Warum lieben Hacker DeFi, wenn die Blockchain so sicher ist?

Dezentrale Finanzen (DeFi) sind für mehr als 75% aller Krypto-Hacks verantwortlich, was zu Verlusten in Höhe von 361 Millionen USD führt. DeFi ist auch für 54% aller größeren Krypto-Betrügereien verantwortlich, im Jahr 2020 waren es nur 3%.

Die Blockchain macht DeFi möglich. Eigentlich soll die Blockchain sicher sein. Wie kann das passieren? Warum sind Hacker*innen in der Lage, in so viele verschiedene DeFi-Plattformen und -Anwendungen einzudringen?

Aber zuerst: Was ist die Blockchain?

Die Blockchain ist ein verteiltes gemeinsames Hauptbuch, das verschiedene Datentypen speichert. Wir können die Blockchain zum Beispiel nutzen, um den Besitz von Non-Fungible Tokens (NFTs) und natürlich Kryptowährungstransaktionen aufzuzeichnen. 

Obwohl herkömmliche Datenbanken problemlos dieselben Informationen speichern können, ist das Besondere an der Blockchain, dass es keine zentralisierte Behörde gibt. Sie wird nicht an einem Ort von zentralen Verwalter*innen gepflegt, wie es bei einer Excel-Tabelle der Fall ist, in der eine Person ohne Aufsicht Änderungen vornehmen kann. 

Stattdessen existieren mehrere identische Kopien der Blockchain-Datenbank auf mehreren Computern oder Knotenpunkten im Netzwerk. Um der „Chain“ (Kette) einen weiteren „Block“ hinzuzufügen und die zugrundeliegende Transaktion in einem verteilten Hauptbuch aufzuzeichnen, ist ein Konsens erforderlich.

Die meisten Knotenpunkte müssen die Legitimität neuer Daten überprüfen und bestätigen, bevor ein neuer Datenblock zum Ledger hinzugefügt wird. Daher ist es theoretisch fast unmöglich, dass jemand eine betrügerische Transaktion durchführt. Threat Actors müssen sich nämlich in jeden Knoten hacken und jede Kopie des Ledgers ändern, um nicht entdeckt zu werden. Ein Threat Actor ist eine Person oder eine Gruppe mit dem Ziel in der Cyberwelt Schaden anrichten.

Das ist zwar nicht unbedingt unmöglich, aber zweifelsohne eine große Herausforderung. Wenn du dann noch eine Schicht von Proof-of-Stake (PoS) oder Proof-of-Work (PoW) Transaktionsüberprüfungsmethoden in den Mix einbaust, wird es extrem schwierig, das System auszutricksen.

PoS (beliebt bei Algorand, EOS und Tezos) verwendet zufällig ausgewählte Miner*innen, um Transaktionen zu validieren. PoW hingegen verwendet eine konkurrierende Validierungsmethode, um Transaktionen zu bestätigen. Sobald eine Transaktion bestätigt ist, wird ein neuer Block zur Blockchain hinzugefügt.

Daher kann eine dezentrale öffentliche Blockchain sehr sicher sein, weil jeder im Netzwerk überprüfen muss, ob die Transaktion rechtmäßig ausgeführt wurde. Warum also machen große Krypto-Raubüberfälle immer noch Schlagzeilen? Die Antwort auf diese Frage liegt in den Cross-Chain-Bridges.

Was sind Cross-Chain-Bridges?

Eine Cross-Chain-Bridge verbindet zwei verschiedene Blockchains und ermöglicht es den Nutzer*innen, Kryptowährungen von einer Blockchain zur anderen zu senden, zu empfangen oder zu tauschen, ohne dass ein*e Vermittler*in oder eine zentrale Behörde dazwischengeschaltet ist. Das klingt zwar einfach, ist es aber nicht. Eine Cross-Chain-Bridge ist nicht so sehr mit der Umrechnung von USD in Euro vergleichbar (was einfach ist). Es ist eher so, als würdest du versuchen, deine Flugmeilen auf deinem Bankkonto in USD umzuwandeln.

Blockchain-Bridges gibt es, um den Nutzer*innen Optionen zu bieten, wenn es um hohe Gas-Preise oder Transaktionsgebühren geht, Transaktionen mit hoher Geschwindigkeit durchzuführen, den Datenschutz zu verbessern, den Nutzen zu optimieren und das Nutzererlebnis durch Interoperabilität zu verbessern. 

