Штучний інтелект: новий виклик для безпеки криптоіндустрії та баунті на помилки

Баунті на помилки досягли меж, оскільки ШІ ставить криптохакерів на рівні однаковості

Експерти стверджують, що штучний інтелект надав криптоатакувальникам ті ж інструменти, що й захисникам, і наслідки цього обходяться індустрії у мільярди доларів.

Мітчелл Амадор, генеральний директор Immunefi, повідомив Decrypt під час початку тижня Token2049 у Сінгапурі, що ШІ перетворив виявлення вразливостей на швидкий експлуатаційний процес, і що розроблені його компанією просунуті інструменти аудиту більше не є привілеєм `гарних хлопців`.

«Якщо ми маємо це, чи може група Лазаря з Північної Кореї створити подібні інструменти? Чи можуть російські та українські хакерські групи створити подібні інструменти?» - запитав Амадор. - «Відповідь полягає в тому, що можуть.»

За словами Амадора, агент ШІ для аудиту Immunefi перевершує більшість традиційних аудиторських фірм, але той же інструмент також доступний для добре фінансованих хакерських операцій.

«Аудити чудові, але цього абсолютно недостатньо, щоб встигати за темпами інновацій та темпами зростання атакуючих», - додав він.

Зі слів Амадора, у 2024 році було вкрадено понад 3% загальної вартості активів по всьому екосистемі, і хоч безпека більше не є другорядною, проекти «борються з тим, як інвестувати та як ефективно розподілити ресурси».

«Індустрія перейшла від «проблеми пріоритетності, що є чудовою річчю, до проблеми знань та освіти», - підкреслив він.

Крім того, за словами Амадора, ШІ зробив складні соціальні інженерні атаки надзвичайно дешевими.

«Скільки, на вашу думку, коштує той телефонний дзвінок?» - запитав він, посилаючись на фішингові дзвінки, що генеруються ШІ, які можуть в точності наслідувати колег. - «Ви можете реалізувати це за копійки, використовуючи добре продуману систему запитів, і ви можете виконувати такі атаки масово. Це страшна частина ШІ.»

Генеральний директор Immunefi зазначив, що такі групи, як Лазар, наймовірніше, залучають «принаймні кілька сотень людей, якщо не тисячі, які працюють цілодобово» на експлуатаціях криптовалюти як основне джерело доходу для економіки Північної Кореї.

«Конкурентний тиск, що походить з річних квот доходів Північної Кореї, змушує оперативників захищати окремі активи і «перевершувати колег», а не координувати поліпшення безпеки», - виявила недавня доповідь розвідки SentinelLABS.

«Гра з атаками на основі ШІ полягає в тому, що вона прискорює швидкість, з якою щось може перейти з виявлення до експлуатації», - сказав Амадор Decrypt. - «Щоб захиститися від цього, єдине рішення - ще швидші контрзаходи.»

Відповідь Immunefi полягала в інтеграції ШІ безпосередньо в репозиторії GitHub та конвеєри CI/CD розробників, щоб виявляти вразливості до того, як код потрапить у виробництво, - зазначив він, прогнозуючи, що цей підхід спровокує «різке зниження» атак на DeFi протягом одного-двох років, потенційно зменшуючи кількість інцидентів ще в рази.

Дмитро Матвіїв, генеральний директор платформи баунті HackenProof, повідомив Decrypt, що «ручні аудити завжди матимуть своє місце, але їх роль зміститься».

«Інструменти ШІ день за днем стають все ефективнішими у виявленні `низько висячих плодів` вразливостей, що зменшує потребу в масштабних ручних оглядах поширених помилок», - сказав він. - «Те, що залишається, - це тонкі, залежні від контексту питання, які вимагають глибокої людської експертизи.»

Щоб захиститися від атак на основі ШІ, Immunefi запровадила політику лише білих списків для всіх компанійських ресурсів і інфраструктури, що, за словами Амадора, «дуже ефективно перервало тисячі спроб таких атак, як техніки фішингу.»

Але цей рівень обережності є непрактичним для більшості організацій, сказав він, зазначивши, що «ми можемо це робити в Immuneify, оскільки ми компанія, яка живе та дихає безпекою і пильністю. Звичайним людям це зробити важче. Вони мають жити своїм життям.»

Баунті на помилки досягли стелі

Immunefi виплатила понад $100 мільйонів білим хакерам, з постійними місячними виплатами в межах від $1 мільйона до $5 мільйонів. Однак Амадор сказав Decrypt, що платформа «досягла меж», оскільки немає «досить рядів для забезпечення необхідного покриття в індустрії».

Ця обмеженість не лише в доступності дослідників, оскільки баунті на помилки стикаються з вродженою проблемою гри з нульовою сумою, яка створює дещо спотворені стимули для обох сторін, згідно з Амадором.

