Sigurnost je nešto čime se bavim posljednjih 15-17 godina. Bez obzira koliko znaš, uvijek će biti neko pametniji, brži ili jači. Ipak, postoji niz pravila i principa koji se nikada ne smiju kršiti. Iskustvo Bybita bilo mi je posebno ilustrativno jer su zaposleni na berzi zanemarili sve glavne bezbednosne pristupe – od fundamentalnih i apstraktnih principa do konkretnih, detaljnih mera. Stoga ću analizirati nekoliko ključnih aspekata na osnovu ovog haka. Nulti princip sigurnosti Pre mnogo godina sam za sebe formulisao ovaj princip: Ako hakovanje vašeg sistema donese milion dolara, a napadača košta samo 10 hiljada dolara, sistem će definitivno biti hakovan. Međutim, ako je za hakovanje potrebno 1,1 miliona dolara, onda se postavlja pitanje: zašto se mučiti? Osim ako, naravno, motiv nije nanošenje štete konkurentu ili izvođenje sajber-napada koji sponzorira država. "Svaki sistem se može hakovati. Pitanje je samo vremena, novca i truda." Ovo načelo je upravo ono što su zaposleni u Bybitu prekršili. Prema prvim intervjuima, vjerovali su da je njihov sistem neranjiv. Ali cijena od 1,4 milijarde dolara promijenila je sve. Gdje god da radite, morate razumjeti da se može hakovati, i . Jedine varijable su novac, vrijeme i trud. Znajući ovo, idemo dalje… sve bilo kada bilo kako Je li hardverski novčanik + Multisig siguran? Da i ne. Hardverski novčanici su uvijek bili napadnuti— i su najbolji primjeri. Drugi brendovi prolaze još gore. Ledger Trezor Međutim, možete ublažiti rizike i smanjiti negativne utjecaje kada koristite hardver/multisig novčanike. Evo nekoliko preporuka prikupljenih od istraživača i ličnog iskustva: : Uvijek se uvjerite da ono što vidite odgovara onome što zapravo potpisujete ili prenosite. Ako primijetite odstupanja, zaustavite se, pauzirajte i pažljivo procijenite situaciju. Provjerite šta potpisujete : Zašto? Novčanici pretraživača imaju opsežnu bazu podataka ugovora i ponekad mogu dati lažne pozitivne rezultate, ali ističu interakcije s novim i, posebno, neprovjerenim ugovorima (što je bilo relevantno u ovom slučaju). Veze novčanika zasnovane na pretraživaču su sigurnije od direktnih : Instalirajte samo zvanični firmver, osim ako ne volite etičko hakovanje. To možete provjeriti na web stranici proizvođača ili putem hash suma. Ažurirajte firmver novčanika : Uvijek provjerite ima li neočekivanih promjena. Ključni koncepti ovdje su i . Simulirajte transakcije prije potpisivanja predprovjera prekid : Neki korisni alati uključuju: Koristite alternativne izvore potvrde Etherscan dekoder ulaznih podataka (koristi se nakon Bybit haka) PalmeraDAO Safe Interface (objašnjeno na povezanoj stranici) CirclesTools SafeViewer Safe je također predstavio alternativna sučelja: PalmeraDAO App EternalSafe Onchainden App Dodati: Safe API Sigurna dokumentacija karakteristike Trezor Ove mjere opreza su samo početak. Sada, uporedimo ih sa lekcijama naučenim iz Radiant hacka: : Svaka anomalija, čak i manja, trebala bi pokrenuti sigurnosni pregled. Višeslojna provjera potpisa : Generiše verifikacione kodove koji odgovaraju podacima hardverskog novčanika. Nezavisni uređaj za verifikaciju transakcija : Izbjegavajte slijepo potpisivanje za kritične transakcije. Poboljšana Ledger/Trezor sigurnost : Ponavljajući problemi bi trebali pokrenuti potpunu reviziju transakcije. Revizija ponovljenih neuspjeha transakcija : Izdvojite i dekodirajte podatke transakcije prije potpisivanja, osiguravajući da funkcije i adrese odgovaraju očekivanjima. Ručna provjera podataka transakcije : Koristite Gnosisov vodič za verifikaciju transakcija na hardverskim novčanicima. Dvostruka potvrda heš poruka Da li je Bybit implementirao nešto od ovoga? Prema dostupnim podacima—ne. Ljudski faktor: najslabija karika Phishing, društveni inženjering i neželjena pošta čine 80% sajber napada. Slučajevi Bybit i Radiant to jasno dokazuju. Da biste ublažili rizike, implementirajte razdvajanje uloga: . Ako imate više potpisnika, oni moraju imati nezavisne kanale za verifikaciju . Promjene vlasništva trebale bi biti složenije od odobrenja transakcija (npr. 1,5 milijardi dolara je pretjerano za bilo koju razmjenu). Hladni novčanici nikada ne bi trebali čuvati više od prihvatljivog praga gubitka . Bilo koja neslaganja u transakciji bi trebala biti podrazumevana kao otkazivanje, a ne odobrenje . Osoblje mora proći stalnu obuku za sigurnost—bar jednom mjesečno sa ekspertizom u multisign novčanicima i naprednim sigurnosnim alatima. Imenujte barem jednog sigurnosnog verifikatora Opet, javni podaci ne potvrđuju da je Bybit slijedio bilo koji od ovih koraka. Mišljenja istraživača Mnogi stručnjaci su se osvrnuli na ovaj hak. Evo nekoliko ključnih perspektiva: @dhkleung @blainemalone @pcaversaccio SlowMist Report @koeppelmann Chainabuse Report Radiant Post-mortem Ključ za poneti? Iako je napad izgledao vrlo tehnički, na kraju je uspio zbog a ne zbog tehnoloških ranjivosti. ljudske greške, Stoga toplo preporučujem da proučite i slučajeve Radiant i WazirX. Jasno je da klinci skripte usvajaju ove tehnike, što znači da će sljedeći cilj biti ne samo razmjena, već i širi spektar kripto projekata. Budite sigurni!
