Cryptoverse: Blockchain-bruggen vallen in troebel water

Voorstellingen van cryptocurrency Bitcoin, Ethereum en Dash die in het water zinken in deze illustratie, genomen op 23 mei 2022. REUTERS / Dado Ruvic / Illustratie

9 augustus (Reuters) – Nog een dag, nog een hack en een andere blockchain-brug brandt uit.

Toen dieven vorige week naar schatting $ 190 miljoen stalen van het Amerikaanse cryptobedrijf Nomad, was het de zevende hack van 2022 om een ​​steeds belangrijker radertje in de cryptomachine aan te vallen: Blockchain-“bruggen” – reeksen code die helpen bij het verplaatsen van cryptocurrencies tussen verschillende applicaties. Lees verder

Tot nu toe hebben hackers dit jaar voor bijna 1,2 miljard dollar aan crypto van de bruggen gestolen, blijkt uit gegevens van het in Londen gevestigde blockchain-analysebedrijf Elliptic, meer dan het dubbele van het totaal van vorig jaar.

“Dit is een oorlog waarin noch het cyberbeveiligingsbedrijf noch het winnende project de winnaar kan zijn”, zegt Rongwe Ho, hoogleraar computerwetenschappen aan de Columbia University in New York en medeoprichter van cyberbeveiligingsbedrijf CertiK.

“We moeten veel projecten beschermen. Voor hen (de hackers) als ze naar het ene project kijken en er zijn geen fouten, kunnen ze gewoon doorgaan naar het volgende project, totdat ze een zwakke plek vinden.”

Momenteel draaien de meeste digitale tokens op hun eigen unieke blockchain, wat in wezen een openbaar digitaal grootboek is dat cryptotransacties registreert. Hierdoor bestaat het risico dat projecten die deze munten gebruiken geïsoleerd raken, waardoor het potentieel voor wijdverbreid gebruik wordt verkleind.

Blockchain-bruggen zijn bedoeld om deze muren af ​​te breken. Backers zeggen dat ze een sleutelrol zullen spelen in ‘Web3’ – de zeer populaire visie van een digitale toekomst waarin cryptocurrencies betrokken zijn bij het online leven en de handel.

Maar bruggen kunnen de zwakste schakel zijn.

De Nomad-hack was de achtste grootste cryptodiefstal ooit. Andere bridgediefstallen dit jaar zijn diefstal van $615 miljoen in Ronin, gebruikt in een populair online spel, en $320 miljoen in Wormhole, gebruikt in zogenaamde gedecentraliseerde financiële toepassingen. Lees verder

“Blockchain-bruggen zijn de meest vruchtbare voedingsbodem voor nieuwe kwetsbaarheden”, zegt Steve Pacey, mede-oprichter en CEO van PolySwarm-malwaredetector.

achillespees

Nomad en andere bedrijven die blockchain-bridgesoftware maken, hebben steun aangetrokken.

Slechts vijf dagen voordat het werd gehackt, zei het in San Francisco gevestigde Nomad dat het $ 22,4 miljoen had opgehaald van investeerders, waaronder de grote beurs Coinbase Global. (MUN.O). Nomad CEO en mede-oprichter Pranai Mohan heeft zijn beveiligingsmodel beschreven als de “gouden standaard”.

Nomad reageerde niet op verzoeken om commentaar.

Ze zei dat ze samenwerkt met wetshandhavingsinstanties en een blockchain-analysebedrijf om de gestolen fondsen op te sporen. Eind vorige week kondigde het een beloning aan van maximaal 10% voor het teruggeven van het gehackte geld van de brug. Op zaterdag zei het dat het tot nu toe meer dan $ 32 miljoen aan gehackte fondsen heeft teruggevonden.

“Het belangrijkste in crypto is de gemeenschap, en ons belangrijkste doel is om het geld van onderling verbonden gebruikers terug te krijgen”, zei Mohan. “We zullen elke partij die 90% of meer van het gebruikte geld teruggeeft, behandelen als witte hoeden. We zullen witte hoeden niet vervolgen”, zei hij, verwijzend naar de zogenaamde ethische hackers.

Verschillende cyber- en blockchain-beveiligingsexperts vertelden Reuters dat de complexiteit van bruggen betekent dat ze de achilleshiel kunnen zijn van de projecten en applicaties die ze gebruiken.

Ganesh Swami, CEO van blockchain-databedrijf Covalent in Vancouver, dat een cryptocurrency had opgeslagen op Nomad’s bridge toen het werd gehackt, zei.

Sommige bruggen maken bijvoorbeeld kopieën van cryptocurrencies die ze compatibel maken met verschillende blokketens, terwijl de originele munten in reserve worden gehouden. Anderen vertrouwen op slimme contracten, complexe toezeggingen die automatisch deals uitvoeren.

De betrokken code kan al deze bugs of andere gebreken bevatten, waardoor de deur open kan blijven voor hackers.

Bugbeloningen

Dus wat is de beste manier om het probleem aan te pakken?

Sommige experts zeggen dat slimme contractaudits kunnen helpen beschermen tegen cyberdiefstal, evenals ‘bug bounty’-programma’s die open source-beoordelingen van slimme contractcode stimuleren.

Anderen pleiten voor minder focus op bridge control door individuele bedrijven, iets wat volgens hen de flexibiliteit en transparantie van code zou kunnen vergroten.

“Bruggen over de keten zijn een aantrekkelijk doelwit voor hackers omdat ze vaak profiteren van een gecentraliseerde infrastructuur, waarvan de meeste activa opsluiten”, zegt Victor Young, oprichter en hoofdarchitect van het Amerikaanse blockchain-bedrijf Analog.

Aanvullende rapportage door Tom Wilson in Londen en Medha Singh in Bengaluru; Bewerkt door Praveen Sharo

Onze criteria: Thomson Reuters Vertrouwensprincipes.