Por que as carteiras de abstração de contas têm uma baixa taxa de adoção

Carteiras de contato inteligentes padronizadas EIP-4337 e a infraestrutura relacionada. Mas o Account Abstraction ainda está em seus estágios iniciais e tem baixa adoção. Por exemplo, muitos Layer2s ainda precisam suportá-lo. Essas restrições significam que os usuários ainda enfrentam uma curva de aprendizado profundo e um enorme custo de uso.

Ao introduzir uma camada de proxy, as carteiras de abstração de contas (“AA”) visam reduzir as barreiras de entrada de carteiras pessoais e oferecer aos usuários sistemas de contas mais fáceis de usar. Particularmente, as carteiras AA utilizam contratos inteligentes como suas contas e introduziram uma camada de proxy entre contratos inteligentes e usuários, permitindo que o proxy interaja com o blockchain em nome dos usuários. Como resultado, as carteiras AA liberam os usuários finais do fardo de lidar com conceitos complexos de blockchain, como chaves privadas, e podem ser facilmente gerenciadas por e-mail ou telefone.

As carteiras AA são programáveis e oferecem maior flexibilidade no gerenciamento e nos comportamentos da conta. Eles também são atualizáveis e altamente personalizáveis, permitindo que novos recursos e melhorias sejam introduzidos sem atualizar todo o mecanismo de consenso da Ethereum.

Dito isso, acreditamos que a segurança é fundamental para a abstração de contas. Dado que as transações no blockchain são invioláveis e irreversíveis, se a conta de um usuário for comprometida, podem ocorrer perdas irreparáveis. Portanto, ao projetar carteiras AA, vários aspectos de segurança devem ser considerados, incluindo aqueles relacionados ao gerenciamento e uso de contas, armazenamento e proteção de chaves privadas, confirmação e autorização de transações, etc.

Neste artigo, veremos os recursos de segurança e as vulnerabilidades das carteiras AA, discutiremos como encontrar um equilíbrio entre a experiência do usuário e a segurança e exploraremos como as soluções AA evoluirão a seguir.

Abstração de conta e seus benefícios de segurança

Muitas propostas foram feitas para melhorar e padronizar a abstração de contas no Ethereum, sendo o EIP-4337 o avanço mais recente, que mais tarde se tornou o ERC-4337. O ERC-4337 oferece uma abordagem inovadora que permite que as transações sejam iniciadas por contratos inteligentes em vez de contas de propriedade externa (EOAs) sem fazer alterações na camada de consenso do protocolo.

ERC-4337 cria um mempool alternativo para processar transações separadamente do mempool da rede Ethereum principal. As ações das contas e seus campos de dados associados são agrupados e roteados para o mempool, a partir do qual os validadores os coletam e manipulam, criam uma “transação de pacote” e os incluem nos blocos Ethereum.

O objetivo do EIP-4337 é tornar as carteiras mais flexíveis e atualizáveis, permitindo a introdução de recursos como assinatura múltipla e recuperação social, bem como algoritmos de assinatura mais simples e eficientes e assinaturas pós-quânticas seguras. As carteiras ERC-4337 também desfrutam de maior flexibilidade na lógica de verificação da carteira, suportando esquemas de assinatura arbitrária e lógica de verificação nonce.

Esses recursos trazem importantes benefícios de segurança. Em particular, a segurança das carteiras AA é aprimorada nos seguintes aspectos:

• Lógica de verificação : as carteiras AA garantem a legitimidade e a segurança das operações do usuário por meio de uma lógica de verificação mais flexível e avançada, como assinaturas.
• Contrato de ponto de entrada fechado : as carteiras AA terceirizam recursos de segurança complexos para um contrato global chamado ponto de entrada, que é fechado de forma que apenas o ponto de entrada confiável possa fazer com que uma carteira execute quaisquer ações ou pague taxas.
• Camadas separadas de validação e execução : as carteiras AA usam duas funções separadas para lidar com a verificação e execução das operações do usuário, aumentando a segurança e a flexibilidade.
• Validação e simulação de execução : As operações do usuário serão verificadas quanto à legitimidade por meio de uma execução simulada para garantir que possam ser incluídas em um bloco futuro. Isso mantém as carteiras AA de ataques DoS.

