В міру того, як розвиваються блокчейн технології, вдосконалюються і методи шахрайських маніпуляцій. Це можуть бути як атаки на смартконтракти, так і складні шахрайські схеми Тож у світі Web3 питання захисту безпеки стає все більш нагальним.
Редакція видання Crypto News дослідила, як компанії адаптують свою інфраструктуру до нових реалій і чому блокчейн безпека має стати частиною стратегії ще до запуску будь-якого проєкту. Також ми поспілкувалися на цю тему з Артемом Козарем, адвокатом практики безпеки бізнесу в Juscutum.
Основні загрози для блокчейн-екосистем: від смарт-контрактів до мостів
Хоча блокчейн технології створені для того, щоб зробити ринок фінансів прозорим та децентралізованим, зловмисники швидко адаптуються до нових технологій. Так, вони швидко знаходять слабкі місця навіть у найскладніших протоколах.
Експлойти у смарт-контрактах
Довідка від Crypto News. Експлойт – це програмний код або техніка, що використовує вразливості в системі для отримання несанкціонованого доступу, підвищення привілеїв або виконання шкідливих дій.
Експлойти або, простіше кажучи, вразливості у смарт-контрактах вважаються найбільш частою причиною відтоку коштів. Масштаби поширення такої проблеми досить красномовні. Згідно з щорічним звітом Hacken за 2024 рік, проблеми зі смартконтрактами були найпоширенішим вектором втрат у Web3: на них припадало 14% загальних збитків, що становить близько $402 млн. Саме тому безпека смарт-контрактів – це, по суті, обов’язковий етап до запуску будь-якого проєкту.
Атаки на кросчейн-мости
Кросчейн-мости – це сервіси, які з’єднують різні блокчейни. Їхня складна архітектура створює численні блокчейн вразливості, які хакери активно експлуатують. Так, неправильна логіка мосту або слабка система мультипідписів можуть призвести до масштабних втрат, як це сталося в прикладах нижче.
- Кейс із Wormhole (лютий 2022). Хакери знайшли помилку в перевірці підписів і створили підроблені підписи для отримання 120 000 wETH без внесення колатералу. Система не розпізнала підробку, тож втратили $320–326 млн.
- Кейс із Ronin Bridge (березень 2022). У результаті фішинг-атаки хакери отримали ключі більшості валідаторів і вивели понад $600 млн (це 173 600 ETH + 25,5 млн USDC). У серпні 2024 року сталася ще одна атака, через баг в ініціалізації контракту вкрали $12 млн, але кошти повернув білий хакер.
- Кейс із Multichain (січень 2022). Помилка в системі дозволів дала змогу зловмисникам вивести близько $3 млн через несанкціоновані операції в міжблокчейнових роутерах.
Маніпуляції з оракулами
Також зловмисники дедалі частіше використовують маніпуляції з оракулами: зовнішніми джерелами даних, які визначають ціну активів у DeFi. Підробка або затримка інформації може штучно змінити ринкову ситуацію і створити умови для шахрайських дій. Яскравий приклад – атака на Mango Markets у 2022 році, коли хакер штучно завищив вартість власного токена через нестабільний оракул і вивів понад $100 млн. Подібні інциденти показують, наскільки критичною є блокчейн безпека в контексті роботи з даними ззовні.
Флеш-кредити та децентралізоване шахрайство
Флеш-кредити дозволяють миттєво позичати великі суми без застави з поверненням у межах однієї транзакції. Зловмисники використовують їх для маніпуляцій з цінами та ліквідністю, отримуючи незаконний прибуток.
Яскравий приклад – атака на bZx у 2020 році з втратами понад $1 млн через маніпуляцію ETH/DAI. Це показує необхідність посилення безпеки та стрес-тестування DeFi-протоколів.
Превентивна стратегія безпеки: мислити як хакер
Для молодих блокчейн-проєктів з великими активами превентивні заходи безпеки критично важливі, адже блокчейн-вразливості можуть призвести до втрати довіри інвесторів і користувачів. Адвокат практики безпеки бізнесу в Juscutum Артем Козар виділив декілька найбільш ефективних практик.
Аудити смарт-контрактів
Регулярні перевірки смарт-контрактів і коду незалежними експертами допомагають знайти вразливості до того, як їх використають зловмисники.
«Хоча спеціального законодавства щодо аудиту блокчейну поки в Україні немає, загальні принципи аудиторської діяльності та оцінки ризиків, закріплені в Законі України “Про аудит фінансової звітності та аудиторську діяльність”. Тож ці принципи можуть бути застосовані аналогічно, але важливо обирати аудиторів з глибоким розумінням блокчейн-специфіки», — пояснює Козар.
Баг баунті програми (Bug Bounty Programs)
Довідка від CryptoNews. Баг баунті програми – це системи винагород, де компанії платять дослідникам безпеки за знайдені вразливості в їхніх продуктах.
Юрист з Juscutum зазначає, що баг баунті програми – ефективний спосіб залучити етичних хакерів для виявлення вразливостей, які могли залишитися непоміченими під час внутрішніх перевірок. Такий підхід суттєво підсилює аудит безпеки блокчейну і знижує ризик неочікуваних атак.
