絶えず進化するWeb3の世界において、セキュリティの重要性はどれだけ強調してもしすぎることはありません。弱気市場の状況にもかかわらず、DeFiのハッキングや詐欺が憂慮すべきほど急増し、懸念が高まっています。数え切れないほどの被害者が、苦労して稼いだお金を失った後に支援を求めており、問題の重大さと予防策の緊急の必要性を浮き彫りにしています。
BlockSecの紹介
当社のブロックチェーンプラットフォームは、著名な投資家や顧客からの支援を受けて2021年に設立されました。トランザクションの分析にセキュリティ研究者が広く利用しているPhalcon Explorerをはじめ、さまざまな製品を提供しています。さらに、プラットフォームは、コミュニティに無料で提供されているMetaDockおよびMetaSleuthを提供しています。
Web3でセキュリティが重要な理由
Web3におけるセキュリティの重要性は明らかであり、弱気市場の状況下でも、DeFiのハッキングや詐欺の増加は懸念事項です。お金を失った後に支援を求めてくる被害者の数が増加していることは、問題の深刻さと、そのような攻撃による破産を防ぐための支援の必要性を示しています。
DeFiハッキングが非常に一般的である理由
DeFiハッキングが今日一般的である理由はいくつかあります。
- 第一に、攻撃者はこれらのハッキングを実行するための経済的インセンティブを持っており、そのような行為から substantial な利益を得ることができます。
- 第二に、十分な資格のある開発者の不足が、プロトコルの脆弱性に寄与しています。多く開発者はセキュリティよりも機能性に焦点を当てており、ブロックチェーンセキュリティに関する十分なトレーニングを受けていません。
- さらに、大学ではブロックチェーンセキュリティに関するコースが限られており、コミュニティにおける資格のある専門家の不足につながっています。
- 最後に、一部のハッキングは、組織化されたハッキンググループまたは全国規模の組織によって開始されています。これらのグループは非常に秘密裏かつ執拗であり、特に金融機関、軍事組織、および仮想通貨取引所を標的として巨額の利益を求めています。彼らの高度な攻撃方法と豊富なリソースは、DeFiプロジェクトにとってさらに大きな脅威となります。
DeFiプロトコルのセキュリティ
プロトコルセキュリティについて議論する際、多くの人々はコード監査をDeFiプロトコルにとっての主要な解決策と考えています。しかし、コード監査は、その高コストと時間のかかる性質のため、それだけでは十分ではありません。資格のある監査サービスは高価であり、プロセスは数ヶ月かかる場合があり、時間的制約のある一部のプロトコルには非現実的です。
さらに、この分野では資格のある監査人が不足しており、利用可能な専門知識の不足につながっています。その結果、一部のプロトコルは、包括的なセキュリティ対策なしで稼働を余儀なくされ、未対処の脆弱性や潜在的な脅威につながる可能性があります。
Web3でプロアクティブなアプローチが重要な理由
DeFiプロトコルのセキュリティを確保するためには、プロアクティブなアプローチが不可欠です。これは、プロトコルが単に展開されて放置されることはできないことを意味します。プロトコル内の進行中のアクティビティを積極的に監視し、潜在的な攻撃に自動的に対応する準備ができている必要があります。
このプロアクティブなアプローチの重要性は、次の理由により、Web2と比較してWeb3でさらに高まっています。
- 第一に、Web3はより多くの攻撃ベクトルを導入しており、ブロックチェーンのオープン性は、善意のユーザーと悪意のあるユーザーの両方がスマートコントラクトのソースコードにアクセスして分析することを容易にします。
- 第二に、脆弱性の悪用は、特にブロックチェーントランザクションの匿名性により、攻撃者にとって有利になります。これにより、彼らの活動を追跡することが困難になります。
- 第三に、フラッシュローンが利用可能であることにより、攻撃者はその財務能力を増幅させることができます。これは、Web2で攻撃を開始するために多額の資本が必要だったのとは対照的です。
- 最後になりましたが、特定のプライベートトランザクションサービスを悪用して、悪意のあるトランザクションを隠蔽することができます。
したがって、Web3のユニークな特性により、プロトコルやユーザーに対する有害な攻撃が発生しやすくなる一方で、攻撃者の追跡と特定がより困難になります。
当社のシステムはどのように機能しますか
当社は、ブロックチェーン業界でBlockSec Phalconと呼ばれるプロトタイプシステムを開発しました。2022年2月以来、コード監査を超えて、DeFiハッキングに関連する特定の課題を克服する方法を積極的に探求しています。
BlockSec Phalconにより、ブロックチェーン上のトランザクションを密接に監視できるようになります。これらのトランザクションを監視し、それらに自動的に応答することにより、攻撃トランザクションをリプレイし、攻撃コントラクトの基本的なロジックを複製することで、基盤となるテクノロジーを再構築できます。
