Escrito por: SafePal

'Floresta escura', uma lei sociológica do universo originada de (Trilogia dos Três Corpos), é também a descrição mais nua do atual campo de segurança Web3: há suficiente espaço imaginativo e novas jogadas na cadeia, mas ao mesmo tempo é como uma 'floresta escura', cheia de jogos de soma zero sangrentos e cruéis, onde investidores comuns desempenham mais o papel de 'presas' em um cenário de assimetria de informação.

Em 16 de novembro, vários usuários da comunidade relataram que a terminal de negociação on-chain DEXX foi roubada. A análise posterior indicou que a gestão de chaves privadas do DEXX tinha vulnerabilidades evidentes, até mesmo transmitindo e armazenando as chaves em texto claro. Até o momento, os danos totais contabilizados não oficiais ultrapassam 20 milhões de dólares.

Nesse contexto, como os usuários comuns podem melhorar seus mecanismos de autoproteção on-chain se tornou um tópico de grande interesse. Veronica, cofundadora e CEO da SafePal, também participou do evento 𝕏 Space organizado pela 137Labs, intitulado 'Reflexões de segurança geradas pelo incidente DEXX: como evitar 'armadilhas' em investimentos criptográficos', discutindo o incidente de segurança do DEXX com o fundador da BlockSec, Andy, o trader experiente Huisei e o pesquisador da 137Labs, OneOne, e oferecendo conselhos práticos de segurança para investidores em criptomoedas.

Este artigo é um resumo das valiosas contribuições dos convidados durante o Twitter Space, organizado para o deleite dos leitores.

O 'peso insuportável' das ferramentas de Bot de corrida

Em investimentos criptográficos, altos retornos e segurança absoluta geralmente são difíceis de conciliar. Ferramentas de Trading Bot como DEXX e Unibot atraem usuários com uma única clique para seguir transações e transferências rápidas de fundos, mas essa conveniência é baseada em uma arquitetura centralizada, exigindo que os usuários autorizem fundos ou forneçam acesso à carteira, aumentando significativamente o risco dos ativos.

No entanto, os usuários geralmente subestimam os requisitos de segurança dessas ferramentas de negociação, confiando nas grandes exchanges, mas ignorando os riscos das plataformas menores. O incidente do DEXX expôs falhas fatais na gestão de chaves privadas de algumas ferramentas de negociação - uma verdadeira 'carteira não custodiada' deve garantir que as chaves privadas sejam armazenadas apenas nos dispositivos dos usuários e não dependam de servidores centralizados. Mesmo que as chaves privadas sejam criptografadas, a falta de suporte técnico de segurança em nível de memória (como TEE ou enclave) ainda não evita o risco de roubo.

Ao mesmo tempo, a técnica de ataque utilizada foi complexa, com hackers transferindo fundos de maneira dispersa para aumentar a dificuldade de rastreamento. Isso não apenas dificultou a recuperação dos fundos, mas também sugere que eventos semelhantes no futuro podem ser ainda mais complexos e difíceis de prevenir, resultando em duas possibilidades: ou a plataforma é comprometida devido a vulnerabilidades técnicas, ou há roubo interno ou infiltração profunda. E se for o último caso, os riscos futuros podem ser ainda mais graves.

Os dados do Dune mostram que, atualmente, os cinco bots com maior volume de transações são: Trojan, BonkBot, Maestro, Banana Gun e Sol Trading Bot, com um volume de transações de mais de 100 milhões de dólares nos últimos 7 dias e um número total de usuários superior a 300 mil. Por isso, a mentalidade de 'ou lucrar muito ou perder tudo' também faz com que a maioria dos usuários ignore os riscos potenciais.

Fonte da imagem: Dune

Veronica acredita que quase todas essas ferramentas de 'arrecadação antecipada' podem enfrentar riscos de segurança semelhantes. Esses bots conseguem realizar transações on-chain super rápidas, evitando a assinatura manual a cada vez, porque sacrificam parte da segurança e características de não custódia.

Normalmente, independentemente de usar carteiras de hardware, aplicativos ou extensões de navegador, os usuários precisam gastar alguns segundos para confirmar manualmente a assinatura. No entanto, para aumentar a velocidade das transações e otimizar a experiência do usuário, esses Bots geralmente comprometem a segurança de algumas chaves privadas para realizar transações mais rápidas.

Esse design não é completamente errado, nem se pode dizer que esses projetos são todos inseguros. No entanto, isso realmente coloca altas exigências sobre a capacidade de proteção de segurança da equipe de desenvolvimento. Para garantir uma experiência fluida, se a equipe de desenvolvimento não puder garantir uma forte capacidade de defesa contra ataques, as consequências de um ataque serão extremamente severas, e tanto os usuários quanto as partes do projeto podem enfrentar grandes perdas.