«В Україні також відсутнє пряме законодавство, що регулює баг баунті, але їх проведення може бути структуровано через договори з дослідниками безпеки, що підпадають під загальні норми Цивільного кодексу України», – коментує Козар.
Моделювання загроз (Threat Modeling)
Артем Козар зазначає, що моделювання загроз дає змогу виявити потенційні ризики ще на етапі проєктування. Це допомагає закладати захист у саму архітектуру систем, відповідно до принципу “безпека за задумом”, який є основою сучасного підходу до проєктування.
Юрист також наголошує на важливості регулярних оновлень і патчів. Із розвитком блокчейн технологій з’являються нові вразливості, тому молоді проєкти повинні мати чіткий план моніторингу загроз і швидкого реагування. Тож постійне оновлення системи – ключовий елемент ефективного захисту.
Як штучний інтелект змінює підхід до блокчейн-безпеки
Артем Козар зазначає, що штучний інтелект (ШІ) відіграє дедалі більшу роль у блокчейн-безпеці, пропонуючи нові можливості для автоматизації та підвищення ефективності.
«ШІ-алгоритми можуть аналізувати величезні обсяги транзакцій та поведінки в блокчейні, виявляючи аномалії та підозрілу активність, яка може свідчити про атаки (наприклад, флеш-кредитні атаки, атаки на оракули). Це значно швидше та ефективніше, ніж ручний моніторинг», – відмічає можливості штучного інтелекту Козар.
Наприклад, на основі історичних даних про атаки та вразливості, ШІ може прогнозувати потенційні загрози та допомагати розробникам зосередитись на найбільш ризикованих областях.
Юрист прогнозує, що штучний інтелект можна залучати для автоматичного блокування підозрілих транзакцій або навіть запуску процесів самовідновлення смарт-контрактів у разі атаки. Але така автоматизація потребує високої довіри до системи та ретельного тестування, щоб уникнути помилок, які можуть зупинити легітимні операції.
«З правового погляду, використання ШІ породжує питання щодо відповідальності за помилки штучного інтелекту та збереження конфіденційності даних, що обробляються ШІ-системами. В Україні ці питання ще не врегульовані, але вони стануть предметом майбутнього законодавства у сфері ШІ», – коментує Артем Козар.
За словами експерта, ШІ також допомагає виявляти логічні помилки та блокчейн вразливості ще до запуску смарт-контрактів, що є критично важливим для безпеки проєкту ще на етапі розробки.
Необхідність глобальних стандартів безпеки у Web3
При цьому Козар наголошує, що глобальне узгодження стандартів безпеки є абсолютно необхідним для стабільного та довгострокового розвитку Web3.
«Web3 не знає кордонів. Проєкти та користувачі розподілені по всьому світу. Відсутність єдиних стандартів призводить до фрагментації, ускладнює взаємодію та створює правові колізії. Це особливо актуально в контексті транскордонних кіберзлочинів, де юрисдикція та співпраця правоохоронних органів є складними», – пояснює адвокат від Juscutum.
Експерт підкреслює, що узгоджені міжнародні стандарти безпеки – це основа стабільного розвитку Web3.
- По-перше, такі стандарти допоможуть краще захищати користувачів та інвесторів від шахрайства і втрат, що виникають через блокчейн вразливості. Це зміцнює довіру до індустрії та сприяє поширенню блокчейн технологій у світі.
- По-друге, наразі країни формують власні правила щодо криптовалют, що створює правову невизначеність для бізнесу. Єдині підходи в сфері блокчейн регуляції допоможуть зменшити ризики та полегшити міжнародну взаємодію.
- По-третє, важливо закріпити спільні вимоги до верифікації користувачів (KYC) та моніторингу транзакцій (AML). Це необхідно для боротьби з відмиванням коштів та фінансуванням тероризму в умовах децентралізації.
Стандарти безпеки допомагають зробити різні блокчейн-протоколи сумісними між собою. Це важливо для створення надійної та злагодженої Web3-екосистеми. Над такими стандартами вже працюють міжнародні організації, зокрема FATF та ISO. Україна також долучається і прикладом є ухвалення закону «Про віртуальні активи».
«Наразі існують ініціативи щодо розробки таких стандартів, як ISO/TC 307 “Blockchain and distributed ledger technologies”. Україна також робить кроки у цьому напрямку, зокрема прийняття Закону України “Про віртуальні активи” (хоча він ще не набрав чинності в повній мірі), є свідченням розуміння важливості регулювання цієї сфери», – доповнює Артем Козар.
Отже, сучасна блокчейн-безпека потребує комплексного підходу. Це включає і регулярні аудити смартконтрактів, і впровадження багбаунті-програм, і моделювання загроз на етапі розробки. Водночас штучний інтелект відкриває нові можливості для автоматичного виявлення атак, але ця технологія ще потребує ретельного тестування і регулювання.Не забуваймо й про необхідність узгоджених глобальних стандартів, які захищатимуть користувачів і бізнес у Web3-екосистемах. Лише завдяки продуманим стратегіям блокчейн-безпеки ці технології зможуть стати справді надійними та довгостроково життєздатними.