Nosso ponto cego de auditoria: o futuro da Web3 depende de repensar a segurança | Opinião

Por

E aí, pessoal! Prontos para embarcar na viagem maluca das notícias de cripto? No nosso canal do Telegram, vamos explorar o mundo das criptomoedas com leveza e bom humor. É como um papo de bar sobre Bitcoin, só que sem a ressaca no dia seguinte! 😄 Junte-se a nós agora e vamos desvendar esse universo juntos! 💸🚀

☞ Junte-se ao Telegram

Durante a maior parte do ano de 2024, parecia que eu residia no futuro. Notavelmente, o Google introduziu um chip de computação quântica capaz de executar cálculos que um computador convencional levaria mais tempo do que a existência do universo. Além disso, os veículos autônomos da Waymo transportavam cerca de 150.000 pessoas semanalmente. Além disso, modelos de IA como o AlphaFold estavam fazendo avanços significativos na resolução de intrincados quebra-cabeças biológicos com notável precisão.

Em contraste com os rápidos avanços em vários outros domínios, certas áreas da nossa própria indústria parecem ter estagnado, especialmente quando se trata de questões de segurança. Mesmo que a tecnologia de ponta revolucione vários setores, o aspecto de segurança da web3 continua a ser atormentado por problemas persistentes.

Como pesquisador que investiga o mundo da web3, observei que a transição da estrutura centralizada da Web2 para a arquitetura descentralizada da Web3 ampliou significativamente o escopo para possíveis ataques. Embora a descentralização seja de facto a pedra angular da inovação da Web3, ela introduz paradoxalmente um desafio de segurança: a própria abertura e distribuição que capacita os utilizadores também expande uma superfície de ataque constantemente vulnerável. Dado o enorme volume de transações, que ascende a centenas de milhares de milhões anualmente, a importância de proteger este sistema nunca foi tão crítica.

Apesar da rápida expansão das vulnerabilidades potenciais e dos enormes fundos que transitam através destes sistemas, o nosso setor continua a confiar nas avaliações de segurança tradicionais e manuais como base. Este método, antes considerado o auge da segurança web3, foi considerado terrivelmente inadequado e obsoleto. Os fatos confirmam isso; esmagadores 90% dos contratos explorados já foram submetidos a auditorias.

Da mesma forma que o desenvolvimento de software web2 progrediu de depender apenas de testes manuais para incorporar inúmeras ferramentas, como integração contínua, testes automatizados e monitoramento de tempo de execução, a evolução do web3 necessita de uma mudança comparável em nossa abordagem de desenvolvimento, visando a implantação em um amplo público.

Os desafios únicos da Web3 

O estado atual das medidas de segurança de contratos inteligentes levanta preocupações significativas, considerando a gravidade potencial de um incidente de segurança web3. Aqui estão três fatores principais que contribuem para isso:

1. Falta de padronização e de melhores práticas no desenvolvimento e implantação de contratos inteligentes.
2. Testes e auditoria insuficientes de contratos inteligentes antes de serem lançados na blockchain.
3. A complexidade do código do contrato inteligente, o que torna difícil identificar vulnerabilidades e corrigi-las prontamente.

  1. Imutabilidade: quando você implanta um contrato inteligente, seu código se torna permanente – a imutabilidade é um recurso central, não um bug. Isso significa que, diferentemente dos aplicativos web2, onde os desenvolvedores podem corrigir vulnerabilidades rapidamente, corrigir falhas de contratos inteligentes requer uma coordenação complexa em todo o protocolo. 
  2. Visibilidade: Para agravar esse desafio está a natureza pública do código blockchain, onde possíveis invasores têm visibilidade do código-fonte. Se existirem vulnerabilidades, os malfeitores podem (e irão) encontrá-las.
  3. Controle direto sobre os ativos:  o mais importante é que as vulnerabilidades da web3 colocam os ativos reais em risco imediato. Embora os ataques web2 normalmente tenham como alvo dados, explorações de contratos inteligentes resultam em perdas financeiras diretas, muitas vezes irreversíveis.

As qualidades únicas que tornam o web3 revolucionário – sua permanência, abertura e controle do usuário sobre os ativos – também exigem uma mudança fundamental em nossa abordagem à segurança.