Além disso, a maioria dos bots de negociação atualmente enfrenta um risco de segurança significativo: para realizar transações automatizadas, geralmente geram e mantêm chaves privadas para cada usuário. Embora essa abordagem facilite a automação das transações, também traz riscos de segurança extremamente altos. Se um atacante comprometer a plataforma, todas as chaves privadas armazenadas dos usuários podem ser vazadas, resultando em perdas de ativos.

Fonte da imagem: Página de 'Gerenciamento de Carteira' do DEXX

No entanto, na prática, existe uma arquitetura de negociação mais segura que pode realizar transações automatizadas sem usar as chaves privadas dos usuários.

Essa arquitetura depende de contratos inteligentes, criando uma 'conta PDA' associada à conta do usuário, permitindo a realização de transações sem a assinatura da chave privada do usuário. A plataforma pode executar instruções de transação através de uma 'conta de operação' restrita, mas os direitos dessa conta de operação são rigorosamente controlados, podendo apenas realizar operações de transação, sem a capacidade de transferir ativos dos usuários à vontade.

Esse design impulsionado por contratos inteligentes pode aumentar significativamente a segurança, pois as chaves privadas do usuário estão sempre sob seu controle e não são armazenadas em servidores centralizados. Embora esse design seja mais complexo e exija mais habilidades de engenharia e segurança da equipe, ele é totalmente viável e mais seguro.

Atualmente, a maioria dos usuários não tem clareza sobre as diferenças entre esses dois modelos de design, ou pode ignorar a segurança em busca de conveniência. Mas, com a frequência dos eventos de segurança, usuários e equipes de desenvolvimento podem começar a valorizar arquiteturas mais seguras, e essa solução de design avançada pode gradualmente se tornar comum no futuro, reduzindo a ocorrência de eventos como o DEXX.

Da autorização de transação à proteção de chaves privadas na cadeia de segurança Web3

OneOne considera que os riscos de segurança on-chain podem ser divididos em duas grandes categorias, abrangendo desde a autorização de transações até a proteção de chaves privadas.

A primeira forma comum de ataque é a 'enganação de aprovação'. Por exemplo, similar ao 'ataque de poeira', onde pequenas quantidades de ativos criptográficos ou NFTs são enviadas para induzir os usuários a clicarem e autorizarem a transação. Essa operação pode permitir que o atacante obtenha permissão para a carteira do usuário, roubando assim os ativos do usuário (incluindo criptomoedas e NFTs). Os usuários devem ter cuidado ao lidar com tokens e airdrops de fontes desconhecidas, evitando autorizações desnecessárias.

O roubo de chaves privadas pode ocorrer de várias maneiras:

  • O primeiro tipo é o 'ataque de malware', onde alguns atacantes fingem convidar os usuários a testar novos projetos, enganando-os para baixar arquivos executáveis que contêm vírus Trojan. Uma vez comprometidos, as chaves privadas e senhas das contas dos usuários podem ser facilmente roubadas.

  • O segundo tipo é o 'clipboard', onde atacantes obtêm acesso ao clipboard dos usuários através de sites de phishing. Quando os usuários copiam e colam chaves privadas, essas informações sensíveis podem ser interceptadas e exploradas pelos atacantes.

  • Além disso, existem casos de 'ataques de controle remoto', onde softwares maliciosos controlam o computador do usuário, até mesmo roubando diretamente as chaves privadas enquanto o usuário descansa. Por exemplo, usuários que costumam usar navegadores 'fingerprint' para airdrops geralmente envolvem funções de armazenamento em nuvem; se comprometidos, os ativos dos usuários podem ser facilmente roubados, e muitos usuários não configuram a autenticação de dois fatores (2FA) ao usar essas ferramentas, aumentando ainda mais o risco.

  • Por fim, há o 'risco do teclado', onde muitos usuários preferem usar teclados inteligentes, mas esses teclados podem coletar dados de entrada dos usuários e armazená-los na nuvem, aumentando a possibilidade de vazamento das chaves privadas. Recomenda-se que os usuários usem o teclado nativo do sistema, que pode ter menos funções, mas oferece maior segurança.

Em geral, ao negociar on-chain, especialmente ao usar aplicativos DeFi ou ferramentas de negociação, os usuários precisam adotar medidas de segurança adicionais. A gestão de autorizações é um problema que deve ser tratado com grande seriedade - como o mecanismo do Ethereum exige que os usuários concedam autorização de token a contratos inteligentes, atacantes podem explorar esse mecanismo para realizar operações maliciosas. Portanto, os usuários devem frequentemente verificar a lista de autorizações de suas carteiras e revogar rapidamente as autorizações desnecessárias, especialmente aquelas que podem ter sido esquecidas, para reduzir riscos.

