Alcuni anni fa, gli hacker criminali hanno preso di mira senza pietà le piattaforme di scambio di criptovalute, sottraendo valute digitali per un valore di milioni di dollari. Oggi, dato che le piattaforme di scambio stanno rafforzando in modo più efficace le proprie reti, i malintenzionati prendono di mira i ponti cross-chain, ovvero gli strumenti che consentono lo scambio di diverse criptovalute tra blockchain diverse.
E, a differenza della precedente ondata di attacchi alle criptovalute, molte di queste recenti rapine stanno sottraendo miliardi dai conti e stanno — forse ingiustamente — minando la fiducia nella sicurezza stessa della blockchain.
Si consideri quanto segue: Chainalysis, una società specializzata nell’analisi della blockchain, stima che sia stata sottratta la cifra sbalorditiva di “2 miliardi di dollari in criptovalute nel corso di 13 attacchi distinti ai bridge cross-chain”, la maggior parte dei quali avvenuti quest’anno. Gli attacchi ai ponti hanno rappresentato il 69% del totale dei fondi sottratti nel 2022, ha affermato la società. Ancora più preoccupante è il fatto che, secondo le stime di Chainalysis, circa 1 miliardo di dollari di tali furti sia stato perpetrato da hacker collegati a e alla Corea del Nord.
Some of the more notorious cross-chain bridge cryptocurrency thefts of 2022 include: Poly Network, $611 million (mostly returned); Nomad, $200 million; Harmony, $100 million; Ronin Network/Axie Infinity, as much as $625 million; and Wormhole, $325 million (restored to user accounts).
Rapine di tale portata dovrebbero destare preoccupazione nei responsabili della sicurezza aziendale. Numerose aziende di grande rilievo, operanti in una vasta gamma di settori , hanno avviato iniziative basate sulla blockchain per trarre vantaggio dalla tendenza verso i servizi decentralizzati del Web 3,0 . Alcune aziende, come le banche, stanno utilizzando le proprie blockchain aziendali proprietarie per facilitare i pagamenti, mentre le società di videogiochi le hanno impiegate per gestire le transazioni all’interno dei giochi. La sicurezza dei ponti sottostanti che collegano tutte queste piattaforme si rivelerà sempre più fondamentale anche molto tempo dopo che la mania delle criptovalute si sarà esaurita.
Come funzionano i ponti cross-chain
Per comprendere perché gli attacchi ai ponti cross-chain stiano aumentando in termini di gravità e impatto, è utile capire in che modo essi siano collegati alle blockchain, come funzionino e come interagiscano con gli exchange di criptovalute.
Innanzitutto, le blockchain non sono altro che registri digitali inconfutabili destinati a documentare l’esistenza di entità digitali. Sono considerati quasi impenetrabili e altamente sicuri. Ogni criptovaluta, che si tratti di bitcoin, ether o altro, dispone di una blockchain distinta.
“Non appena si verifica una concentrazione di valore, gli aggressori entrano in azione. Per loro è una vera e propria miniera d’oro.”Tara Annison, autrice del libro *The Bitcoin ABC Book*
Se desiderate scambiare una valuta digitale — ad esempio un bitcoin con un ether, o anche un dollaro — si ricorre ai ponti cross-chain per effettuare la conversione tra i diversi “linguaggi” delle blockchain.
È proprio lì che la situazione si fa più rischiosa. A differenza del mondo reale, dove è possibile recarsi in banca o allo sportello di cambio valuta di un aeroporto per cambiare valuta estera, nel mondo digitale è necessario superare una serie di ostacoli tecnici per scambiare criptovalute. Il processo inizia con il deposito dei fondi che si desidera scambiare all’ingresso virtuale di un ponte cross-chain. Una volta lì, i fondi, spesso denominati “token di criptovaluta”, vengono vincolati in uno smart contract, ovvero un accordo autoesecutivo incorporato in un codice informatico gestito da una blockchain. (Anche gli smart contract sono vulnerabili agli attacchi informatici.)
I token, in base al “tasso di cambio” definito nel contratto, vengono quindi inviati attraverso il bridge e scambiati con i token presenti sull’altra blockchain. Il modo in cui ciò avvenga dal punto di vista tecnico è argomento di una discussione a sé stante — o di una tesi di dottorato.
