Nawigowanie po zagrożeniach cyberbezpieczeństwa w pożyczkach zabezpieczonych kryptowalutami

Wraz z rosnącą popularnością pożyczek zabezpieczonych kryptowalutami wśród instytucji i zwykłych użytkowników, cyberbezpieczeństwo ciąży nad każdą nową transakcją. Miliardy cyfrowych aktywów zadeklarowanych na tych platformach oznaczają, że nawet pojedyncze naruszenie bezpieczeństwa może wywołać szok w całej gospodarce blockchain.

Na początku 2024 roku zdecentralizowane pule pożyczkowe posiadały około 80 miliardów dolarów, donosi DeFiLlama. W tym zakresie pożyczki zabezpieczone kryptowalutami pozwalają użytkownikom na wykorzystanie płynności bez konieczności sprzedaży kryptowalut, a pożyczkodawcy łączą zabezpieczenia w postaci BTC, aby zabezpieczyć transakcję. Taka użyteczność stawia jednak platformy przed większym niż kiedykolwiek celem ataków, ponieważ hakerzy udoskonalają swoje metody.

W tym artykule przedstawiono cyberbezpieczeństwo w sektorze usług pożyczek bitcoinowych, zwracając uwagę na typowe wektory ataków, bolesne ataki hakerskie w świecie rzeczywistym, pragmatyczne środki obronne, które mogą wdrożyć zespoły, oraz na tendencje regulacyjne wymuszające wprowadzenie surowszych kodeksów postępowania. Czytelnicy uzyskają kompleksowy obraz zagrożeń i środków zaradczych, które definiują ten dynamicznie rozwijający się obszar finansów cyfrowych.

Strony oferujące pożyczki kryptowalutowe pozwalają użytkownikom zablokować aktywa, takie jak Bitcoin czy Ethereum, i pożyczyć gotówkę lub stablecoiny pod zastaw, zapewniając pożyczkobiorcom szybki dostęp do środków bez konieczności sprzedaży swoich kryptowalut. Chociaż takie podejście zwiększa płynność, otwiera ono szereg możliwości ataku.

Jednym z największych problemów tych platform jest luka w zabezpieczeniach inteligentnych kontraktów. Ukryte głęboko w kodzie luki mogą zostać nieoczekiwanie ujawnione, umożliwiając hakerom kradzież zablokowanych zabezpieczeń. Przerażającym przypomnieniem było włamanie do Inverse Finance w 2022 roku , kiedy to cyberprzestępcy zniekształcili dane dotyczące wyroczni cenowych i ukradli ponad 15 milionów dolarów, pokazując, jak niszczycielskie mogą być nadużycia w zakresie wyroczni.

Kradzież kluczy prywatnych pozostaje kolejnym, dotkliwym źródłem strat. Ponieważ wiele firm pożyczkowych przechowuje aktywa użytkowników w portfelach depozytowych, klucze potrzebne do transferu tych monet są szczególnie kuszące dla złodziei. Jeśli klucze te wpadną w niepowołane ręce, przestępcy mogą przelać środki na długo, zanim ktokolwiek to zauważy. Bolesnym przykładem z 2023 roku była afera Atomic Wallet , w której słabo strzeżone klucze u zewnętrznego dostawcy pozwoliły złodziejom uciec z ponad 35 milionami dolarów.

Phishing i złośliwe oprogramowanie uderzają w zwykłych użytkowników. Na Telegramie i Discordzie pojawiły się zestawy fałszywych stron oferujących pożyczki, które wabiły ofiary do podania kluczy do portfela lub fraz źródłowych. Jednocześnie wkradają się nieuczciwe rozszerzenia do przeglądarek, kradnąc dane ze schowka, co umożliwia podmianę adresów portfela i przekierowanie przelewów.

Przyjrzenie się przeszłym atakom hakerskim na rynek pożyczek kryptowalutowych pokazuje, gdzie pominięto słabe punkty i dlaczego reakcja była niewystarczająca.

W 2022 roku Celsius Network zamroził wypłaty, a następnie ogłosił upadłość, a wszystko to w obliczu szerszego kryzysu płynności. Chociaż nadmierna dźwignia finansowa i załamanie rynku doprowadziły do upadku, ujawnione później wewnętrzne notatki wskazywały na nieregularną kontrolę ryzyka i niedostateczny monitoring. Te luki pozwalały na zbyt długie przeciekanie podejrzanych działań, przyczyniając się do uszczuplania aktywów klientów.

W tym samym roku Cream Finance padł ofiarą serii ataków hakerskich, z których jeden poniósł stratę przekraczającą 130 milionów dolarów. Atakujący wykorzystali lukę w kodzie kredytowym, która zazwyczaj jest zgłaszana przez doświadczone zespoły audytorów, ale której nie udało się usunąć z działającej umowy. Powtarzające się ataki wzbudziły wątpliwości co do głębokości testów kodu na platformach i tego, czy rzeczywiście naprawiają one błędy po przeprowadzeniu audytu.

Ostatnie głośne ataki pokazują, że naruszenia bezpieczeństwa zaczynają się zarówno od słabości kodu, jak i podstawowych błędów w procesach, takich jak brakujące aktualizacje, słabe przeszkolenie personelu i niedbałe zasady multi-sig.