AA melhora a segurança e a descentralização das carteiras. Ao adicionar suporte para recursos como mecanismos de proteção e armazenamento de chaves privadas e multisig, as carteiras AA podem proteger melhor a segurança dos ativos do usuário e garantir a confiabilidade das transações. No entanto, essas medidas de segurança não fornecem 100% de segurança contra ataques e brechas. Ainda há espaço para pesquisas e melhorias contínuas. Atualmente, o foco do mercado continua mais no paradigma tecnológico do que nas necessidades e experiência do usuário.

Vulnerabilidades de carteiras de abstração de contas

O armazenamento de chaves privadas é o link mais vulnerável em uma carteira. É imperativo que as carteiras AA garantam que as chaves privadas dos usuários sejam armazenadas em locais seguros e que sejam tomadas medidas amplas para impedir o acesso não autorizado. Os ataques online são outra grande ameaça à segurança das carteiras AA. As chaves privadas dos usuários podem ser obtidas por invasores por meio de phishing, malware e outros meios, resultando no roubo de seus ativos digitais.

Conforme mencionado anteriormente, em uma carteira AA, a funcionalidade do mempool de transação do Ethereum é replicada em um sistema de nível superior. Em vez de enviar transações diretamente para o blockchain, os usuários enviam objetos UserOperation para o mempool alternativo, a partir do qual os validadores ou empacotadores os empacotam em uma única “transação de pacote” e os enviam para o contrato de ponto de entrada. O contrato do Entry Point orquestra a execução das contas do contrato e garante que o validador/Pacote seja devidamente compensado pela taxa de transação.

Esse esquema garante a segurança de uma carteira, permitindo que apenas o ponto de entrada confiável faça com que uma carteira execute qualquer transação ou ação, como pagar a taxa ou incrementar o nonce. Também torna as contas de usuário mais “programáveis”.

Comparado com outras propostas, como EIP-2938 e EIP-3074, o EIP-4337 é o que mais se aproxima da abstração total da conta sem nenhuma alteração na camada de consenso. No entanto, ele divide o processo de transação em várias etapas, levando a uma complexidade adicional e a mais sobrecarga de gás do que as transações regulares. E também dá origem a potenciais lacunas. Além disso, como é incompatível com o fluxo de trabalho dos protocolos de carteira existentes, sua adoção pode ser afetada.

Para resolver os problemas de segurança mencionados acima, as soluções de carteira AA podem empregar várias medidas para aumentar ainda mais a segurança, mantendo uma boa experiência do usuário. Multi-sig é um deles. Ou seja, a confirmação de vários usuários é necessária para executar uma transação. Isso reduzirá significativamente a probabilidade de ataques bem-sucedidos. O uso de carteiras de hardware para armazenar as chaves privadas dos usuários também pode aumentar a segurança porque as carteiras de hardware protegem as chaves privadas de serem roubadas, mantendo-as isoladas dos dispositivos conectados à Internet.

Encontrar um equilíbrio entre a experiência do usuário e a segurança

No design de carteiras AA, a segurança deve ser uma consideração primordial. Embora seja importante fornecer uma boa experiência ao usuário, defeitos na segurança podem expor os ativos do usuário a perigos e riscos de segurança, resultando em sérias consequências. Como os desenvolvedores devem encontrar um equilíbrio entre segurança e experiência do usuário? Acreditamos que é necessário considerar pelo menos os quatro aspectos a seguir.

