TL;DR
- A segurança continua sendo um desafio crítico e contínuo no DeFi, com bilhões de dólares perdidos anualmente.
- As medidas de segurança para um protocolo DeFi devem abranger todo o seu ciclo de vida, protegendo tanto os aspectos inerentes quanto os operacionais, do pré-lançamento ao pós-lançamento. É crucial implementar estratégias preventivas e planos de contingência para mitigar possíveis ataques.
- A segurança pré-lançamento centrada na auditoria de código tornou-se um consenso da comunidade. No entanto, apesar do surgimento de soluções de segurança pós-lançamento (por exemplo, monitoramento e bloqueio de ataques), sua importância ainda não foi totalmente reconhecida pela comunidade.
- A melhoria contínua das práticas de segurança e uma mudança em direção a uma cultura que prioriza a segurança são essenciais para proteger os ativos dos usuários e aumentar a confiança no ecossistema.
Introdução
À medida que o DeFi continua a revolucionar o cenário financeiro, a segurança permanece uma preocupação significativa dentro do ecossistema, com bilhões de dólares em perdas todos os anos.
De acordo com os dados da Chainalysis, os hacks de DeFi em 2023 causaram perdas superiores a US$ 1,1 bilhão. Embora esse número tenha diminuído em comparação com 2022, houve múltiplas novas tendências nos hacks de DeFi em 2023. Por exemplo, protocolos respeitáveis, como Curve e KyberSwap, que operavam com segurança há anos, foram hackeados. Além disso, hacks sofisticados voltados a vulnerabilidades de infraestrutura, como o Flashbots relay, foram expostos.
No primeiro semestre de 2024, mais de cinquenta hacks causando perdas superiores a US$ 100 mil ocorreram, de acordo com a Security Incidents Library.
A segurança é um fator crucial para a prosperidade e adoção massiva das aplicações DeFi. Isso ocorre porque os protocolos DeFi gerenciam bilhões de dólares em ativos de usuários, e quaisquer hacks direcionados a esses protocolos podem resultar em perdas significativas para os usuários afetados. Embora, em alguns casos, os fundos hackeados possam ser (parcialmente) recuperados (como no incidente de segurança da Euler), não podemos contar com isso sempre. Cada ataque corrói a confiança das pessoas no DeFi.
Mesmo que múltiplos métodos tenham sido propostos para aprimorar a segurança do DeFi, ainda há muito espaço para melhorias.
- Pelo lado positivo, a auditoria de código tornou-se um consenso da comunidade para garantir a segurança. A maioria dos protocolos passa por auditorias de código antes do lançamento, o que ajuda a reduzir as superfícies de ataque causadas por vulnerabilidades nos contratos inteligentes.
- No entanto, a auditoria de código sozinha está longe de ser suficiente para resolver todas as questões de segurança. Ela não pode prevenir hacks resultantes de vulnerabilidades introduzidas durante atualizações de contratos inteligentes, mudanças de configuração e dependências em tempo de execução entre diferentes protocolos.
Devido a essas limitações, soluções mais proativas, como monitoramento operacional ou sistemas de detecção de ataques, surgiram e foram adotadas por alguns protocolos.
Neste blog, exploraremos o DeFi Security Landscape traçando a jornada de segurança de um protocolo em diferentes estágios, desde a fase de pré-lançamento, passando pelo estágio operacional, até a resposta a ataques. Detalharemos vários tipos de medidas de segurança e destacaremos os principais fornecedores (produtos) em cada estágio, discutindo seus prós e contras. Esperamos que nossas percepções possam ajudar a comunidade a entender melhor o estado da arte e, mais importante, inspirar soluções inovadoras no futuro.
DeFi Security Landscape
As medidas de segurança para um protocolo DeFi devem abranger todo o seu ciclo de vida, desde o estágio de pré-lançamento até o estágio de pós-lançamento, garantindo tanto a segurança inerente quanto a operacional do protocolo. Além disso, é essencial ter medidas preventivas e planos de contingência para lidar com possíveis ataques. Para ajudar os leitores a entender as soluções disponíveis, classificamos os fornecedores (produtos) de segurança DeFi nas seguintes categorias.