Ochrona platform oferujących pożyczki kryptowalutowe wymaga stosowania złożonych zabezpieczeń łączących kontrole techniczne, solidne procedury i edukację użytkowników.

Po pierwsze, każdy nowy inteligentny kontrakt powinien przejść gruntowny audyt przeprowadzany przez zewnętrznych ekspertów; bez wyjątku. Następnie musi nastąpić formalna weryfikacja, która matematycznie sprawdza logikę kontraktu, dodając drugą warstwę dowodową.

Solidne portfele multi-signature w połączeniu z progiem dostępu zmniejszają ryzyko, że ktoś zbankrutuje z dnia na dzień. Właśnie dlatego multi-signature Gnosis Safe stał się narzędziem numer jeden w projektach DeFi.

Równie istotne jest wykrywanie anomalii w czasie rzeczywistym. Takie systemy sygnalizują nietypowe zachowania kontraktów – powtarzające się połączenia z wyrocznią lub ogromne pobrania zabezpieczeń – w ciągu kilku sekund, a w połączeniu z automatycznymi wyłącznikami awaryjnymi, wstrzymują operacje do czasu, aż ludzie będą mogli je sprawdzić.

Po stronie użytkownika, domyślne powinno być korzystanie z portfela sprzętowego i standardowego uwierzytelniania dwuskładnikowego. Silniejsze opcje, takie jak logowanie odciskiem palca lub adresy na białej liście, zapewniają dodatkową ochronę przed phishingiem i oszustwami socjotechnicznymi .

Programy „bug bounty” zachęcają etycznych hakerów do znajdowania i zgłaszania luk w systemach w zamian za korzyści majątkowe, przekształcając ujawnianie luk w zabezpieczeniach w warstwę bezpieczeństwa powiązaną z przychodami.

Organy regulacyjne dołączają teraz do tej warstwy listy kontrolne zgodności, aby mieć pewność, że poprawki nie pozostaną bezczynne.

W coraz większej liczbie jurysdykcji władze uważają cyberbezpieczeństwo za kluczowy element stabilności finansowej i oceniają platformy pożyczek kryptowalutowych właśnie pod tym kątem.

W Europie nadchodzące regulacje dotyczące rynków kryptoaktywów ( MiCA ) wymagają od operatorów portfeli i giełd opracowania formalnych zasad cyberbezpieczeństwa, przeprowadzania corocznych testów red-team, powiadamiania organów regulacyjnych w ciągu kilku godzin od naruszenia bezpieczeństwa oraz prowadzenia przejrzystych podręczników pokazujących, jak przywrócić usługi.

Singapur poszedł podobną drogą; Urząd Monetarny oczekuje, że firmy z branży aktywów cyfrowych będą szyfrować poufne dane, uwzględniać wytyczne dotyczące bezpiecznego kodu w podręcznikach dla programistów i recenzować dostawców rozwiązań IT z taką samą skrupulatnością, jak w przypadku kodu wewnętrznego.

W Stanach Zjednoczonych trwają negocjacje nad przepisami, a sprzeczne oświadczenia sądów rzucają cień na sytuację. Mimo to zarówno Komisja Papierów Wartościowych i Giełd (SEC), jak i CFTC wskazały na luki w zabezpieczeniach w sprawach egzekwowania prawa dotyczących amerykańskich konsumentów.

Nałożone przez nich kary pokazują, że brak ochrony przed dobrze udokumentowanymi schematami ataków jest obecnie uznawany za istotne ryzyko, co wzmacnia potrzebę przeprowadzania testów, prowadzenia rejestrów incydentów i ćwiczeń odzyskiwania danych przed przybyciem służb kontrolnych.

Na całym świecie platformy pożyczkowe o zasięgu transgranicznym odczuwają rosnącą presję, aby dostosować się do globalnych zasad najlepszych praktyk. W tym kontekście uzyskanie certyfikatu ISO/IEC 27001 w zakresie zarządzania bezpieczeństwem informacji zaczęło pełnić funkcję nieformalnego znaku zaufania – nawet tam, gdzie prawo jeszcze tego nie wymaga.

Platformy pożyczkowe oparte na kryptowalutach to szybko rozwijający się, ale naturalnie niepewny zakątek finansów cyfrowych. Dysponując miliardami zabezpieczonych zabezpieczeń, przyciągają one wyrafinowanych hakerów, którzy potrafią wykorzystać nawet niewielkie luki.

Poprzednie ataki dowiodły, że słaby kod i słabe zarządzanie mogą łącznie doprowadzić do ogromnych strat. Wraz z rozwojem branży, surowsze środki bezpieczeństwa, wsparte solidnymi wewnętrznymi politykami i jasnymi zasadami zewnętrznymi, będą miały kluczowe znaczenie dla utrzymania zaufania użytkowników.

Bez solidnych fundamentów w zakresie cyberbezpieczeństwa, atrakcyjność pożyczek w Bitcoinach i produktów zabezpieczonych kryptowalutami może stać się najsłabszym ogniwem w branży aktywów cyfrowych.