Außerdem ermöglicht es den Nutzer*innen Wahlfreiheit und fördert den fairen Wettbewerb. Wenn ein Netzwerk schneller oder billiger ist als ein anderes, kannst du einfach wechseln und digitale Vermögenswerte zu geringeren Kosten verschieben. Daher bilden Cross-Chains die Grundlage für Plattformen wie PancakeSwap, auf denen Nutzer*innen schnell Kryptowährungen wie Ethereum (ETH) gegen Binance (BNB) „eintauschen“ können. 

Was macht Cross-Chain-Bridges angreifbar?

Cross-Chain-Bridges bergen ein erhebliches Sicherheitsrisiko, da du nun Angriffsvektoren über eine größere Netzwerkfläche effektiv verwalten musst. Das liegt daran, dass jetzt mehrere Chains, die von verschiedenen Unternehmen entwickelt wurden, miteinander verbunden sind. 

Im Grunde genommen können sie es einem Threat Actor ermöglichen, Gelder zu stehlen, indem sie einfach Token von einer Chain zur anderen verschieben. Außerdem sind DeFi-Plattformen ein begehrtes Ziel für kriminelle Angriffe, weil Hacks schnelle Gewinne, Privatsphäre und Anonymität bieten und die Strafverfolgung (noch) nicht auf der Höhe der Zeit ist.  

Der Grund, warum wir es mit so vielen Sicherheitslücken zu tun hatten (wie MultiChain, Poly Network, Thorchain und Wormhole), liegt einfach daran, dass die Gründer*innen die Sicherheit nicht ernst nehmen und Bugs unentdeckt lassen. Für den Tausch von ETH in BNB braucht man zum Beispiel Ethereum, Binance und einen Tauschagenten in Cross-Chain-Bridges. ETH und BNB mögen sicher sein, aber das spielt keine Rolle, wenn ein*e Überbrückungs-Agent*in ein schwaches Glied ist.

Wenn Verwahrstellen Millionen oder sogar Milliarden von USD mit ungeprüften Sicherheitspraktiken und schlecht entwickelten Systemen sichern, ist der Schutz der Nutzergelder gelinde gesagt eine Herausforderung.

Der Wormhole-Angriff

Der jüngste Wormhole-Angriff, der zweitgrößte Krypto-Hack aller Zeiten, führte zu Verlusten von über 300 Millionen USD (oder 120.000 ETH). Wie und warum ist das passiert? 

Wormhole ermöglicht es Nutzer*innen, Vermögenswerte zwischen Chains wie Avalanche, Binance Smart Chain, Ethereum, Polygon, Solana und Terra zu überbrücken. Die Bridge ermöglicht die Übertragung von Vermögenswerten zwischen den Blockchains, indem sie die Transaktion sperrt und eine wrapped (verpackte) Version (z. B. wETH) auf der letzten Chain prägt. 

Solana hatte Softwarefunktionen, die nicht auf dem neuesten Stand waren. Einige Hacker*innen haben diese leicht vermeidbare technische Nachlässigkeit entdeckt und ausgenutzt. So gelang es den Angreifer*innen beispielsweise, den Prozess „Signatur überprüfen“ zu umgehen, indem sie ein bösartiges „sysvar-Konto“ in den Befehl einfügten. Dadurch konnten sie dieses Cross-Chain-Protokoll umgehen, weil es nicht alle „Wächterkonten“ validierte. So konnten die Angreifer*innen die Signaturen der Wächter fälschen und bis zu 120.000 ETH aus dem Nichts ergaunern.

In diesem Fall war die Ursache für den Cross-Chain-Eindrang der Prozess „Signatur überprüfen“, da der Vertrag eine veraltete Funktion hatte, die die Legitimität des Sysvar-Kontos nicht verifizieren konnte. Solche Exploits erinnern daran, dass DeFi noch in den Kinderschuhen steckt und dass diese Projekte im Wesentlichen Experimente sind.

Können wir DeFi nach dem Angriff auf die Wormhole-Bridge vertrauen? Auch wenn wir keiner Technologie 100%ig vertrauen können, wird es mit der Weiterentwicklung und Reifung von DeFi für Hacker*innen immer schwieriger, einen Knotenpunkt auszutricksen oder ihn offline zu nehmen. Das liegt daran, dass die Kryptotechnologie mit jeder Lösung eines Problems, mit jeder Iteration besser wird.

Wie können sich DeFi-Nutzer*innen schützen?