Segurança Pré-Lançamento
Esta categoria consiste nas medidas de segurança realizadas antes do lançamento de um protocolo, incluindo auditoria de código, verificação formal e testes de segurança.
Serviço e Concurso de Auditoria de Código
A auditoria de código é uma prática de segurança bem aceita na comunidade para proteger um protocolo. Durante esse processo, o código é revisado por empresas de segurança de forma semiautomática, ou seja, verificando automaticamente o código em busca de vulnerabilidades comuns e revisando manualmente o código em busca de vulnerabilidades mais complexas. Empresas representativas incluem OpenZeppelin, ChainSecurity, BlockSec, entre outras.
Além disso, existem plataformas de concursos de auditoria, que diferem das empresas de auditoria de segurança na forma como a auditoria é realizada. Essas plataformas iniciam o concurso de auditoria, envolvendo pesquisadores de segurança da comunidade para conduzir o concurso e distribuindo as recompensas para quem encontrar problemas no protocolo. Claro, as plataformas podem ter algumas diferenças sutis na forma de avaliar a gravidade, no algoritmo de distribuição de recompensas e nos critérios para envolver o pesquisador de segurança. Essas plataformas incluem Code4rena, SHERLOCK, Cantina e Secure3.
A auditoria de código (e os concursos) é a principal linha de defesa para a segurança do protocolo. No entanto, ela tem limitações práticas, o que explica por que muitos protocolos auditados por empresas respeitáveis ainda são hackeados.
- Primeiro, a auditoria de código estática não pode avaliar completamente os problemas de segurança causados por dependências de protocolo, especialmente devido à composabilidade dos protocolos DeFi.
- Segundo, o impacto de segurança de alguns problemas foi subestimado durante a auditoria de código. Por exemplo, a perda de precisão é um problema comum e pode ser negligenciada tanto por auditores quanto por protocolos. Seu impacto na segurança não foi totalmente reconhecido pela comunidade até os incidentes da Hundred Finance e da Channels Finance.
- Por último, mas não menos importante, uma auditoria de código de alta qualidade continua sendo um recurso prestigioso e escasso, exigindo talento multidisciplinar proficiente em segurança, finanças e ciência da computação. Poucas universidades podem fornecer esse talento de forma consistente e em larga escala atualmente. Assim, protocolos podem ser auditados por empresas que não estão qualificadas para realizar esse trabalho.
Verificação Formal
"Verificação formal é o ato de provar ou refutar a correção de um sistema em relação a uma determinada especificação ou propriedade formal, usando métodos formais da matemática". Como pode provar a correção de sistemas, a verificação formal tem sido aplicada a protocolos DeFi. Especificamente, ela pode garantir que o comportamento de um protocolo DeFi satisfaça a especificação formal. O representante dos produtos de verificação formal para protocolos DeFi é o Prover, desenvolvido pela Certora. Os desenvolvedores fornecem as regras (especificação) e o Prover compara os resultados com as regras para identificar bugs explorando cada possível estado do programa.
O aspecto mais promissor da verificação formal é que ela prova matematicamente a correção do protocolo DeFi. No entanto, na prática, ela ainda tem algumas limitações que dificultam sua ampla adoção.
- Primeiro, a especificação deve ser fornecida pelos desenvolvedores, o que exige que eles tenham uma especificação bem documentada do comportamento esperado do protocolo. Isso não é fácil, considerando que a maioria dos desenvolvedores não são especialistas nessa área.
- Segundo, a atualização frequente de um protocolo pode exigir especificações atualizadas e uma reavaliação do protocolo. Alguns protocolos podem não ter o tempo e o esforço necessários para isso.