Дослідники повинні розкрити вразливості, щоб підтвердити їх існування, але вони втрачають всю владу, як тільки ці вразливості розкрито. Immunefi пом`якшує це, ведучи переговори про всебічні контракти, які визначають все до розкриття.

Тим часом Матвіїв сказав Decrypt, що не вважає, що «ми де-небудь близькі до виснаження глобального пулу безпеки», зазначаючи, що нові дослідники щорічно приєднуються до платформ і швидко переходять від «простих знахідок до складних вразливостей».

«Виклик полягає в тому, щоб зробити цю галузь достатньо привабливою з точки зору стимулів та спільноти, щоб ці нові особи могли залишитися.»

Баунті на помилки, ймовірно, досягли свого «вершини ефективності» поза новими інноваціями, які навіть не існують у традиційних програмах баунті на помилки, додав Амадор.

Компанія досліджує гібридні рішення на основі ШІ, щоб надати окремим дослідникам більше важелів для аудиту більшої кількості протоколів в масштабах, але вони залишаються на стадії НДР.

Баунті на помилки залишаються необхідними, оскільки «різноманітна, зовнішня спільнота завжди буде краще підготовлена для виявлення крайніх випадків, які автоматизовані системи або внутрішні команди пропускають», зазначив Матвіїв, але вони дедалі більше працюватимуть поряд з інструментами на основі ШІ для сканування, моніторингу та аудиту в «гібридних моделях».

Найбільші атаки не походять з коду

Хоча аудити смарт-контрактів і баунті на помилки значно вдосконалилися, найпотужніші експлуатації все частіше обходять код зовсім.

Атака на $1,4 мільярда на Bybit на початку цього року підкреслила цей зсув, зазначив Амадор, коли атакуючі підпорядкували фронтальну інфраструктуру Safe, щоб замінити законні транзакції multi-sig замість того, щоб експлуатувати будь-які вразливості смарт-контракту.

«Це не те, що могло бути виявлено під час аудиту або програми баунті на помилки», - сказав він. - «Це була зламане внутрішнє інфраструктурне система.»

Несмотря на поліпшення безпеки в традиційних сферах, таких як аудити, CI/CD конвеєри та баунті на помилки, Амадор підкреслив, що індустрія «не на дуже високому рівні» в захисті multi-sig, проти фішингу, анти-шахрайських заходах та спільного захисту.

Immunefi запустив продукт безпеки multi-sig, який призначає елітних білих хакерів для ручної перевірки кожної значної транзакції перед виконанням, про що вони стверджують, що це могло б зупинити атаку на Bybit. Але він визнав, що це є реактивним заходом, а не профілактичним.

Цей нерівномірний прогрес пояснює, чому 2024 рік став найгіршим роком для хаків незважаючи на вдосконалення в кодовій безпеці, оскільки паттерни атак слідують передбачуваному математичному розподілу, що робить одиничні великі інциденти неминучими, а не аномальними, сказав Амадор.

«Завжди буде один великий виняток», - сказав він. - «І це не виняток, це паттерн. Щороку стається один великий хак.»

Безпека смарт-контрактів значно вдосконалилася, сказав Матвіїв, але «наступний фронт, безумовно, стосується більшого етапу атаки: конфігурацій гаманців multi-sig, управління ключами, фішингу, атак на управління та експлуатацій на рівні екосистеми.»

Ефективна безпека вимагає виявлення вразливостей якомога раніше в процесі розробки, сказав Амадор Decrypt.

«Баунті на помилки - це другий за вартістю варіант, найдорожчим є хак», - сказав він, описуючи ієрархію витрат, що збільшується з кожним етапом.

«Ми виявляємо баги до того, як вони потраплять у виробництво, до того, як вони навіть пройдуть аудит», - додав Амадор. - «Це ніколи навіть не буде включено в аудит. Вони не витрачатимуть час на це.»

Попри те, що серйозність хаків залишається високою, Амадор сказав, що «частота інцидентів зменшується, а рівень серйозності більшості помилок також зменшується, і ми виявляємо більше й більше таких речей на ранніх стадіях циклу.»

Запитуючи, який єдиний захід безпеки повинен впроваджувати кожен проект на Token2049, Амадор закликав до створення «Уніфікованої платформи безпеки», яка б охопила кілька векторів атаки.

Це є суттєвим, оскільки фрагментована безпека фактично змушує проекти «робити дослідження самостійно» щодо продуктів, обмежень і робочих процесів, - зазначив він.

«Ми ще не дійшли до точки, де можемо впоратися з трильйонами та трильйонами активів. Ми просто поки що не досягли цього рівня.»