolls haben. Dies ist nicht einfach, wenn man bedenkt, dass die meisten Entwickler keine Experten in diesem Bereich sind.
Zweitens kann die häufige Aktualisierung eines Protokolls aktualisierte Spezifikationen und eine erneute Bewertung des Protokolls erfordern. Manche Protokolle können sich den Zeit- und Arbeitsaufwand nicht leisten.

Trotzdem sollte formale Verifikation von Protokollen durchgeführt werden, insbesondere von neuen Protokollen, die noch nicht kampferprobt sind und erhebliche Nutzervermögen verwalten. Die Verbesserung der Benutzerfreundlichkeit und die Erhöhung der Akzeptanzrate der formalen Verifikation bleiben jedoch eine kontinuierliche Herausforderung.

Sicherheitstests

Sicherheitstests bezeichnen den Prozess, Testfälle zu verwenden, um Fehler in einem Protokoll zu finden. Im Vergleich zur formalen Verifikation, die die Korrektheit des Protokolls mathematisch beweist, verwenden Sicherheitstests üblicherweise konkrete Eingaben anstelle der symbolischen Eingaben in der formalen Verifikation, wodurch sie viel effizienter, aber weniger fundiert sind.

Foundry ist eines der beliebten Entwicklungs- und Testframeworks für Smart Contracts. Entwickler können die Tests in Foundry ausführen. Es bietet auch die Fähigkeiten, Fuzz-Tests, Invarianten-Tests und Differential-Tests an DeFi-Protokollen durchzuführen.
Weitere Sicherheitstest-Tools umfassen Tenderly und Hardhat.

Sicherheit nach dem Start

Diese Kategorie umfasst die Sicherheitsmaßnahmen, die nach dem Start eines Protokolls (oder wenn es im Mainnet aktiv ist) durchgeführt werden, einschließlich Bug Bounty, Angriffserkennung und operativer Überwachung.

Bug Bounty

Bug-Bounty-Programme schaffen eine Brücke zwischen Protokollen und Sicherheitsforschern. Das grundlegende Konzept besteht darin, Forscher zu belohnen, die Zero-Day-Schwachstellen melden, im Austausch für Belohnungen. Konkret können Protokolle ihre Bounties auf Bug-Bounty-Plattformen listen und dabei den Umfang der Bounty und die Höhe der Belohnung für gemeldete Fehler angeben. Immunefi ist eine repräsentative Web3-Bug-Bounty-Plattform.

Angriffserkennung

Angriffserkennungsplattformen scannen Transaktionen, um bösartige zu identifizieren. Konkret überprüfen diese Plattformen die mit einem Protokoll interagierende Transaktion auf böswilliges Verhalten. Wenn eine solche Transaktion auftritt, wird ein Alarm ausgelöst.

Zum Beispiel scannt BlockSec Phalcon Security die Transaktionen und verwendet eine verhaltensbasierte Erkennungsengine, um bösartige Aktivitäten (wie böswillige Verträge oder Vorschläge) zu erkennen. Man kann es sich als virtuellen Sicherheitswächter vorstellen, der jeden Schritt einer Finanztransaktion beobachtet und nach verdächtigem Verhalten Ausschau hält. Es extrahiert die Verhaltensmuster aus diesen Transaktionen, ähnlich wie ein Detektiv, der Hinweise analysiert, und verwendet dann Finanzmodelle — ähnlich denen, die Banken zur Betrugserkennung einsetzen — um potenzielle Angriffe zu identifizieren.
Ähnliche Systeme umfassen die Produkte von Hypernative und Hexagate.
Außerdem bietet das Venn Security network von Ironblocks eine dezentrale Infrastruktur, um die Erkennungsergebnisse aus mehreren Quellen zusammenzuführen.

Operative Überwachung

Frameworks für operative Überwachung bieten eine Möglichkeit, operative Sicherheit für DeFi-Protokolle zu implementieren. Zum Beispiel muss das DeFi-Protokoll über die Änderung von Admin-Schlüsseln informiert sein, die Bereitstellung und Aktualisierung von Smart Contracts durchführen und Pull-Requests automatisch auf Sicherheitsschwachstellen scannen.

OpenZeppelin Defender bietet eine Plattform, die es Entwicklern ermöglicht, Smart Contracts sicher zu codieren, bereitzustellen und zu betreiben.
BlockSec Phalcon Security kann Risiken im Zusammenhang mit Vertragsaktualisierungen, der Erstellung von Safe-Wallet-Transaktionen, neuen Signaturen & Ausführungen, Zugriffskontrolle und Governance überwachen.
Forta Network verfügt über eine Infrastruktur, die es Nutzern ermöglicht, eigene Bots zu erstellen, um ihre Protokolle zu überwachen, oder bestehende Bots zu abonnieren für Phishing- oder Bedrohungswarnungen.

