Récemment, un rapport de retour d'expérience sur un incident de sécurité impliquant un certain protocole DeFi ayant subi une attaque de hacker a suscité de vives discussions dans l'industrie. Ce rapport présente une transparence extrême en ce qui concerne les détails techniques et la réponse d'urgence, et peut être qualifié de niveau scolaire. Cependant, en répondant à la question centrale "Pourquoi avons-nous été piratés ?", l'attitude du rapport semble quelque peu éluder les points essentiels.
Le rapport explique en détail les erreurs de vérification d'une certaine fonction de bibliothèque mathématique, les qualifiant de "malentendus sémantiques". Bien que cette description soit techniquement défendable, elle déplace habilement le focus vers une responsabilité externe, laissant entendre que le protocole n'est qu'une des victimes de ce défaut technique.
Cependant, une analyse approfondie des chemins d'attaque des hackers révèle que pour réaliser une attaque aussi parfaite, quatre conditions doivent être remplies simultanément : une vérification de débordement incorrecte, des opérations de décalage importantes, des règles d'arrondi et un manque de vérification de la rationalité économique. Fait surprenant, le protocole a négligé chacune des conditions de "déclenchement", par exemple en acceptant des sommes astronomiques comme entrée utilisateur, en utilisant des opérations de décalage extrêmement dangereuses, en faisant entièrement confiance aux mécanismes de vérification des bibliothèques externes, et le plus mortel est que lorsque le système a calculé un taux d'échange absurde, il a été exécuté directement sans aucune vérification de bon sens économique.
Cet événement met en évidence de graves problèmes au sein de l'équipe du protocole dans plusieurs domaines :
Sensibilisation à la sécurité de la chaîne d'approvisionnement insuffisante : bien que des bibliothèques open source largement utilisées aient été utilisées, lors de la gestion d'actifs massifs, il n'a pas été possible de bien comprendre les limites de sécurité de cette bibliothèque et les éventuelles situations de défaillance.
Manque de talents en gestion des risques financiers : permettre l'entrée de chiffres astronomiques déraisonnables montre que l'équipe manque d'experts en gestion des risques ayant une intuition financière.
Dépendance excessive aux audits de sécurité : après plusieurs audits de sécurité, aucun problème n'a été détecté, mettant en lumière l'erreur du projet de confier entièrement la responsabilité de la sécurité à des sociétés de sécurité.
Cet exemple révèle en profondeur les faiblesses systémiques en matière de sécurité de l'industrie de la Finance décentralisée : les équipes ayant un parcours purement technique manquent souvent de "sensibilité au risque financier".
Pour relever ce défi, les équipes de projet DeFi devraient :
Introduire des experts en gestion des risques financiers pour combler les lacunes de connaissance de l'équipe technique.
Établir un mécanisme d'audit et de révision multilatéral, en se concentrant non seulement sur l'audit du code, mais aussi sur l'audit du modèle économique.
Développer un "sens financier", simuler divers scénarios d'attaque et élaborer des mesures d'intervention appropriées.
Restez vigilant face aux opérations anormales.
Avec le développement constant de l'industrie, les bugs techniques purs pourraient progressivement diminuer, mais les "bugs de conscience" dans la logique commerciale deviendront un défi plus important. Les sociétés d'audit ne peuvent garantir que le code est correct, mais assurer que "la logique a des limites" nécessite que l'équipe de projet ait une compréhension et une maîtrise plus approfondies de l'essence de l'entreprise.
À l'avenir, les leaders de l'industrie DeFi seront sans aucun doute des équipes qui non seulement possèdent de solides compétences techniques, mais qui comprennent également en profondeur la logique commerciale. Elles seront capables de trouver le parfait équilibre entre innovation technologique et gestion des risques financiers, offrant aux utilisateurs des services financiers décentralisés à la fois sûrs et efficaces.
Cette page peut inclure du contenu de tiers fourni à des fins d'information uniquement. Gate ne garantit ni l'exactitude ni la validité de ces contenus, n’endosse pas les opinions exprimées, et ne fournit aucun conseil financier ou professionnel à travers ces informations. Voir la section Avertissement pour plus de détails.