No entanto, a verificação formal deve ser realizada pelos protocolos, particularmente pelos novos que ainda não foram testados em batalha e que gerenciam ativos substanciais de usuários. No entanto, melhorar a usabilidade e aumentar a taxa de adoção da verificação formal continua sendo um desafio contínuo.
Testes de Segurança
Os testes de segurança referem-se ao processo de usar casos de teste para encontrar bugs em um protocolo. Comparados à verificação formal, que prova matematicamente a correção do protocolo, os testes de segurança geralmente usam entradas concretas em vez das entradas simbólicas usadas na verificação formal, tornando-os muito mais eficientes, porém menos rigorosos.
- Foundry é uma das estruturas de desenvolvimento e testes populares para contratos inteligentes. Os desenvolvedores podem executar os testes no Foundry. Ele também oferece a capacidade de realizar testes de fuzzing, testes de invariantes e testes diferenciais em protocolos DeFi.
- Outras ferramentas de testes de segurança incluem Tenderly e Hardhat.
Segurança Pós-Lançamento
Esta categoria consiste nas medidas de segurança realizadas após o lançamento de um protocolo (ou quando ele está ativo na mainnet), incluindo bug bounty, detecção de ataques e monitoramento operacional.
Bug Bounty
Os programas de bug bounty criam uma ponte entre protocolos e pesquisadores de segurança. O conceito fundamental é incentivar os pesquisadores a relatar vulnerabilidades de dia zero em troca de recompensas. Especificamente, os protocolos podem listar suas recompensas em plataformas de bug bounty, detalhando o escopo da recompensa e o valor da recompensa para os bugs relatados. Immunefi é uma plataforma representativa de bug bounty Web3.
Detecção de Ataques
As plataformas de detecção de ataques escaneiam transações para localizar as maliciosas. Especificamente, essas plataformas verificam as transações que interagem com um protocolo em busca de comportamentos maliciosos. Se tal transação ocorrer, um alerta será acionado.
- Por exemplo, o BlockSec Phalcon Security escaneia as transações e utiliza um mecanismo de detecção baseado em comportamento para detectar atividades maliciosas (como contratos ou propostas maliciosas). Pense nele como um guarda de segurança virtual que observa cada etapa de uma transação financeira, procurando por qualquer comportamento suspeito. Ele extrai os padrões de comportamento dessas transações, assim como um detetive analisando pistas, e então usa modelos financeiros—semelhantes aos usados por bancos para detectar fraudes—para identificar possíveis ataques.
- Sistemas semelhantes incluem os produtos fornecidos pela Hypernative e pela Hexagate.
- Além disso, a Venn Security network da Ironblocks fornece uma infraestrutura descentralizada para combinar os resultados de detecção de múltiplas fontes.
Monitoramento Operacional
As estruturas de monitoramento operacional fornecem uma forma de implementar a segurança operacional para protocolos DeFi. Por exemplo, o protocolo DeFi precisa saber sobre mudanças de chave de administrador, realizar implantação e atualização de contratos inteligentes, e escanear automaticamente pull requests em busca de vulnerabilidades de segurança.
- O OpenZeppelin Defender fornece uma plataforma que permite aos desenvolvedores codificar, implantar e operar contratos inteligentes com segurança.
- O BlockSec Phalcon Security pode monitorar riscos associados a atualizações de contratos, criação de transações em Safe wallet, novas assinaturas e execuções, controle de acesso e governança.
- A Forta Network possui uma infraestrutura que permite aos usuários criarem seus próprios bots para monitorar seus protocolos ou se inscreverem em bots existentes para alertas de phishing ou ameaças.
Resposta a Ataques
Esta categoria consiste nas medidas de segurança acionadas quando um ataque acontece, incluindo bloqueio de ataques, ação automática, war room, análise de causa raiz e rastreamento do fluxo de fundos do atacante.