Centralizzazione temporanea: un punto debole
Le piattaforme blockchain non sono certamente sicure al 100%, nonostante si affermi che siano impossibili da hackerare. Infatti, nel 2019 i criminali informatici hanno sferrato una serie di cosiddetti “attacchi al “51%”, nel corso dei quali hanno assunto il controllo di oltre la metà della potenza di calcolo di una blockchain di criptovaluta, per poi riscrivere la cronologia delle transazioni della blockchain — ritenuta immutabile — al fine di sottrarre criptovaluta.
«Le piattaforme blockchain non sono certamente sicure al 100%, nonostante si affermi che siano inattaccabili.»
Tuttavia, è improbabile che gli attacchi del 51% si verifichino spesso, poiché sono tecnicamente difficili da mettere in atto. Inoltre, è costoso per un’unica entità controllare una potenza di calcolo così elevata, poiché il costo di un hardware così potente ammonterebbe, secondo , a circa 752.000 dollari l’ora. Pertanto, i criminali informatici si concentrano sull’attacco alle tecnologie più vulnerabili che operano in prossimità delle blockchain, tra cui i portafogli digitali utilizzati per conservare le criptovalute e, più recentemente, i ponti cross-chain.
I ponti cross-chain sono teoricamente sicuri. Tuttavia, qualora gli hacker individuassero delle vulnerabilità nel codice degli strumenti presenti a entrambe le estremità della transazione, potrebbero compiere ogni sorta di azioni illecite, quali il furto di token prima o dopo il loro passaggio attraverso il bridge, l’emissione di valuta prima che questa sia stata replicata o l’appropriazione indebita dei fondi in transito attraverso il bridge.
Questa vulnerabilità sistemica ha alimentato un dibattito sull’opportunità fondamentale delle tecnologie che fungono da ponte tra le blockchain. Se la criptovaluta è destinata a essere un sistema di finanza decentralizzata (DeFi) che contrasta la centralizzazione della finanza tradizionale (TradFi), il fatto di “parcheggiare” le criptovalute a entrambe le estremità di un ponte, in sostanza, sa fortemente di centralizzazione agli occhi dei puristi del settore.
[Leggi anche: Sorpresa! Si tratta di un’altra vulnerabilità zero-day.]
«Non appena si verifica una concentrazione di valore, gli hacker entrano in azione», afferma Tara Annison, ideatrice del gioco “ : Game Against Cryptocurrency” e coautrice del libro “ : The Bitcoin ABC Book” (che non è destinato esclusivamente ai bambini). «Per loro è una vera e propria miniera d’oro, e in questo momento i ponti sono di gran moda.»
Victor Young è d’accordo. Il fondatore e capo progettista di Analog, una piattaforma decentralizzata per le transazioni su blockchain, paragona il sistema al trasporto di ingenti somme di denaro in un furgone blindato che viene rapinato mentre si sposta da una banca all’altra. «Tutti questi bridge sono estremamente centralizzati, in quanto concentrano la liquidità in un unico luogo», afferma. «Questo è il problema che si presenta quando si ricorre a un depositario centralizzato per i fondi. “Si tratta di un punto di fallimento unico che deve essere risolto.”
Si sta procedendo troppo in fretta?
Neil Ford, direttore dello sviluppo di Big Dog Mining e specialista di marketing presso , , CoinGeek e — una testata online che segue il settore della blockchain — aggiunge di non essere «sicuro del motivo per cui abbiamo bisogno di token cross-chain». Egli teme che, sebbene il codice alla base di molti ponti cross-chain sia scritto nel modo più solido possibile, alcuni nuovi operatori del settore siano più interessati a privilegiare la crescita rispetto alla sicurezza.
«Tutti devono rallentare il ritmo, rendersi conto che si tratta di una maratona e non di una corsa, e attribuire la massima priorità alla sicurezza informatica.»Stephen Tong, cofondatore di Zellic, una startup specializzata in audit di sicurezza blockchain
«Si osservano queste vulnerabilità e questi vettori di attacco in cui le persone si limitano a diffondere questo codice senza che sia stato sottoposto a test completi», afferma. «È fondamentale che quel ponte cross-chain sia a prova di errore se si intende trasferire attraverso di esso milioni o miliardi di dollari in criptovalute.»
