CSO Polygon звинувачує прогалини в безпеці Web2 у недавній хвилі хакерів

Головний спеціаліст із безпеки Polygon Мудіт Гупта закликав компанії Web3 наймати традиційних експертів із безпеки, щоб покласти край хакам, яким легко запобігти, стверджуючи, що ідеального коду та криптографії недостатньо.

У розмові з Cointelegraph Гупта підкреслив, що кілька нещодавніх зломів у криптовалюті були здебільшого результатом уразливостей у системі безпеки Web2, таких як керування приватними ключами та фішингові атаки для отримання логінів, а не погано розробленої технології блокчейну.

Доповнюючи свою тезу, Гупта підкреслив, що отримати сертифікований аудит безпеки смарт-контракту без застосування стандартних практик кібербезпеки Web2 недостатньо для захисту протоколу та гаманців користувача від експлуатації:

«Я наполягав принаймні на всі великі компанії отримати спеціальну службу безпеки, яка дійсно знає, що управління ключами є важливим».

«У вас є ключі API, які використовуються десятиліттями. Отже, є відповідні найкращі практики та процедури, яких слід дотримуватися. Щоб зберегти ці ключі в безпеці. Для цих речей має бути належне ведення журналу аудиту та належне управління ризиками. Але, як ми бачили, ці криптокомпанії просто проігнорували все це», – додав він.

Хоча блокчейни часто децентралізовані на сервері, «користувачі взаємодіють з [applications] через централізований веб-сайт», тому слід завжди «турбуватися про впровадження традиційних заходів кібербезпеки, пов’язаних із такими факторами, як система доменних імен (DNS), веб-хостинг і безпека електронної пошти», — сказав Гупта.

Гупта також підкреслив важливість управління приватними ключами, посилаючись на Злом мосту Ронін на 600 мільйонів доларів і Злом Horizon bridge на 100 мільйонів доларів як хрестоматійні приклади необхідності посилити процедури безпеки закритого ключа:

«Ці хаки не мали нічого спільного з безпекою блокчейну, код був нормальним. Криптографія була в порядку, все було добре. Крім ключа управління не було. Приватні ключі […] не зберігалися надійно, і архітектура працювала так: якщо ключі були скомпрометовані, весь протокол був скомпрометований».

Гупта припустив, що поточні настрої компаній, які займаються блокчейном і Web3, такі, що якщо «ви піддалися фішинговій атаці, це ваша проблема», але стверджував, що «якщо ми хочемо масового впровадження», компанії Web3 повинні взяти на себе більше відповідальності, а не робити лише власне мінімум.

“Для нас […] ми не хочемо лише мінімальної безпеки, щоб уникнути відповідальності. Ми хочемо, щоб наш продукт був дійсно безпечним для користувачів […] тому ми думаємо про те, в які пастки вони можуть потрапити, і намагаємося захистити користувачів від них».

Polygon — це платформа взаємодії та масштабування для побудови блокчейнів, сумісних з Ethereum, що дозволяє розробникам створювати масштабовані та зручні децентралізовані програми.

пов’язані: Перехрестя ланцюжків у перехресті: Хаки вимагають кращих захисних механізмів

Маючи команду з 10 експертів із безпеки, які зараз працюють у Polygon, Mudit тепер хоче, щоб усі компанії Web3 використовували такий самий підхід.

Дотримуючись Злом Nomad bridge за 190 мільйонів доларів у серпні, Згідно з аналітичною компанією Chainalysis, кількість криптозломів перевищила позначку в 2 мільярди доларів.