Por que as auditorias por si só são insuficientes 

Para deixar as coisas bem claras: não estou contestando a importância das auditorias, pois elas são cruciais para garantir contratos inteligentes seguros. No entanto, confiar apenas em auditorias não é a melhor abordagem. Quando as auditorias são a nossa única salvaguarda, os ativos dos utilizadores permanecem vulneráveis. O hack da Euler Finance em 2023 serve como um lembrete claro; apesar de dez auditorias separadas, as perdas ascenderam a mais de 200 milhões de dólares.

Um desafio significativo associado à dependência de auditorias humanas é que mesmo os auditores mais qualificados podem deixar passar certas questões; os humanos são propensos a erros. À medida que os contratos inteligentes crescem em complexidade, cada recurso adicionado cria mais vulnerabilidades potenciais, tornando extremamente difícil para qualquer inspeção manual localizar todos os possíveis pontos fracos. O fato de um projeto poder passar por dez auditorias separadas e ainda assim ser hackeado demonstra esse problema – não é uma questão das habilidades dos auditores, mas sim das limitações intrínsecas da avaliação manual.

O caso da segurança proativa

Essencialmente, a dependência excessiva de nossa área em auditorias promoveu um padrão irresponsável para a segurança da web3, onde a proteção ativa de contratos inteligentes é rara e não comum. A compreensão de que o web3 progrediu enquanto a segurança era negligenciada foi o que desencadeou o início da Olympix, uma plataforma de segurança web3 focada no desenvolvedor, em 2022, projetada para ajudar os programadores a proteger seu trabalho à medida que o criam.

Nosso objetivo é automatizar uma parte significativa do procedimento de auditoria, identificando 20-50% de vulnerabilidades potenciais antes da auditoria inicial. Essa abordagem permite que os especialistas em segurança se concentrem na descoberta de vulnerabilidades críticas e inovadoras, em vez de resolver problemas rotineiros. O sistema está a revelar-se eficaz; uma avaliação dentro de nossa organização revelou que no terceiro trimestre de 24, aproximadamente US$ 60 milhões em contratos que haviam sido auditados anteriormente teriam sido protegidos da exploração se as equipes tivessem empregado nossas ferramentas. Este número inclui hacks de alto perfil, como Pendle (US$ 6,5 milhões) e LIFI (US$ 600 mil). No entanto, é importante observar que ferramentas avançadas como o Olympix não são uma solução abrangente. As complexidades da Web3 exigem uma abordagem sofisticada e multicamadas que integre ferramentas proativas e focadas no desenvolvedor com auditorias tradicionais, programas de recompensa de bugs e monitoramento on-chain para estabelecer múltiplas camadas de proteção.

O caminho a seguir: de reativo a proativo

Considere suas estratégias de segurança atuais. Baseiam-se principalmente em avaliações ocasionais? Suas medidas de segurança estão alinhadas com a complexidade e os riscos associados aos projetos que você implementou? Parece provável que muitas organizações ainda tenham uma discrepância significativa entre as suas práticas de segurança e o nível de proteção exigido.

Em 2025, possuímos toda a tecnologia necessária para revolucionar a segurança web3. Os meios para implementar contratos inteligentes com segurança já estão disponíveis, e soluções como a Olympix estão entre as ferramentas à nossa disposição.

Tenho a forte convicção de que o futuro da nossa área será moldado pela confiança, especialmente na salvaguarda dos activos que outros confiam em nós para manter. A Web3 realmente traz transformação, mas também é exigente. Dado o valor significativo em jogo, a resiliência e a durabilidade do web3 estão sobre nossos ombros. Vamos agir para garantir um futuro seguro para nós mesmos.

Channi Greenwall

Channi Greenwall, o visionário por trás da Olympix, lidera uma organização dinâmica especializada em soluções avançadas de segurança para desenvolvimento web3. Até o momento, a Olympix protegeu mais de US$ 10 bilhões em ativos em vários protocolos, uma prova de sua eficácia. Em apenas alguns anos, mais de 30% dos desenvolvedores do Solidity confiam na plataforma para segurança de contratos inteligentes. Antes de trabalhar na Olympix, ela aprimorou suas habilidades na criação de estruturas de segurança essenciais no JP Morgan Chase. Sua função subsequente foi como gerente de produto no Security Scorecard. Ela possui bacharelado em Ciência da Computação e mestrado em Engenharia de Segurança pela NYU.

2025-01-08 16:34