Entre as cinco medidas em Resposta a Ataques, o bloqueio de ataques é particularmente notável, pois permite que as equipes de projeto implantem medidas preventivas com antecedência, bloqueando com sucesso os ataques antes de sua execução e minimizando as perdas a zero. As plataformas de resposta automática também ajudam a reduzir os danos causados pelos ataques.
Estabelecer uma war room, conduzir uma análise de causa raiz e rastrear fundos roubados são etapas reativas realizadas após um ataque ter ocorrido. Embora essas estratégias possam mitigar alguns danos e ajudar a prevenir ataques semelhantes no futuro, as perdas já podem ter ocorrido e podem ser difíceis de recuperar. Além disso, o dano à reputação do projeto e a consequente perda de confiança do usuário podem ser profundos.
Os riscos estão em toda parte e frequentemente fora de controle, mas optar por implantar medidas de defesa preventivas está totalmente ao alcance e é altamente recomendado.
Bloqueio de Ataques
A detecção de ataques não é suficiente ao combater hacks na prática. Isso ocorre porque, sem a capacidade de bloquear automaticamente os hacks, as respostas manuais não são rápidas o suficiente. Em alguns casos (KyberSwap, Gamma Strategies e Telcoin na tabela a seguir), leva alguns minutos e até horas para o protocolo tomar uma ação manual, o que é tarde demais para salvar os ativos no protocolo. Em ataques recentes ao Velocore e ao Rho, toda a cadeia Linea e Scroll foi pausada, respectivamente, o que levanta preocupações sobre a centralização da cadeia L2.
O bloqueio de ataques é a capacidade de prevenir hacks automaticamente, exigindo duas técnicas principais: detecção precoce e front-running automático de hacks.
- Detecção precoce significa que o sistema pode identificar transações de ataque antes de serem finalizadas na blockchain, especificamente enquanto ainda estão pendentes no mempool.
- Fazer o front-running do ataque envolve colocar uma transação na cadeia à frente da transação de ataque para pausar o protocolo, efetivamente interrompendo o ataque antes que ele possa ser executado.
Nesta categoria, o BlockSec Phalcon Security é o único produto que possui essas técnicas essenciais. Depois que um hacker inicia uma transação de ataque, o mecanismo de monitoramento de ataques do Phalcon Security pode detectar essa transação imediatamente, enviar alertas de ataque aos usuários e realizar automaticamente o front-running para pausar o protocolo, reduzindo as perdas a zero. Suas técnicas essenciais foram testadas em batalha com mais de vinte resgates de mais de 20 milhões de dólares.
Ação Automática
Plataformas como Phalcon Security, Hexagate e Hypernative também podem responder automaticamente quando um ataque ocorre.
Após se inscrever nessas plataformas, os usuários podem configurar medidas de monitoramento e resposta para vários riscos de protocolo. Se uma transação atender às regras de monitoramento, o sistema iniciará automaticamente as ações de resposta pré-definidas pelo usuário (como pausar o protocolo), reduzindo assim as perdas.
No entanto, algumas plataformas não possuem um mecanismo de detecção de ataques, e o sistema não pode reconhecer diretamente transações de ataque e notificar o usuário. Em vez disso, exige que os usuários personalizem sob quais condições uma transação pode ser considerada um ataque. Como as características das transações de ataque são muito complexas, e os usuários (geralmente desenvolvedores de contratos) podem não ter conhecimento suficiente de segurança, isso pode ser bastante desafiador para eles.
War Room
Estabelecer uma war room é necessário quando um protocolo está sob ataque. Isso pode ajudar o protocolo a entender o que está acontecendo, compartilhar a inteligência na comunidade e aproveitar os recursos para ações futuras. Isso geralmente envolve especialistas de diferentes perspectivas.
O SEAL 911 é um projeto para "dar a usuários, desenvolvedores e pesquisadores de segurança uma forma acessível de se conectar com um pequeno grupo de profissionais de segurança altamente confiáveis em caso de emergência." Ele pode ser acessado pelo SEAL 911 Telegram Bot. Em caso de um projeto sob ataque, uma war room pode ser estabelecida para auxiliar o protocolo.