Reaktion auf Angriffe

Diese Kategorie umfasst die Sicherheitsmaßnahmen, die ausgelöst werden, wenn ein Angriff stattfindet, einschließlich Angriffsblockierung, automatischer Reaktion, War Room, Ursachenanalyse und Verfolgung des Geldflusses des Angreifers.

Unter den fünf Maßnahmen in der Reaktion auf Angriffe ist die Angriffsblockierung besonders bemerkenswert, da sie es Projektteams ermöglicht, präventive Maßnahmen im Voraus einzusetzen, Angriffe vor der Ausführung erfolgreich zu blockieren und Verluste auf null zu minimieren. Automatische Reaktionsplattformen helfen auch dabei, den durch Angriffe verursachten Schaden zu reduzieren.

Die Einrichtung eines War Rooms, die Durchführung einer Ursachenanalyse und die Verfolgung gestohlener Gelder sind reaktive Schritte, die nach einem Angriff unternommen werden. Während diese Strategien einen Teil des Schadens abmildern und helfen können, ähnliche Angriffe in der Zukunft zu verhindern, sind die Verluste möglicherweise bereits entstanden und könnten schwer wiederherzustellen sein. Außerdem kann der Schaden für den Ruf des Projekts und der daraus resultierende Verlust des Nutzervertrauens tiefgreifend sein.

Risiken sind überall und oft außer Kontrolle, doch die Wahl, präventive Verteidigungsmaßnahmen einzusetzen, ist durchaus erreichbar und sehr empfehlenswert.

Angriffsblockierung

Angriffserkennung allein reicht in der Praxis bei der Bekämpfung von Hacks nicht aus. Dies liegt daran, dass ohne die Fähigkeit, Hacks automatisch zu blockieren, manuelle Reaktionen nicht schnell genug sind. In einigen Fällen (KyberSwap, Gamma Strategies und Telcoin in der folgenden Tabelle) dauert es einige Minuten oder sogar Stunden, bis das Protokoll manuell reagiert, was zu spät ist, um die Vermögenswerte im Protokoll zu retten. Bei den jüngsten Hacks von Velocore und Rho wurde die gesamte Linea- bzw. Scroll-Chain angehalten, was Bedenken hinsichtlich der Zentralisierung der L2-Chain aufwirft.

Angriffsblockierung ist die Fähigkeit, Hacks automatisch zu verhindern, was zwei Schlüsseltechniken erfordert: Früherkennung und automatisches Frontrunning von Hacks.

Früherkennung bedeutet, dass das System Angriffstransaktionen identifizieren kann, bevor sie auf der Blockchain finalisiert werden, insbesondere während sie noch im Mempool ausstehen.
Das Frontrunning des Angriffs beinhaltet das Platzieren einer Transaktion auf der Chain vor der Angriffstransaktion, um das Protokoll zu pausieren, wodurch der Angriff effektiv gestoppt wird, bevor er ausgeführt werden kann.

In dieser Kategorie ist BlockSec Phalcon Security das einzige Produkt, das diese Schlüsseltechniken besitzt. Nachdem ein Hacker eine Angriffstransaktion initiiert hat, kann die Angriffsüberwachungsengine von Phalcon Security diese Transaktion sofort erkennen, Angriffswarnungen an die Nutzer senden und automatisch frontrunnen, um das Protokoll zu pausieren, wodurch Verluste auf null reduziert werden. Ihre Schlüsseltechniken wurden mit mehr als zwanzig Rettungen von über 20 Millionen USD kampferprobt.

Automatische Reaktion

Plattformen wie Phalcon Security, Hexagate und Hypernative können auch automatisch reagieren, wenn ein Angriff stattfindet.

Nach dem Abonnieren solcher Plattformen können Nutzer Überwachungs- und Reaktionsmaßnahmen für verschiedene Protokollrisiken einrichten. Wenn eine Transaktion die Überwachungsregeln erfüllt, initiiert das System automatisch die vom Nutzer vorab festgelegten Reaktionsmaßnahmen (wie das Pausieren des Protokolls), wodurch Verluste reduziert werden.

Einige Plattformen verfügen jedoch nicht über eine Angriffserkennungsengine, und das System kann Angriffstransaktionen nicht direkt erkennen und den Nutzer benachrichtigen. Stattdessen müssen Nutzer selbst festlegen, unter welchen Bedingungen eine Transaktion als Angriff betrachtet werden kann. Da die Merkmale von Angriffstransaktionen sehr komplex sind und Nutzer (oft Vertragsentwickler) möglicherweise nicht über ausreichendes Sicherheitswissen verfügen, kann dies für sie ziemlich herausfordernd sein.

War Room

Die Einrichtung eines War Rooms ist erforderlich, wenn ein Protokoll angegriffen wird. Dies kann dem Protokoll helfen zu verstehen, was vor sich geht, Informationen mit der Community zu teilen und Ressourcen für weitere Maßnahmen zu nutzen. Dies umfasst normalerweise Experten aus verschiedenen Perspektiven.

