После того как сайт Curve Finance подвергся масштабной атаке через захват DNS в начале месяца, в криптосообществе усилились опасения по поводу всё более изощрённых и комплексных методов, применяемых злоумышленниками. Компрометация соцсетей, эксплойты интерфейсов, уязвимости в смарт-контрактах — всё это отражает устойчивую и эволюционирующую угрозу, с которой сталкивается Web3-экосистема.
По мере роста популярности DeFi и криптовалют в целом, увеличивается и число тех, кто хочет нажиться на этом технологическом феномене. Атаки становятся, увы, почти неизбежным элементом ландшафта. В условиях постоянного давления возникает логичный вопрос: как строить устойчивость? Михаил Егоров, основатель Curve Finance, затронул эти и другие темы в эксклюзивном интервью изданию BeInCrypto.
Curve Finance реагирует на взлом
Крупнейшее хищение в истории криптоиндустрии произошло в этом году — и это был не единичный случай. Векторы атак на сектор децентрализованных финансов множатся: фишинг внутри команд Coinbase, уязвимости на уровне протокола в zkSync, а также громкий DNS-взлом в Curve Finance — всё это часть системной проблемы.
Егоров в интервью обозначил уязвимые места архитектуры Web3 и возможные пути выхода из ситуации.
«Проблемы с безопасностью в классическом интернете — вещь не новая. Но если во времена Web2 ущерб зачастую можно было локализовать и минимизировать, то в крипте ситуация иная: каждая транзакция финализируется почти мгновенно, откатов не предусмотрено. Поэтому планка требований к защите тут значительно выше, а текущая интернет-инфраструктура попросту не заточена под такие реалии», — пояснил он.
Curve Finance, один из самых известных децентрализованных обменников, уже не раз сталкивался с инцидентами на грани фатальных, что вынудило команду непрерывно адаптировать методы защиты. Тем не менее, в этом месяце очередной атаке подвергся официальный сайт протокола, и в результате команде пришлось сменить доменное имя.
По словам Егора, проблема — глубже, чем кажется. Речь идёт не просто о недочётах реализации, а о фундаментальных изъянах архитектуры современного веба.
«Считаю, что с технологической точки зрения мы сделали всё, что могли. Проблема была внешняя. Современная модель построения веб-приложений в своей основе уязвима. Нам необходимы десктопные приложения, изначально проектируемые с учётом требований безопасности», — резюмировал он.
Структурные слабости Web3 — унаследованы от Web2
Егоров детализировал несколько уязвимостей, которые способствовали атаке на Curve и аналогичным инцидентам в отрасли. В частности, даже децентрализованные Web3-приложения всё ещё опираются на централизованные компоненты — такие как DNS-регистраторы, обеспечивающие связь между доменом сайта и хостингом его интерфейса.
Если атакующий может обмануть, подкупить или захватить контроль над этими регистраторами — открывается опаснейший вектор атаки. Именно эта схема и была использована против Curve.
Но и это далеко не всё. Современные веб-приложения полагаются на тысячи микропакетов JavaScript, зачастую созданных сторонними разработчиками. Отсутствие систематического аудита этих зависимостей создаёт риск скрытого внедрения вредоносного кода, который способен обойти любую внешнюю проверку.
Проще говоря, Web3 остаётся уязвимым перед атаками, унаследованными от Web2.
