Цифровизация щита и меча: Марк Лецюк из HAPI об угрозе ИИ и проблемах блокчейн-индустрии
Опрошенные Incrypted эксперты в целом положительно оценили перспективы криптовалютной индустрии в 2024 году, в том числе на фоне принятия ETF в США, халвинга биткоина и развития экосистемы децентрализованных финансов.
Однако отрасль также может столкнуться с серьезными вызовами, которые связаны с цензурированием блокчейна и использованием искусственного интеллекта в преступных целях. Об этом и не только мы поговорили c CСO проекта HAPI Марком Лецюком.
Какие у HAPI ожидания от 2024 года в контексте развития индустрии?
Мы ориентированная на кибербезопасность компания, поэтому могу сказать лишь, что 2024 год, по идее, должен быть более-менее позитивным. Принятие ETF и другие положительные моменты вроде халвинга [биткоина] и восстановления некоторых экосистем — Solana, Near, Cosmos — все это может повлиять.
Так и сделаем. По понятным причинам на бычьем рынке хакеры всегда более активны. В 2024 году вы ожидаете всплеск преступности?
Всплеск мы ожидаем однозначно, потому что использование ИИ-инструментов и различных ИИ-модулей в мошеннических целях будет только нарастать, мы в этом абсолютно уверены.
Реальность такова, что нашей индустрии искусственный интеллект не пойдет на пользу. В благих целях [технология] тоже работает, но мошенники всегда на два шага впереди. Я думаю, мы будем наблюдать, как вредоносные программы на базе ИИ будут скамить круче, чем самые изощренные мошенники.
В 2025 году мы можем стать свидетелями следующей ситуации: децентрализованный протокол, полностью написанный искусственным интеллектом, будет атакован созданной ИИ вредоносной утилитой, а ориентированный на безопасность модуль, также разработанный нейросетью, будет это расследовать или пытаться предотвратить.
Полная цифровизация щита и меча.
Да, только до сценария «Терминатора», что машины захватят мир в физическом варианте, еще очень далеко. Заменить физический труд и вообще физическую активность — это не скоро, а вот на программном уровне мы склоняемся к тому, что очень близко. К сожалению, в контексте мошенничества подобная тенденция тоже будет усиливаться.
Что касается кибербезопасности в целом. Уязвимости в программном коде будут всегда, от них никуда не деться. Поскольку исходный код большинства продуктов на блокчейне открыт, мошенники еще на стадии тестнета прорабатывают все свои атаки и как только видят, что какой-то код, к которому они могут подступиться, развернут в мейннете, — сразу происходят атака.
Искусственный интеллект поможет выявлять в открытом исходном коде дыры, которыми можно воспользоваться в недобросовестных целях.
То есть хакеры будут использовать нейросети для поиска эксплойтов?
То, что сейчас опытные хакеры делают руками, глазами, своими скриптами, какими-то устройствами, перенесут на ИИ-модули, и нейросеть будет помогать находить эти «дыры» в исходном коде максимально быстро.
Этим будут пользоваться и безопасники. Например, у Certik есть инструмент, который сканирует код смарт-контракта на наличие всех известных компании уязвимостей, ну и всех известных уязвимостей в открытом доступе. Но это помогает только в 90% случаев, к сожалению.
Могу сказать, что поверхностные аудиты смарт-контрактов и вообще децентрализованных платформ, которые делаются для галочки, — это тоже большая проблема.
Условный Certik создала такой инструмент, которым мелкие проекты, что называется, прикрываются. Они покупают у них минимальный тариф сканера, загружают туда код смарт-контракта, программа сканирует и выдает, что-то вроде: «уязвимости не обнаружено». Но она сканирует, возможно, 90-95% возможных уязвимостей, которые наиболее на поверхности.
Полноценного пентеста не происходит?
Конечно. У Certik можно запросить полноценный аудит, он будет стоить десятки, а иногда и сотни тысяч долларов. Тогда ты можешь быть более или менее уверен.
А такие сканеры стоят до $5000. Можно просканировать любой смарт-контракт на самые известные уязвимости. Я думаю, что скоро такие сервисы будут доступны по подписке $200-300 в месяц, что одновременно и хорошо, и нет.