Um die Sicherheit der Blockchain zu verbessern und die Cross-Chain-Umgebungen zu stärken, müssen sowohl Krypto-Neulinge als auch Veteranen strikt die Best Practices – der beste Weg vorzugehen – befolgen, um das Risiko zu minimieren.

Mit der zunehmenden Verbreitung von Kryptowährungen wird auch die Cyberkriminalität immer beliebter. Daher müssen sowohl Krypto-Neulinge als auch -Veteranen strikt die Best Practices befolgen.

Nimm eine sorgfältige Prüfung vor

Es ist wichtig, sich zu informieren. Finde heraus, ob das Blockchain-Entwicklungsteam eine positive und transparente Erfolgsbilanz hat. Wenn bei früheren DeFi-Projekten Sicherheitsvorfälle aufgetreten sind, gibt es wahrscheinlich Probleme bei den internen Veröffentlichungsprozessen. 

Es ist nicht einfach, diese Informationen zu finden. Du musst in die Kryptoverse eintauchen und jeden Einzelnen, der an dem Projekt beteiligt ist, und alle damit verbundenen Faktoren, die das gewünschte Ergebnis beeinflussen können, recherchieren. 

Wähle ein von ethischen Hacker*innen geprüftes Protokoll

Vergewissere dich, dass sie mit einem etablierten Ethical-Hacking-Dienst zusammenarbeiten, um potenzielle Cross-Chain-Schwachstellen zu identifizieren und zu beheben. Wenn das Team interne Risiken und potenzielle Schwachstellen nicht angemessen behandelt, musst du damit rechnen, dass Threat Actors es darauf abgesehen haben.

Du kannst diese Informationen finden, indem du die Ankündigungen des Protokolls verfolgst und dich bei etablierten Anbieter*innen von ethischen Hacking-Diensten wie Zokyo und Trail of Bit auf dem Laufenden hältst. Ethische Hacker machen web3 jeden Tag besser und sicherer. Indem sie White-Hat-Hacker (Hacker*innen, die nur in Systeme eindringen um Sicherheitslücken sichtbar zu machen) einbezieht, kann die DeFi-Plattform auch den Konsens und die Protokolle innerhalb des Netzwerks fördern, um die Sicherheit zu erhöhen.

Schau dir den gesperrten Gesamtwert (TVL) an

Sieh dir an, wie viel Krypto (oder der Gesamtwert der hinterlegten und gesperrten Krypto-Vermögenswerte) in das Protokoll gesperrt wurde. Wenn sich die TVL auf Milliarden von USD beläuft und das Protokoll seit langem aktiv ist, sind die Sicherheitsrisiken wahrscheinlich relativ gering. Aber wie immer solltest du besonders vorsichtig sein. 

Bleib auf dem Laufenden mit den neuesten Nachrichten

Die Kryptowelt verändert sich bekanntlich über Nacht. Deshalb ist es wichtig, sich über die neuesten Entwicklungen auf dem Laufenden zu halten, auch was die Blockchain-Sicherheit angeht. Behalte im Auge, was die Gründer*innen tun und ob sie noch aktiv zum Projekt beitragen. Wenn sie weitergezogen sind, musst du deine Strategie auf der Grundlage deiner Erkenntnisse neu formulieren.

Die Sicherheit der Blockchain wird jeden Tag besser, und DeFi ist hier, um zu bleiben!

Die Blockchain selbst ist hochgradig sicher, aber Schwachstellen können bei der Zusammenarbeit zwischen mehreren Blockchains auftreten. Auch wenn Cross-Chain-Bridges viele Sicherheitsherausforderungen mit sich bringen, sind sie doch entscheidend für Interoperabilität, Skalierbarkeit und ein besseres Erlebnis für die Nutzer*innen. 

Da der DeFi-Bereich noch in den Kinderschuhen steckt, wird das Ökosystem als Ganzes mit jedem Sicherheitsvorfall besser. Wir können aus jedem Krypto-Hack lernen und das Umfeld weiterentwickeln, um Sicherheit und Datenschutz zu gewährleisten. 

Obwohl es in der Vergangenheit Sicherheitsvorfälle gab und auch in Zukunft geben wird, können die meisten DeFi-Projekte ihren Namen aus den Schlagzeilen heraushalten, indem sie einen proaktiven Ansatz für die Sicherheit von Smart Contracts wählen. Die Sicherheit der Blockchain wird von Tag zu Tag besser und festigt den Platz von DeFi als eine starke Kraft in der Branche.