14 J'aime
Récompense
14
7
Partager
Commentaire
0/400
DaoResearcher
· 07-18 18:04
Selon les statistiques de la plateforme, 93 % des incidents de hacker sont essentiellement dus à l'échec du contrôle des risques économiques, le bug technique n'étant qu'un point de déclenchement, référence de la littérature [2018, Chen]
Voir l'originalRépondre0
GateUser-74b10196
· 07-18 14:04
Cette poêle tourne vraiment bien.
Voir l'originalRépondre0
0xSunnyDay
· 07-16 21:28
Encore en train de rejeter la faute, n'est-ce pas ? J'en ai marre.
Voir l'originalRépondre0
MagicBean
· 07-16 21:28
Encore rejeté la faute en disant que les fonctions de bibliothèque ont un problème.
Voir l'originalRépondre0
TokenVelocity
· 07-16 21:23
C'est bien de passer la balle !
Voir l'originalRépondre0
MemecoinResearcher
· 07-16 21:11
mdr classique jeu de blâme... mes modèles de régression ont vu cela venir pour être honnête
Finance décentralisée protocole遭 Hacker攻击：纯技术视角难以应对金融风险
Récemment, un rapport de retour d'expérience sur un incident de sécurité impliquant un certain protocole DeFi ayant subi une attaque de hacker a suscité de vives discussions dans l'industrie. Ce rapport présente une transparence extrême en ce qui concerne les détails techniques et la réponse d'urgence, et peut être qualifié de niveau scolaire. Cependant, en répondant à la question centrale "Pourquoi avons-nous été piratés ?", l'attitude du rapport semble quelque peu éluder les points essentiels.
Le rapport explique en détail les erreurs de vérification d'une certaine fonction de bibliothèque mathématique, les qualifiant de "malentendus sémantiques". Bien que cette description soit techniquement défendable, elle déplace habilement le focus vers une responsabilité externe, laissant entendre que le protocole n'est qu'une des victimes de ce défaut technique.
Cependant, une analyse approfondie des chemins d'attaque des hackers révèle que pour réaliser une attaque aussi parfaite, quatre conditions doivent être remplies simultanément : une vérification de débordement incorrecte, des opérations de décalage importantes, des règles d'arrondi et un manque de vérification de la rationalité économique. Fait surprenant, le protocole a négligé chacune des conditions de "déclenchement", par exemple en acceptant des sommes astronomiques comme entrée utilisateur, en utilisant des opérations de décalage extrêmement dangereuses, en faisant entièrement confiance aux mécanismes de vérification des bibliothèques externes, et le plus mortel est que lorsque le système a calculé un taux d'échange absurde, il a été exécuté directement sans aucune vérification de bon sens économique.
Cet événement met en évidence de graves problèmes au sein de l'équipe du protocole dans plusieurs domaines :
Sensibilisation à la sécurité de la chaîne d'approvisionnement insuffisante : bien que des bibliothèques open source largement utilisées aient été utilisées, lors de la gestion d'actifs massifs, il n'a pas été possible de bien comprendre les limites de sécurité de cette bibliothèque et les éventuelles situations de défaillance.
Manque de talents en gestion des risques financiers : permettre l'entrée de chiffres astronomiques déraisonnables montre que l'équipe manque d'experts en gestion des risques ayant une intuition financière.
Dépendance excessive aux audits de sécurité : après plusieurs audits de sécurité, aucun problème n'a été détecté, mettant en lumière l'erreur du projet de confier entièrement la responsabilité de la sécurité à des sociétés de sécurité.
Cet exemple révèle en profondeur les faiblesses systémiques en matière de sécurité de l'industrie de la Finance décentralisée : les équipes ayant un parcours purement technique manquent souvent de "sensibilité au risque financier".
Pour relever ce défi, les équipes de projet DeFi devraient :
Avec le développement constant de l'industrie, les bugs techniques purs pourraient progressivement diminuer, mais les "bugs de conscience" dans la logique commerciale deviendront un défi plus important. Les sociétés d'audit ne peuvent garantir que le code est correct, mais assurer que "la logique a des limites" nécessite que l'équipe de projet ait une compréhension et une maîtrise plus approfondies de l'essence de l'entreprise.
À l'avenir, les leaders de l'industrie DeFi seront sans aucun doute des équipes qui non seulement possèdent de solides compétences techniques, mais qui comprennent également en profondeur la logique commerciale. Elles seront capables de trouver le parfait équilibre entre innovation technologique et gestion des risques financiers, offrant aux utilisateurs des services financiers décentralisés à la fois sûrs et efficaces.