Это должен быть один из инструментов проверки, но многие проекты пользуются тем, что есть известный лейбл, что это Certik делал. Проект прогоняет [смарт-контракт] через этот сканер и Certik автоматом генерирует какой-то сертификат. Люди загружают его к себе на сайт, в GitHub и пишут, что мы прошли аудит от Certik, дальше забивают и их взламывают.
Давай еще раз вернемся к ИИ. Можем ли мы ожидать появления на рынке такого игрока, который будет предлагать что-то вроде сервиса «безопасность как услуга»?
То есть некий программный модуль на базе ИИ, который будет подключаться к децентрализованному приложению или даже интегрироваться в блокчейн и в live-формате искать необычную активность или проверять код.
Я оцениваю вероятность этого в 101%. Потому что мы над этим работаем, и конкуренты наши над этим работают.
Однако я не могу сказать, что у нас это получится быстро и эксклюзивно, потому что у нас маленькая команда и мы не стоим $8 млрд как Chainalysis. Но мы хотели бы быть первыми.
Мы знаем, что в Израиле есть компания в сфере кибербезопасности, у которой одни из самых передовых наработок этой области. Мы не знаем точных планов Chainalysis, Elliptic, Certik и других. Но подозреваю, что, учитывая наличие у них огромных ресурсов, они смогут это сделать быстро, даже если начнут позже.
Мы будем стараться конкурировать и выпускать в первой половине 2024 года такой продукт, который будет сканировать контракты в реальном времени.
Помимо угрозы ИИ, какие еще есть проблемы в контексте безопасности?
Смарт-контракт проходит аудит в какой-то момент времени. Скорее всего, перед развертыванием в мейннете. После этого происходит множество апдейтов контракта и на каждый такой апдейт, по идее, нужен новый аудит. Маленький, большой, глубокий, не очень глубокий, но нужен. Большинство этого не делает.
Когда-то мы проводили исследование. Десятки аудитов на каждое обновление контракта делает 1inch. По нашей информации, больше аудитов, чем у них, сегодня нет ни у кого в открытом доступе.
После инцидента со взломом команда Wormhole также сделала более 40 аудитов. Эти данные могут быть устаревшими — у обоих проектов показатели уже могут быть больше.
У Aave также очень много аудитов. Каждое обновление, каждый апдейт смарт-контракта — они делают несколько серьезных аудитов у ведущих компаний. Это стоит больших денег.
При этом мы думаем, что кроссчейн-решения вроде Wormhole будут все так же уязвимы в дальнейшем. Даже еще больше. Я имею ввиду не просто мосты между Ethereum и Arbitrum — их гораздо легче поддерживать.
Когда у тебя много сетей, необходимо поддерживать безопасность всех смарт-контрактов и роутеров в идеальном состоянии. На это нужны огромные ресурсы, бюджет и время.
Решения второго уровня (L2) с их централизованными секвенсорами, которые управляются мультиподписью 3-из-5, тоже далеки от безопасности. Мы считаем, что это не масштабирование Ethereum, а фрагментирование ликвидности блокчейна на кучу несвязанных между собой сетей.
То есть, если это гонка и в итоге победят два-три проекта, — хорошо. Но если сегмент будет и дальше так развиваться, это просто небезопасное фрагментирование.
Чтобы ты тогда выделил как альтернативу? Разработчики Ethereum решили сосредоточиться на роллапах.
Да, и пока видится, что Optimism и Arbitrum являются лучшими решениями. Но они между собой не взаимодействуют, а кажется, что должна быть какая-то синергия, а они просто разрывают ликвидность. Для простого пользователя переводить туда активы — то же самое, что бриджить их из Ethereum в Near или Solana.
Да. С точки зрения пользователя никакой какой разницы нет, в том числе и в разрезе комиссий.
Пакетирование транзакций и их запись в Ethereum, то, как обеспечивается безопасность L2, — это очень скользкий момент. В экосистеме биткоина тоже есть проблемы, но они не такие большие.
Мы помним уязвимости Lightning Network (LN), которые раскрылись в 2023 году, и определенный отток разработчиков, в том числе авторитетных. Они считают, что нужно разобраться с безопасностью, а не гнаться за подключением большего числа каналов и увеличением ликвидности.
Проблемы те же самые, что и в L2 для Ethereum. LN — это пока что не безопасное решение, достаточно централизованное. Я менее скептичен к Lightning Network, но все же скептичен.
