Hacker tỷ đô tiếp theo của tiền điện tử có thể di chuyển với tốc độ siêu phàm

Hacker tỷ đô tiếp theo của tiền điện tử có thể di chuyển với tốc độ siêu phàm

Claude Fable 5 mới của Anthropic đặt các công cụ mạng mạnh mẽ đằng sau các bộ lọc an toàn. DeFi, đã bị thiệt hại hơn 840 triệu đô la trong các vụ hack trong năm nay, là một trong những ngành bị thiệt hại nhiều nhất nếu bộ lọc thất bại.

Tuy nhiên, Anthropic nhận ra rằng hệ thống khó có thể hoàn hảo và cho biết họ hy vọng những kẻ tấn công quyết tâm, được tài trợ tốt sẽ tiếp tục cố gắng vì khả năng này rất có giá trị.

Công ty cho biết trong bài đăng: “Việc nâng cao năng lực ở cấp độ Mythos có giá trị đối với nhiều đối thủ—ví dụ: những người có thể thu được lợi ích tài chính từ các cuộc tấn công mạng—và do đó, chúng tôi hy vọng họ sẽ có động cơ để cố gắng phá vỡ các biện pháp an toàn của chúng tôi”.

“… không phải là sự kiểm soát đáng tin cậy chống lại một kẻ thù kiên quyết.”

Tuy nhiên, việc xác định điểm yếu của mục tiêu không phải là cải tiến lớn nhất mà AI mang lại cho hộp công cụ của hacker. Cơ sở quan trọng là tốc độ siêu phàm và những hạn chế được đưa vào các mô hình AI có thể không đủ mạnh để khắc phục điều đó.

Charles Guillemet, giám đốc công nghệ của nhà sản xuất ví phần cứng Ledger, cho biết trong một email gửi tới CoinDesk: “Các rào cản AI hiện tại làm tăng ma sát”. “Chúng không phải là sự kiểm soát đáng tin cậy để chống lại một kẻ thù kiên quyết.”

Ông nói, sự thay đổi không phải là về việc AI phát minh ra các loại hack mới mà là về thời gian tạo ra chúng. Một mô hình lý luận có thể “phân biệt mọi cam kết, grep mọi cấu hình và liệt kê mọi cấu hình sai ở tốc độ máy”, đề cập đến các bước trong quá trình phát triển phần mềm.

Tiền điện tử bị lộ diện một cách bất thường vì lỗi phần mềm có thể gây ra tổn thất tài chính gần như ngay lập tức.

Kỹ thuật xã hội

Các giao thức DeFi đã mất hơn 840 triệu đô la do bị hack trong 5 tháng đầu năm, Dữ liệu DefiLlama cho thấy. Chỉ riêng tháng 4 đã chiếm hơn 600 triệu USD, tháng tồi tệ nhất được ghi nhận đối với ngành tài chính phi tập trung.

Tuy nhiên, hai sự cố lớn nhất không phải là việc khai thác hợp đồng thông minh đơn giản thuộc loại AI có thể thiết kế.

Trong một lần, một nhóm có liên hệ với Triều Tiên đã rút khoảng 285 triệu USD từ Drift Protocol sau một chiến dịch kỹ thuật xã hội kéo dài sáu tháng để giành được quyền truy cập quản trị viên. Mặt khác, kẻ tấn công đã khai thác một lỗ hổng xác minh duy nhất cho phép bòn rút khoảng 292 triệu USD từ Kelp DAO.

Một ví dụ khác xảy ra vào thứ Ba, khi Humanity Protocol, một dịch vụ nhận dạng con người phi tập trung, đã mất hơn 30 triệu đô la do bị xâm phạm khóa riêng. CoinDesk phát hiện ra rằng một hacker đã giành được quyền truy cập tới ba trong số sáu khóa riêng trên máy tính xách tay của một nhân viên,

Vấn đề nằm ở chỗ đó. Mặc dù những lời nhắc về hợp đồng thông minh rõ ràng nhất có thể chính xác là những lời nhắc mà bộ lọc của Anthropic được thiết kế để nắm bắt, nhưng những tổn thất lớn nhất không cần đến một lỗi hợp đồng.

Guillemet của Ledger lưu ý rằng các lỗ hổng này xuất phát từ những điểm yếu quen thuộc: kỹ thuật xã hội, quy trình ký kết kém, khóa bị lộ và lỗi của con người.

Một mô hình như Fable không cần phải bàn giao một bản khai thác đã hoàn thiện để thay đổi tính kinh tế của một cuộc tấn công. Nó có thể đọc các kho lưu trữ công cộng, so sánh các phiên bản phần mềm cũ, tóm tắt các báo cáo kiểm toán và soạn thảo các thông điệp thuyết phục nhằm tìm kiếm những lỗi vận hành nhỏ mà con người bỏ qua.

“Những cách khai thác này vẫn bắt nguồn từ kỹ thuật xã hội và lỗi của con người.”

Người bảo vệ, trong môi trường như vậy, phải bảo đảm mọi đường dẫn chính, mọi phụ thuộc, mọi quy trình ký và mọi tài khoản đặc quyền. Vì AI đẩy nhanh giai đoạn tìm kiếm nên bước ký kết cuối cùng trở nên quan trọng hơn. Khóa riêng cần được đặt ở nơi mà máy tính xách tay bị xâm nhập không thể tiếp cận và người dùng cần một màn hình đáng tin cậy hiển thị những gì họ thực sự đang phê duyệt.

“Hãy gọi nó là gì: những cách khai thác này bắt nguồn từ kỹ thuật xã hội và lỗi của con người. AI đã không tạo ra thực tế đó. Nó làm cho nó hiển thị và tăng tốc nó lên tốc độ máy. Lối thoát thực sự duy nhất là gốc phần cứng của sự tin cậy: các khóa riêng được tạo và lưu giữ trên một yếu tố bảo mật được chứng nhận, với màn hình đáng tin cậy và Chữ ký rõ ràng”, Guillemet nói.

Một con dao hai lưỡi

Tuy nhiên, các kỹ thuật tương tự cũng có tác dụng bảo vệ chính mã đó. Pendle, một giao thức lợi nhuận DeFi, cho biết họ đã sử dụng các mô hình của Anthropic một cách phòng thủ kể từ phiên bản đầu tiên của Claude Opus. Nhóm sử dụng AI để lập bản đồ cơ sở mã và kiểm tra căng thẳng các hợp đồng của mình, bao gồm cả những hợp đồng mới được triển khai. Nó cho biết các công cụ này phát hiện lỗi sớm và giúp nó viết mã sạch hơn.

Các nhà phát triển của Pendle cho biết trong một cuộc phỏng vấn trên Telegram rằng hợp đồng thông minh là điều sai lầm cần quan tâm. Một hợp đồng thông minh có thời gian ngắn và chỉ có khoảng chục điểm đầu vào. Các kiểm toán viên giỏi từ lâu đã có thể ghi nhớ trạng thái đầy đủ của hợp đồng trong đầu và kiểm tra mọi trường hợp phức tạp.

Nhóm nhà phát triển cho biết: “Thực sự không có nhiều dòng mã trong hợp đồng thông minh để kiểm tra”.

Điều đó có nghĩa là vụ hack tiền điện tử lớn tiếp theo có thể không mới. Nó có thể trông giống như một gói bị nhiễm độc, nhà phát triển bị lừa hoặc luồng ký kết xấu mà DeFi đã biết.

Nó chỉ có khả năng đến sớm hơn là muộn hơn.