このプロセスにより、新しいレスキュー スマート コントラクトを合成できます。その後、レスキュー トランザクションを送信して、当社のトランザクションが攻撃トランザクションよりも高速でブロックチェーンに配置されるようにすることができます。 このアプローチを活用することで、より迅速に行動し、ブロックチェーン内で主導的な地位を占めることで、攻撃トランザクションを完全にブロックする可能性があります。
「攻撃」コントラクトの構築はどのように機能するか
このメカニズムまたはシステムの重要な側面は、攻撃トランザクションと「攻撃」コントラクトを自動的に再構築する方法です。基本的な考え方は、攻撃トランザクションと攻撃スマートコントラクトで最も重要なものは何かを考慮することです。重要な要素は、スマートコントラクト内の攻撃ロジックです。
基本的な考え方は単純ですが、実際にはそれほど単純ではありません。私たちは一連の技術的課題に直面しています。最も重要な点は、スマートコントラクト内の基本ブロックの再利用をどのように処理するかです。コンパイラは、コードサイズの削減のために一般的に使用されるブロックの再利用を利用して、より小さなコードを生成します。このプロセス全体を通して、私たちはバイナリコードリライティングの概念に触発されました。これは、2世紀以上にわたって、あるいはそれ以上使用および開発されてきた技術です。したがって、このアイデアを活用し、バイトコードリライティングの技術に適用します。
達成した注目すべきマイルストーン
当社のシステムを活用することにより、複数のプロトコル攻撃トランザクションを正常に防止し、 substantial な流動性損失を回復しました。たとえば、今年はParaSpaceの損失500万ドルを回収し、昨年はSaddle Financeの損失380万ドルを回収しました。次の議論では、これらのトランザクションをどのように防止したかを説明するために、代表的なケースを強調します。
例としてParaSpaceを考えてみましょう。今年3月に攻撃を受けましたが、攻撃者は重大なミスを犯しました。十分なガスを割り当てなかったため、トランザクションはロールバックされました。当社はブロックチェーン上でこのトランザクションを監視して特定しました。その後、同様のレスキューコントラクトを自動的に合成しました。ブロックチェーン上でレスキューコントラクトを実行した後、BlockSecはParaSpaceの500万ドルの損失を正常に回収しました。
別のケースはPlatypusです。今年2月に攻撃を受けました。スマートコントラクトの脆弱性を悪用して、攻撃者はPlatypus DeFiプロトコルを悪用するためのエントリポイントを見つけました。しかし、彼らは侵害されたコントラクトから資金を引き出すためのロジックの設定を怠りました。その結果、ハッカーは課題に直面しました。侵害されたコントラクトから残りの240万ドルをどのように抽出するか？
このシナリオでは、BlockSecは攻撃コントラクトを自動的に逆アセンブルする内部システムを備えています。ヒューリスティックな手法を通じて、攻撃スマートコントラクトを包括的に分析し、興味深い機能を発見しました。
まず、このコントラクトのフラッシュローンコールバックが公開されていることがわかりました。第二に、PlatypusプールコントラクトはUSDCの承認を得ていました。プールコントラクトは、攻撃されたコントラクトからの承認を使用して、残りのUSDCを引き出すようにアップグレードできます。このアイデアとPoCをプロトコルと共有することにより、攻撃コントラクトから240万ドルを正常に回収するのを支援しました。
別のケースはTransit Swapです。MEVボットによって標的にされました。MEVボットのアドレスは、Profanityという欠陥のあるツールによって生成されたことを発見しました。このツールの脆弱性を悪用して、MEVボットの秘密鍵を計算し、資金を回収してプロトコルに払い戻しました。
このシステムの効率を改善する方法
このシステムの効率を改善するには、慎重な検討と戦略的な行動が必要だと考えています。
- 第一に、迅速かつプロアクティブな対応が不可欠です。状況が発生したときに情報収集を行い、即座に行動を起こすことが重要です。
- 第二に、精度を維持することが重要です。過剰な誤検知を生成しないようにする必要があります。以前に議論したように、監視ツールが多数のアラートを生成する場合、製品の使いやすさに大きな影響があります。したがって、攻撃者の追跡に焦点を当てるのではなく、体系的なアプローチを目指すべきです。
BlockSecは、ヒューリスティックな手法を使用して慎重なバイトコード分析を実施し、コントラクト分析および逆アセンブルのためのさまざまなツールを備えています。これらのすべての措置は、包括的なシステムを構築し、効果的な製品を提供するという目的で実施されています。
Web3のダイナミックな領域において、セキュリティは最重要事項です。DeFiハッキングの増加に伴い、プロトコルとユーザーを保護するために、プロアクティブなアプローチを採用し、BlockSec Phalconのような革新的なシステムを活用することが不可欠です。セキュリティ対策の境界を継続的に押し広げることにより、Web3の安全性と整合性を向上させ、安全で繁栄した分散型未来への道を開くよう努めています。