Какие еще есть проблемы у биткоина? .
Цензура, прежде всего из-за спама Ordinals. Даже на медвежьем рынке — и речь о той фазе, которая тянулась на протяжении лета 2023 года — сеть спамили очень сильно. Если не угадал с комиссией или она резко изменилась пока ты создавал транзакцию, можно было зависнуть в мемпуле на трое суток.
При этом в биткоине на уровне простых интерфейсов нет удобных инструментов, которые позволили бы «подтолкнуть» транзакцию.
Поэтому есть опасения, что в Ordinals или токенами стандарта BRC-20 могут сеть заспамить так, что она практически встанет. Это не значит, что генерация блоков прекратится и блокчейн перестанет работать. Но то факт, что ты не можешь отправить транзакцию из-за огромных комиссий и перегруженности мемпула, для рядового пользователя на бычьем рынке будет равносилен ее остановке.
Поэтому среди основных разработчиков биткоина ходят разговоры о том, чтобы на уровне протокола внедрить какие-то ограничения, какие-то санкции на использование сети. А это цензурирование — это не хорошо. Такое мы привыкли видеть в сетях альткоинов. В биткоине подобных инцидентов не было.
Если команда Bitcoin Core пойдет на такой шаг, это может негативно сказаться на экосистеме. Я, например, уже сейчас не знаю что можно будет делать с биткоином, кроме как удерживать его и ради интереса или ради повышения безопасности раз в полгода пересылать активы на новый кошелек.
Предлагаемые решения — смарт-контракты на биткоине, токены, NFT, какие-то DeFi-продукты — все они настолько «костыли», что это точно не приведет к массовому принятию. Это небо и земля, если сравнивать их с сетями вроде Ethereum, Solana и Cosmos.
Если я правильно помню, большая часть этих решений так или иначе завязана на Lightning Network.
Да, именно так. Что касается биткоина, хотел бы добавить, что в начале 2023 года 50% хешрейта биткоина контролировали всего четыре майнинговых пула. Однако наблюдается долгосрочная тенденция, при которой Foundry и AntPool контролируют по 27% хешрейта.
Биткоин-максималисты утверждают, что это не проблема, ведь проведение 51%-атаки не в их интересах. То же самое можно сказать о централизации в системе Proof-of-Stake (PoS): зачем валидаторам наносить ущерб сети? Но мы же высчитываем коэффициент Накамото, указывая на централизацию Ethereum.
В биткоине, когда пул Foundry, принадлежащей Digital Currency Group (DCG), и AntPool, принадлежащий Джихану Ву и Bitmain, контролируют большую часть хешрейта, это вызывает вопросы. К тому же, у Foundry имеется система цензурирования транзакций по запросу OFAC.
А как насчет PoS-алгоритма, наблюдается ли там централизация и соответствующие проблемы?
В Ethereum сейчас много говорят о централизации стейкинга через Lido Finance. Недавно Lido Finance держал до 33% стейка, а Coinbase — до 15%. В совокупности они скоро могут контролировать 50% стейка. Для атаки на PoS-сеть нужно две трети плюс один голос, то есть 67%. Но нет гарантий, что доля Lido Finance не увеличится, так как это удобный инструмент для людей без 32 ETH для нативного стейкинга.
Lido Finance пытался ограничить максимальный стейк до 22%, но DAO отклонило это предложение, так как оно ограничивало бы только Lido. Недавно доля стейка Ethereum у Coinbase увеличилась с 8% до почти 14%.
Теоретически доля биржи может увеличиться, если примут Ethereum-ETF и позволят провайдерам вносить собранные под фонды активы в стейкинг, особенно если большинство выберет Coinbase в качестве кастодиана.
Да, доля Coinbase, безусловно, будет расти. В 2024 году доля Lido Finance может вырасти до 40-50%, а Coinbase — до 22%. Тогда два сервиса будут контролировать более двух третей стейкинга, что является серьезной проблемой.
Были призывы к санкциям на уровне протокола, но никто на это не обратил внимания. В Ethereum среди разработчиков пока никто не решался высказываться по этому поводу. В Lido Finance говорят о децентрализованном DAO, но мы знаем, что большинство крупных DAO не оправдали ожиданий. Большое влияние имеют фонды, и они голосуют по своему усмотрению.
