O pesadelo de segurança da Crypto não será resolvido por auditorias comuns

As auditorias estão realizando exatamente o que foram projetadas para fazer: descobrir erros no código. E eles estão trabalhando. Menos ataques do que antes aproveitam códigos defeituosos para roubar fundos da plataforma.

O problema, porém, é que estamos vendo uma desconexão crescente entre o que as auditorias examinam e o que os invasores realmente exploram. Hoje, as maiores perdas do setor não se originam, na verdade, de vulnerabilidades tradicionais de contratos inteligentes. Em vez disso, provêm de chaves privadas comprometidas, manipulação de governança, comprometimento interno, atualizações maliciosas de dependências e falhas operacionais.

Por mais brilhantes que sejam na identificação de vulnerabilidades de código, as auditorias tradicionais não podem impedir que um desenvolvedor seja vítima de uma campanha de phishing. O melhor código do mundo ainda pode ficar em cima de uma infraestrutura operacional vulnerável.

Na verdade, a nossa investigação mostra que, quando medidas pelos danos financeiros, estas explorações operacionais são muitas vezes muito mais devastadoras do que as próprias vulnerabilidades de código. A indústria investiu enormes recursos na redução do risco de contratos inteligentes, mas os vetores de ataque mais dispendiosos permanecem comparativamente pouco defendidos. É como se a indústria ainda estivesse focada na defesa contra a última geração de ataques, enquanto os agentes maliciosos mudaram para estratégias diferentes.

As auditorias por si só criam uma perigosa ilusão de segurança

As plataformas publicitam frequentemente o número de auditorias que realizaram, a reputação das empresas que contrataram ou o volume de conclusões identificadas durante a revisão. Estes tornaram-se indicadores abreviados para saber se um projeto é seguro.