Почему аудит не всегда закрывает реальные риски
В опубликованном в четверг отчете Hacken пришла к выводу, что значительная часть убытков возникла не из-за ошибок в уже проверенных смарт-контрактах, а из-за слабых мест вокруг них. В эту категорию попали поставщики, инструменты для разработки, публично доступные патчи, которые команды не установили вовремя, а также элементы инфраструктуры, исключенные из актуального аудита.
«Проблема всегда заключается в масштабе. Проверить все компоненты, которые взаимодействуют со средствами или влияют на экономику проекта, дорого, поэтому команды сокращают расходы и отправляют на аудит только критически важные части сервиса», — сказал сооснователь и член совета директоров Hacken Андрей Матюхин.
Такой подход, по оценке компании, создает разрыв между тем, что видит инвестор, и тем, что фактически проверено. Пользователь замечает отметку об аудите и предполагает, что под контроль попала вся система. На деле вне проверки могут оставаться ключи, настройки доступа, решения сторонних поставщиков и механизмы подписи транзакций.
«Обычно клиент видит новый проект, обращает внимание на значок аудита, считает, что проверена вся система, а затем теряет деньги из-за ключа, поставщика или конфигурации, которые вообще не тестировались», — отметил Матюхин.
Крупные атаки квартала
Самым масштабным эпизодом отчетного периода Hacken назвала сентябрьскую атаку на криптовалютную биржу Bitget. Площадка потеряла не менее $352 млн после того, как злоумышленники использовали уязвимость в стороннем продукте безопасности и получили доступ к инфраструктуре вывода средств.
Риски, на которые указывает Hacken, не ограничиваются биржами. На этой же неделе Ledger заявила, что обнаружила несанкционированную «шпионскую» аппаратную установку в устройстве, проданном CryptoBilis, реселлером из Юго-Восточной Азии. Потери в этом случае составили примерно $93 млн.
В июле три криптомоста и межсетевых протокола за шесть часов лишились более $35 млн. На AFX Trade пришлось $24 млн из этой суммы: атакующие получили контроль над ключами валидатора. Среди других заметных инцидентов Hacken указала $319 млн потерь на Liquid Network, как минимум $75 млн на Tectonic и около $114 млн, связанных с программным обеспечением кошелька Coldcard.
Слабые настройки и задержки с исправлениями
Hacken также изучила 12 бирж деривативов и рынков прогнозов. Аналитики обнаружили, что на двух крупных площадках активы на сумму более $700 млн защищены либо схемой подписи с четырьмя ключами, где требуется три подписи, либо административными ключами, владельцы которых публично не раскрыты.
Матюхин отказался назвать эти площадки и раскрывать детальную оценку до публикации отчета. По его словам, признаков активной уязвимости специалисты не нашли, однако часть организационных мер выглядит недостаточной с учетом объема защищаемых средств.
«Мы не выявили активных ошибок в системах ни одной из рассмотренных площадок. Вместо этого мы нашли конфигурации, где ключевые настройки защищены слабее, чем требует масштаб этих площадок», — сказал Матюхин.
Отдельный источник риска — медленное устранение уже известных уязвимостей. Эта проблема особенно опасна, когда несколько блокчейнов используют одно и то же программное обеспечение, но обновляют его в разные сроки.
«Иногда команда классифицирует критическую уязвимость как низкоприоритетную, после чего исправление откладывается или вовсе отклоняется», — отметил Матюхин.
По позиции Hacken, основная ответственность лежит на компаниях, которые хранят средства клиентов. Им необходимо постоянно отслеживать уязвимости и своевременно устанавливать исправления, а не рассчитывать на аудит, проведенный месяцы или годы назад.
coinspot.io