Além disso, ao escolher plataformas DeFi, os usuários devem inspecionar as medidas de segurança da plataforma, incluindo se há relatórios de auditoria completos, monitoramento de segurança automatizado contínuo e se a plataforma atualiza e corrige vulnerabilidades regularmente. Ao usar Bots de Negociação, é recomendável que os usuários diversifiquem a gestão de seus ativos, evitando armazenar grandes quantias em contas controladas por robôs de negociação. Após obter lucros, os fundos devem ser transferidos rapidamente para carteiras mais seguras para reduzir possíveis perdas.

Huisei afirma que, como trader, é crucial conhecer as ferramentas de negociação e os mecanismos da plataforma. No atual ambiente de negociação de criptomoedas, muitos se concentram apenas nas oscilações de preços, ignorando os riscos de segurança das ferramentas de negociação. Os usuários devem estabelecer alarmes de segurança, como alertas de esvaziamento de pools ou liquidação, para monitorar os riscos continuamente.

Veronica enfatizou um princípio simples, mas importante: sempre haverá um compromisso entre a busca eficiente de lucros e a segurança abrangente. Portanto, a recomendação mais crucial é garantir a segregação de fundos. Se você perceber que está ansioso por causa de uma posição de investimento excessiva, não conseguindo dormir e checando seu telefone com frequência, isso provavelmente significa que sua alocação de fundos ultrapassou sua capacidade de tolerar riscos.

Quais são algumas ferramentas práticas de consulta de segurança on-chain?

Veronica recomenda que os usuários utilizem ferramentas de segurança integradas em carteiras não custodiadas como a SafePal, como a função de verificação de autorizações periodicamente - os usuários podem escanear todos os registros de autorização em várias cadeias e revogar de uma só vez as autorizações desnecessárias para reduzir o risco de serem explorados por hackers.

Fonte da imagem: Funcionalidade 'Approval Manager' da SafePal

Além disso, atualmente os golpistas geralmente se disfarçam como endereços de transferência de usuários através de pequenas transferências, para enganar e roubar fundos. Atualmente, carteiras populares como OKX Web3 e SafePal já implementaram serviços de interceptação de transações de risco para 'ataques de transferência inicial e final'. Além disso, o uso de hardware de carteira + frase de senha (Passphrase) é uma função pouco conhecida, mas muito prática, especialmente para usuários com várias contas de negociação.

A frase de senha como a 13ª palavra, combinada com as 12 palavras de recuperação originais, gera um novo endereço de carteira. Mesmo que alguém obtenha suas palavras de recuperação, sem a frase de senha, não será possível acessar os ativos. Isso significa que os usuários podem criar várias contas de carteira dessa maneira, garantindo segurança.

Esse método não apenas aumenta a segurança das chaves privadas, mas também permite que os usuários gerenciem ativos de forma flexível entre várias contas, e a frase de senha pode existir apenas na mente do usuário, aumentando ainda mais a proteção.

Andy também enfatiza que muitas vezes, quando os usuários enfrentam eventos de segurança, além dos riscos inerentes ao projeto, pode estar relacionado à falta de hábitos de segurança dos próprios usuários. Mesmo que os usuários percebam que possuem muitos ativos criptográficos ou saibam que a negociação envolve riscos, eles ainda expõem seus ativos a perigos devido a maus hábitos.

Recomenda-se que os usuários mantenham uma consciência e hábitos de segurança segregados, como armazenar ativos de grande valor em carteiras frias, que devem ser usadas apenas para interações e não para transferências diretas de fundos. Além disso, usar um smartphone dedicado (como um iPhone) para gerenciar ativos criptográficos, usando-o apenas para transações de criptomoedas ou gerenciamento de chaves privadas, sem instalar outros softwares ou realizar outras atividades, pode reduzir significativamente o risco de vazamento de chaves privadas.

Conclusão

O incidente de segurança do DEXX revelou o dilema central no campo das ferramentas de negociação on-chain: como encontrar um equilíbrio entre conveniência e segurança?

Enquanto busca uma negociação eficiente e uma boa experiência do usuário, o design de segurança da plataforma não pode ser sacrificado. Seja o armazenamento centralizado de chaves privadas ou as deficiências técnicas que carecem de proteção em nível de memória, isso expõe os ativos dos usuários a altos riscos.

'Sempre haverá um compromisso entre altos retornos e segurança absoluta'. Para os investidores, entender a lógica de risco por trás das ferramentas de negociação e cultivar bons hábitos de segurança é a base para atravessar a 'floresta escura' on-chain. Neste ecossistema descentralizado e cheio de incertezas, somente controlando suas chaves privadas, você pode realmente controlar seus ativos, promovendo um desenvolvimento mais saudável de todo o ecossistema on-chain.