Análise de Causa Raiz
Quando ocorre um ataque, o protocolo precisa entender a causa raiz, como a vulnerabilidade dentro dos contratos inteligentes e como ela foi explorada. Isso requer algumas ferramentas úteis para analisar as transações de ataque. Phalcon Explorer, OpenChain e Tenderly podem ser usados para esse propósito.
Rastreamento do Fluxo de Fundos
O rastreamento do fluxo de fundos serve para rastrear os fundos iniciais do atacante e os lucros do ataque na blockchain, a fim de localizar os endereços e entidades relacionados. Se os ativos estiverem fluindo para entidades centralizadas (por exemplo, exchanges centralizadas e outras entidades de nível institucional), as autoridades policiais podem ser contatadas para ajudar a congelar os fundos.
Existem várias empresas e ferramentas nessa categoria, incluindo Chainalysis, TRM Labs, ARKHAM, ELLIPTIC, MetaSleuth e outras.
- Por exemplo, o MetaSleuth, desenvolvido pela BlockSec, pode rastrear automaticamente os fundos em diferentes cadeias, com rótulos ricos de endereços de carteira.
- A ARKHAM possui uma comunidade onde o protocolo pode colocar uma recompensa na investigação, incentivando a comunidade a ajudar a rastrear os fundos do atacante.
Recursos Educacionais de Segurança
Mentes informadas constroem defesas mais fortes. Além dos fornecedores e produtos de segurança mencionados acima, há outro componente crucial da segurança DeFi: as plataformas educacionais.
Essas plataformas fornecem recursos essenciais para profissionais e usuários de DeFi entenderem insights de segurança, aumentarem a conscientização e desenvolverem habilidades de segurança. Elas desempenham um papel vital no avanço da segurança DeFi. Expressamos nossa apreciação a essas plataformas educacionais e listamos alguns exemplos notáveis.
- SΞCURΞUM: Uma comunidade no Discord focada em segurança Ethereum. Também organiza um quiz mensal de segurança de contratos inteligentes, o "Secureum RACE."
- Security Incidents Library: Esta plataforma coleta todos os incidentes de ataque que causaram perdas superiores a US$ 100 mil, detalhando perdas, cadeias afetadas, vulnerabilidades, causas raiz e PoCs.
- Rekt: Conhecido como a dark web do jornalismo DeFi, o Rekt fornece análises aprofundadas de exploits, hacks e golpes dentro do ecossistema.
- RugDoc: Uma comunidade de segurança e educação DeFi que avalia os riscos de projetos. Também apresenta uma plataforma chamada RugDocWiKi, que introduz o ecossistema e a tecnologia DeFi.
- DeFiHackLabs: Uma comunidade de segurança Web3 com mais de 2.600 membros e quase 200 hackers white-hat, com o objetivo de unir a expertise de segurança Web2 e Web3.
- Solodit: Uma plataforma que compila relatórios históricos de várias empresas de auditoria Web3, servindo como um recurso valioso para auditores de contratos inteligentes.
- Ethernaut: Um jogo baseado em Web3/Solidity, onde os jogadores identificam vulnerabilidades em contratos Ethereum, semelhante aos desafios CTF.
Conclusão
A segurança continua sendo uma ameaça séria e contínua ao ecossistema DeFi, causando bilhões em perdas a cada ano. Atualmente, a maior parte das medidas de segurança é realizada na fase de pré-lançamento. No entanto, não há uma solução mágica em segurança, e diferentes métodos devem ser aplicados durante todo o ciclo de vida de um protocolo DeFi. Esperamos que o setor adote soluções de segurança pós-lançamento, para monitorar e, mais importante, bloquear automaticamente os ataques. Antecipamos que uma cultura que prioriza a segurança será estabelecida no ecossistema para proteger totalmente os ativos dos usuários.