SEAL 911 ist ein Projekt, das „Nutzern, Entwicklern und Sicherheitsforschern eine zugängliche Möglichkeit gibt, sich im Notfall mit einer kleinen Gruppe hochvertrauenswürdiger Sicherheitsexperten in Verbindung zu setzen.“ Es kann über den SEAL 911 Telegram Bot erreicht werden. Im Falle eines gehackten Projekts kann ein War Room eingerichtet werden, um das Protokoll zu unterstützen.

Ursachenanalyse

Wenn ein Angriff auftritt, muss das Protokoll die Ursache verstehen, wie z. B. die Schwachstelle innerhalb der Smart Contracts und wie sie ausgenutzt wurde. Dafür sind nützliche Tools erforderlich, um die Angriffstransaktionen zu analysieren. Phalcon Explorer, OpenChain und Tenderly können zu diesem Zweck verwendet werden.

Verfolgung des Geldflusses

Die Verfolgung des Geldflusses dient dazu, die anfänglichen Gelder des Angreifers und die Angriffsgewinne auf der Blockchain zu verfolgen, um die zugehörigen Adressen und Entitäten zu lokalisieren. Wenn die Vermögenswerte in zentralisierte Entitäten fließen (z. B. zentralisierte Börsen und andere institutionelle Entitäten), können Strafverfolgungsbehörden kontaktiert werden, um die Gelder einfrieren zu lassen.

Einige Unternehmen und Tools fallen in diese Kategorie, darunter Chainalysis, TRM Labs, ARKHAM, ELLIPTIC, MetaSleuth und andere.

Zum Beispiel kann MetaSleuth, entwickelt von BlockSec, automatisch die Gelder über verschiedene Chains hinweg verfolgen, mit umfangreichen Labels für Wallet-Adressen.
ARKHAM verfügt über eine Community, in der das Protokoll eine Bounty auf die Untersuchung setzen kann, was die Community dazu anregt, die Gelder des Angreifers zu verfolgen.

Sicherheits-Bildungsressourcen

Informierte Köpfe bauen stärkere Verteidigungen auf. Über die oben genannten Sicherheitsanbieter und -produkte hinaus gibt es eine weitere entscheidende Komponente der DeFi-Sicherheit: Bildungsplattformen.

Diese Plattformen bieten wesentliche Ressourcen für DeFi-Praktiker und Nutzer, um Sicherheitseinblicke zu verstehen, das Bewusstsein zu schärfen und Sicherheitsfähigkeiten zu entwickeln. Sie spielen eine wichtige Rolle bei der Weiterentwicklung der DeFi-Sicherheit. Wir schätzen diese Bildungsplattformen und führen einige bemerkenswerte Beispiele auf.

SΞCURΞUM: Eine Discord-Community, die sich auf Ethereum-Sicherheit konzentriert. Sie veranstaltet auch ein monatliches Smart-Contract-Sicherheitsquiz, die „Secureum RACE“.
Security Incidents Dashboard: Diese Plattform sammelt alle Angriffsvorfälle mit Verlusten über 100.000 US-Dollar und listet Verluste, betroffene Chains, Schwachstellen, Grundursachen und PoCs auf.
Rekt: Bekannt als das Dark Web des DeFi-Journalismus, bietet Rekt eingehende Analysen von Exploits, Hacks und Betrügereien innerhalb des Ökosystems.
RugDoc: Eine DeFi-Sicherheits- und Bildungsgemeinschaft, die Projektrisiken bewertet. Sie verfügt auch über eine Plattform namens RugDocWiKi, die das DeFi-Ökosystem und die Technologie vorstellt.
DeFiHackLabs: Eine Web3-Sicherheitsgemeinschaft mit über 2.600 Mitgliedern und fast 200 White-Hat-Hackern, die darauf abzielt, Web2- und Web3-Sicherheitsexpertise zu verbinden.
Solodit: Eine Plattform, die historische Berichte verschiedener Web3-Auditing-Unternehmen zusammenstellt und als wertvolle Ressource für Smart-Contract-Auditoren dient.
Ethernaut: Ein Web3/Solidity-basiertes Spiel, bei dem Spieler Schwachstellen in Ethereum-Verträgen identifizieren, ähnlich wie bei CTF-Herausforderungen.

Fazit

Sicherheit ist immer noch eine andauernde und ernste Bedrohung für das DeFi-Ökosystem, die jedes Jahr Milliardenverluste verursacht. Derzeit werden die meisten Sicherheitsmaßnahmen in der Phase vor dem Start durchgeführt. Es gibt jedoch kein Patentrezept für Sicherheit, und verschiedene Methoden sollten während der gesamten Lebensdauer eines DeFi-Protokolls durchgeführt werden. Wir erwarten, dass die Branche Sicherheitslösungen nach dem Start übernimmt, um zu überwachen und, was noch wichtiger ist, Angriffe automatisch zu blockieren. Wir gehen davon aus, dass sich im Ökosystem eine Sicherheitskultur etablieren wird, um die Vermögenswerte der Nutzer vollständig zu schützen.