Het miljard dollar beveiligingsprobleem van blockchain bruggen

Eerst Wormhole en Axie Infinity, nu Nomad: Hackers stelen miljarden door blockchain-bruggen aan te vallen. Dat is waarom ze zo kwetsbaar zijn.

Hackers stelen bijna 200 miljoen dollar van Project Nomad op maandag, 1 augustus 2022. En weer was het doelwit van de cybercriminelen: de blockchain-brug. De zaak werpt licht op een ernstig veiligheidsprobleem in de industrie, omdat zogenaamde bruggen het perfecte doelwit zijn voor hackers en steeds vaker voorkomen in de DeFi-sector. Deskundigen waarschuwen al maanden voor het gevaar. Dit jaar is al meer dan een miljard dollar op deze manier gestolen.

De beroemdste zaak trof de sector in maart 2022: Axie Infinity. Hackers hebben 625 miljoen dollar gestolen door de brug van het populaire spel "play-to-earn" aan te vallen. Daarvoor werd Wormhole geraakt in februari 2022 voor 320 miljoen US dollar. Er bestaan meer dan 70 DeFi bruggen, volgens beveiligingsexpert Sebastian Banescu. De reden voor hun populariteit: bruggen lossen een fundamenteel probleem van blockchains op. Maar tegen een hoge prijs.

Een lucratief doelwit voor cybercriminelen

Populaire cryptocurrencies zoals Bitcoin (BTC) of Ethereum (ETH) zijn gebaseerd op onafhankelijke blockchains met verschillende regels en programmeertalen. Eigenlijk kunnen ze niet rechtstreeks met elkaar communiceren. Dit is precies waar bruggen in het spel komen. Ze maken communicatie tussen native blockchains mogelijk, met verschillende trucs.

Als iemand bijvoorbeeld Solana nodig heeft om zich aan te melden voor een dienst, maar alleen Ethereum heeft, kan hij het in een bridge stoppen, Solana krijgen en het dan aan het eind gewoon weer terugwisselen. Gebruikers zetten daarmee hun cryptocurrency vast op een blockchain in een smart contract. Deze tokens worden dan opnieuw uitgegeven (gemijnd) in een ander netwerk.

Tegelijkertijd bieden bridges bijzonder veel aanvalsoppervlakken in vergelijking met klassieke slimme contracten op een blockchain. "De complexiteit van de interactie tussen blockchains zorgt voor een zeer fragiel systeem dat extreem moeilijk te beschermen is", zegt Sebastian Banescu van Quantstamp. "Een hacker hoeft maar een klein gaatje te vinden om geld te stelen."

"Bruggen zijn een bijzonder lucratief doelwit geworden voor cybercriminelen omdat er zulke enorme sommen geld doorheen stromen", zegt Adrian Hetman van Immunefi, een toonaangevend blockchainbeveiligingsbedrijf. Hij is er zeker van: "We zullen meer van deze aanvallen zien."

Het meest ingrijpend is dat Vitalik Buterin, de oprichter van Ethereum, in een blogpost in januari 2022 waarschuwde voor het veiligheidsrisico dat bridges met zich meebrengen. Op lange termijn zouden ze volgens hem het hele crypto-ecosysteem in gevaar kunnen brengen:

''Als er honderd blockchains bestaan met hun eigen dApps en deze via bridges van elkaar afhankelijk worden, dan is een aanval op één van deze ketens voldoende om het hele systeem te besmetten.'' Aldus Vitalik Buterin.

Een eerste doorbraak om dit probleem op te lossen werd onlangs bereikt door Polkadot (DOT), het project van Ethereum mede-oprichter Gavin Wood. In mei 2022 publiceerde het platform een update, XMC genaamd, die veilige en snelle uitwisseling tussen blockchains mogelijk maakt zonder bridges, via zogenaamde parachains.