I badge di audit delle criptovalute possono indurre gli utenti a fraintendere l’ambito della sicurezza

Punti chiave

Bybit ha dichiarato che gli aggressori hanno manipolato l’interfaccia di firma durante un trasferimento da un wallet Ethereum, causando una perdita di 1,46 miliardi di dollari. L’FBI ha attribuito il furto alla Corea del Nord. Safe ha dichiarato che un computer di uno sviluppatore compromesso ha consentito l’esecuzione della transazione malevola, mentre i suoi smart contract e il codice sorgente dell’interfaccia front-end non hanno mostrato vulnerabilità. Stefan Beyer, ricercatore di Oak Security, ha rilevato che il furto di chiavi private, il phishing, le dipendenze e gli attacchi alla governance hanno rappresentato il 49,6% delle perdite osservate in un set di dati relativo a 218 incidenti.

Sentiment di mercato

Neutrale, guidato dalla sicurezza.

Motivazione: La perdita di Bybit mostra che un audit degli smart contract potrebbe non coprire i sistemi che influenzano l’approvazione delle transazioni.

Casi storici simili

Questo tipo di malfunzionamento della sicurezza tende a spostare l’attenzione dal codice degli smart contract ai controlli sui firmatari, alle interfacce e ai processi operativi. Il caso attuale si differenzia perché il malfunzionamento segnalato riguardava la visualizzazione manipolata di una transazione, anziché una vulnerabilità identificata in uno smart contract.

Effetto a catena

I progetti potrebbero essere sottoposti a un esame più attento per verificare se i loro report di audit coprono il codice distribuito, le procedure di firma e l’infrastruttura front-end. Se i progetti rendessero pubblici ambiti di audit più ristretti, gli utenti potrebbero distinguere le revisioni del codice dalle valutazioni complete della sicurezza operativa.

Opportunità e rischi

Opportunità: I lettori possono verificare se i progetti identificano la versione del codice sottoposta ad audit e rendono noti i sistemi esclusi. Una chiara indicazione dell’ambito può migliorare i confronti tra le pratiche di sicurezza dei protocolli.

Rischi: Gli utenti possono esporsi a rischi quando un badge di audit viene considerato una prova di sicurezza completa. Una discrepanza tra la schermata di firma e la transazione sottostante può eludere firme altrimenti valide.