DAO имеет будущее, но считать, что DAO Lido Finance децентрализовано и его решения серьезны, нельзя. Они голосовали против ограничений, следуя своим материальным интересам.
Какой выход из ситуации? На конференции The Staking Summit в Стамбуле обсуждалась технология распределенного валидатора. В команде Rocket Pool также говорят о развитии конкуренции. Без достойного конкурента Lido Finance или группы конкурентов мы ничего не можем сделать?
Да, развитие конкуренции крайне важно, хотя пока это выглядит нереалистично. Lido Finance имеет сильные позиции на рынке, а новые протоколы, создающие хайп, только усиливают их доминацию. Blast, например, быстро набрал большой TVL, фактически способствуя росту доминации Lido.
Подобные проекты однозначно будут выбирать лидера рынка, чтобы привлечь пользователя.
Абсолютно. И если Rocket Pool еще могут выбирать, то другие протоколы — у них нет репутации, о них никто не знает.
В свое время Binance сильно монополизировала рынок — сейчас ее доля падает по понятным причинам. Но тогда на них все возмущались. В Ethereum недовольны Lido, в биткоине — теми пулами, которые мы обсуждали.
Люди обычно возмущаются монополиями в любой индустрии, и наша не исключение.
Совершенно верно, в вопросах безопасности это особенно актуально. К примеру, «Київстар» контролирует около 50% рынка. Когда возникают проблемы со связью, это затрагивает полстраны, включая банки, банкоматы и терминалы.
Похожая ситуация с Lido: даже если они не намереваются злонамеренно действовать, представьте, что произойдет, если Lido достигнет 33% стейка. Достаточно взломать Lido, чтобы остановить сеть.
Также мы анализируем, сколько валидаторов нужно, чтобы собрать 33% стейка, например, в Solana это 24 валидатора. Если они сговорятся, они смогут остановить сеть. У Coinbase, насколько я знаю, есть два валидатора в этом списке.
Давай поговорим о транзакционной активности. Я слышал, что в некоторых блокчейнах основную активность создают боты. Вы наблюдали такое в HAPI?
Да, в сетях, где стоимость транзакций низкая, это довольно распространено. Сложно проанализировать, но мы подозреваем, что такое было в Near, Solana, Fantom, Avalanche. Когда Sui показала резкий рост активных пользователей, это выглядело подозрительно, учитывая отсутствие развитой экосистемы.
Мы сталкивались с ситуациями, когда проекты создают искусственную транзакционную активность, намекая на ретродропы, чтобы увеличить пользовательскую базу. Однако большая часть этих «пользователей» — это мультиаккаунты.
Значит, в 2024 году мы можем ожидать ужесточения требований к участию в аирдропах?
Абсолютно точно, за счет цифровой идентичности. К примеру, мы работаем над решением HAPI ID, чтобы улучшить систему идентификации без KYC. Это поможет отфильтровать мультиаккаунты, так как поддерживать высокий рейтинг на множестве аккаунтов будет сложно. Мы тестируем этот механизм с несколькими сетями в качестве пилотного проекта, стремясь к синергии в этой области.
Может ты дашь какие-либо советы нашим читателям?
Жадность и неосторожность пользователей играют на руку мошенникам. Это основное. Все фейковые каналы в Discord и Telegram, в которые вы даже не помните, как попали, и где предлагается участие в аирдропе, требующее подключения вашего кошелька или предоставления разрешений, часто приводят к потере средств из-за бездумных действий.
Всегда нужно проверять, является ли сайт оригинальным сайтом проекта. Для этого можно воспользоваться CoinMarketCap или CoinGecko. Также вижу проблему в Telegram-ботах, где пользователи либо передают свой приватный ключ, либо генерируют новый, который видят только один раз и который, как предполагается, можно импортировать. Однако код бота обычно закрыт и непрозрачен.
Важно регулярно обновлять приложения и пароли, проверять права доступа приложений к вашему кошельку и при необходимости отзывать их, проверять активные сессии и включать двухфакторную аутентификацию. Пример с Ledger показывает, что угрозы могут касаться всех кошельков и протоколов из-за вредоносного кода, внедренного в одну из библиотек всего лишь на два часа.