1. Gerenciamento de chaves privadas: é importante que as chaves privadas dos usuários sejam gerenciadas com segurança em carteiras AA para proteger seus ativos de possíveis ataques. Isso pode ser alcançado usando medidas como algoritmos de criptografia, carteiras de hardware e autenticação multifator. No entanto, medidas de segurança excessivamente rigorosas podem resultar em uma diminuição na experiência do usuário, como exigir autenticação de identidade frequente ou várias etapas de autenticação. Portanto, os desenvolvedores precisam encontrar um equilíbrio entre os dois para garantir a segurança das chaves privadas e a conveniência do processo de autenticação para os usuários que acessam seus ativos.
2. Confirmação de transação: as carteiras AA precisam fornecer confirmação de transação oportuna e processamento rápido de transação para oferecer uma boa experiência ao usuário. Enquanto isso, eles devem ser capazes de detectar e rejeitar pagamentos duplos e outras atividades fraudulentas. Medidas tecnológicas como as que podem ser usadas para equilibrar os requisitos de segurança e velocidade de transação, garantindo a segurança dos ativos e uma experiência de usuário tranquila.
3. Suporte Multichain: A compatibilidade multichain é uma tendência para todos os produtos Web3. As carteiras AA à prova de futuro devem ser capazes de suportar vários blockchains para atender às necessidades dos usuários em vários blockchains. No entanto, cada ecossistema está adotando AA com pequenas variações, o que cria incerteza sobre como será a implementação final de AA para cada cadeia e VM. Assim, ao adotar a abstração de contas, pode ser necessário considerar o trabalho necessário para alcançar a interoperabilidade entre diferentes ecossistemas. Além disso, cada cadeia tem seus recursos de segurança exclusivos e requisitos de experiência do usuário, que também devem ser observados ao tentar encontrar um equilíbrio entre segurança e experiência do usuário.
4. Custo: O custo das transações on-chain pode ser um fator proibitivo para o desenvolvimento de aplicativos. Mesmo se presumirmos que a maioria das transações ocorrerá em Layer2s e as taxas serão subsidiadas, o custo de implantação e atualizações em escala ainda pode ser caro. Particularmente com carteiras AA, atualizar carteiras requer atualizar os contratos inteligentes subjacentes, que podem introduzir novas vulnerabilidades e ficar muito caros.

O futuro das soluções de abstração de contas

Considerando fatores como experiência e segurança do usuário, acreditamos que as soluções de carteira AA no Ethereum têm o maior potencial de crescimento e ganho de tração. As soluções AA no ecossistema Ethereum, como zkSync, Fuse Network e zkSafe, são normalmente flexíveis, seguras e fáceis de usar em seu design, proporcionando uma boa experiência ao usuário. Mas eles também enfrentam desafios de segurança e problemas de escalabilidade, incluindo riscos de segurança associados a contratos inteligentes e desafios à sua capacidade de lidar com altas cargas de trabalho de transações. Além disso, deve-se observar que o Account Abstract ainda está em seus estágios iniciais com uma baixa taxa de adoção, e mais inovação e desenvolvimento são necessários para impulsionar sua adoção e amadurecimento.

As carteiras AA criam um mercado aberto introduzindo uma rede sem permissão de nós públicos, incluindo Bundlers, Paymasters e Signature Aggregators, permitindo que os usuários obtenham serviços de alta qualidade com as taxas mais baixas. De uma perspectiva de curto e médio prazo, a capacidade dos provedores de infraestrutura de implantar Bundlers, Paymasters e Signature Aggregators de forma rápida e personalizada será testada. A competição resultante incentivará a inovação e, por fim, levará à otimização da segurança e da experiência do usuário.

Enquanto isso, os provedores de infraestrutura, como o StackUp, provavelmente desenvolverão serviços modulares de Bundler e Paymaster e gradualmente os tornarão sem permissão. Além disso, há uma necessidade premente de ferramentas de scaffolding para acelerar os desenvolvimentos de front-end para que os desenvolvedores possam se concentrar mais na lógica de negócios. Bibliotecas relacionadas para desenvolvimento de dapp como ether.js também são necessárias. Eles podem encapsular funções como criação de carteira com redes sociais ou e-mails Web2, implantação rápida de Paymasters e Agregadores de Assinatura, bem como criação, assinatura e envio de UserOperations e monitoramento de eventos relacionados, etc. Essas ferramentas simplificarão a integração dos dapps com diferentes carteiras.

De uma perspectiva de médio e longo prazo, novos padrões de contas surgirão e alguns deles podem até separar a autenticação de contas de carteiras de contratos inteligentes, permitindo que os usuários transportem os dados de suas contas de uma carteira para outra. E à medida que as barreiras tecnológicas diminuírem e os novos produtos se tornarem cada vez mais homogêneos, a competição por carteiras AA se intensificará. Inovações mais progressivas, incluindo, por exemplo, serviços de infraestrutura sem permissão e modulares, integração com serviços existentes, SDKs dapp e camadas de contas independentes, serão necessárias para atualizar a flexibilidade e a experiência do usuário para o próximo nível.