Stephen Tong, cofondatore di Zellic, una startup specializzata in audit di sicurezza blockchain, afferma che gran parte del problema riguarda le società che gestiscono ponti inter-chain, le quali, vedendo un potenziale così elevato di profitti ingenti durante la recente mania per le criptovalute, hanno agito con troppa fretta, a loro discapito. «Ritengo che in questo ecosistema esista una cultura del “spedisci subito e fai domande dopo”, il che è comprensibile dato il contesto di mercato estremamente competitivo», afferma Tong.
Young sostiene tuttavia che ciò costituisca una fonte di problemi, poiché più rapidamente le società che gestiscono i ponti cross-chain implementano il codice, maggiore è la probabilità che esso presenti difetti. «Il fatto è che ci sono molti dilettanti là fuori, in questo nuovo mondo del Web 3,0 », afferma. «Le aziende [che operano nel settore delle criptovalute e dei bridge cross-chain] devono davvero tornare alle basi. «Tutti devono rallentare il ritmo, rendersi conto che si tratta di una maratona e non di una corsa breve, e attribuire la massima priorità alla sicurezza informatica».
Possibili soluzioni
Rendere più sicuri i ponti cross-chain non sarà tuttavia un’impresa facile. Infatti, alcuni esperti del settore, come il cofondatore di Ethereum Vitalik Buterin, , sono scettici riguardo alla fattibilità di tale progetto. Ciononostante, gli esperti hanno proposto alcuni approcci volti a rendere più sicuro l’intero ecosistema blockchain.
[Leggi anche: Che cos’è l’ Converged Endpoint Management?]
Alcuni suggeriscono di abbandonare del tutto lo scambio di criptovalute. Ma è un po’ come dire a qualcuno che può evitare che il proprio computer venga hackerato scollegandolo da Internet. È improbabile che ciò accada. Agli esseri umani piace fare scambi.
In alternativa, Buterin e altri hanno sostenuto l’adozione di approcci basati su blockchain multichain, in cui i progetti di criptovaluta vengono implementati su numerose catene anziché su una o due.
«Con la centralizzazione, esiste un unico punto di attacco, proprio come quando tutti i propri soldi sono depositati in un’unica banca e qualcuno arriva semplicemente e fa saltare in aria la cassaforte», spiega Annison, autore, sviluppatore di videogiochi ed esperto mondiale in materia di cripto-asset. «Ma se il denaro è depositato presso più banche, ciò significa che qualcuno dovrà cercare di colpire più banche, il che rende l’operazione più complessa per gli hacker.»
Altri sostengono che una delle soluzioni migliori sarebbe quella di tornare alle basi e porre l’accento su migliori pratiche di progettazione e programmazione, effettuare un maggior numero di verifiche e ritenere gli ingegneri e gli sviluppatori responsabili degli errori evitabili.
«Con la centralizzazione, c’è un unico punto di attacco, proprio come quando tutti i vostri soldi sono in un’unica banca e qualcuno arriva e fa saltare la cassaforte.»Tara Annison
Tong di Zellic, che si guadagna da vivere svolgendo attività di revisione contabile, avverte che ciò avrebbe un effetto limitato. Egli afferma che molti attacchi informatici si verificano dopo che il codice è stato sottoposto a revisione e successivamente modificato, introducendo vulnerabilità critiche che non sono state individuate poiché non è stata effettuata alcuna revisione successiva.
«Ho riscontrato molti bug che sarebbero stati individuati da verifiche successive — molti bug banali che non avrebbero mai dovuto arrivare in produzione», afferma. «C’è una differenza tra subire un attacco informatico dopo aver fatto tutto il possibile per evitarlo e le situazioni in cui si subisce un attacco perché non si è verificato che il codice fosse solido.»
Le blockchain non stanno subendo crolli
Annison afferma che, nonostante tutti i recenti attacchi informatici, è importante rendersi conto che non è affatto la fine del mondo. È necessario che le persone si fermino un attimo a riflettere e si rendano conto che le tecnologie emergenti attraversano una fase di crescita non priva di difficoltà. Le blockchain, di per sé, continuano a essere ampiamente utili e costituiscono basi in gran parte sicure per il commercio digitale, afferma.
«La blockchain sopravviverà», afferma. «Ci saranno alcuni investitori insoddisfatti, ma la blockchain non crollerà solo perché il prezzo delle criptovalute è sceso improvvisamente o perché si è verificato un attacco informatico ai danni di un exchange centralizzato o decentralizzato.»
