In letzter Zeit ist Blast zu einem heißen Thema auf dem Kryptomarkt geworden. Mit dem Ende seines Big Bang-Wettbewerbs hat sein TVL 2 Milliarden US-Dollar überschritten.
Blast hat angekündigt, dass sein Mainnet am 29. Februar gestartet wird. Die freudige Erwartung seines Airdrops hat erfolgreich viele Benutzer angezogen. Mit der Entwicklung seines Ökosystems entstehen jedoch nacheinander verschiedene Projekte, was auch dazu führt, dass häufig verschiedene Sicherheitsrisiken auftreten. Beosin erklärt Ihnen die Sicherheitsrisiken und potenziellen Chancen hinter Blast.
Was ist Blast?
Blast ist ein Layer2-System, das am 21. November 2023 von Pacman, dem Gründer von Blur, auf den Markt gebracht wurde und in der Krypto-Community schnell große Aufmerksamkeit erregte. Innerhalb von 48 Stunden nach dem Start von Blast erreichte der TVL 570 Millionen US-Dollar und zog über 50.000 Benutzer an.
Blast erhielt letztes Jahr 20 Millionen US-Dollar an Finanzierung von großen Geldgebern wie Paradigm und Standard Crypto, gefolgt von einer weiteren Investition von 5 Millionen US-Dollar von der japanischen Kryptowährungs-Investmentgesellschaft CGV im November letzten Jahres.
Laut DeBank-Daten vom 25. Februar beträgt der Gesamtwert der derzeit im Blast-Vertrag gehaltenen Vermögenswerte mehr als 2 Milliarden Dollar, von denen ETH im Wert von 1,8 Milliarden Dollar im Lido-Protokoll und DAI im Wert von über 160 Millionen Dollar im MakerDAO-Protokoll hinterlegt sind.
Warum ist Blast so beliebt?
Blast ist insofern einzigartig, als es native Renditen auf ETH und Stablecoins bietet. Wenn Benutzer ETH auf andere Layer2 übertragen, sperren diese Layer2 nur ETH-Token in ihren Smart Contracts und ordnen die entsprechenden Layer2-ETH den Benutzern zu, während Blast die ETH der Benutzer bei Lido einzahlt, um Zinsen zu verdienen und eine neue zinsbringende Stablecoin namens USDB (die Stablecoin wird zum Kauf von US-Staatsanleihen über MakerDAO verwendet) in das Blast-Netzwerk einzuführen.
Darüber hinaus ist Blast ein vom Blur-Team gestartetes Layer2. Blur hat seinen Benutzern zuvor über 200 Millionen Dollar per Airdrop ausgezahlt. Das Unternehmen verfügt bereits über eine breite Community-Basis. Darüber hinaus bietet Blast derzeit Airdrop-Anreize an, um Benutzer zur Teilnahme am Blast-Staking zu bewegen.
Blast-Sicherheitsrisiken
Blast ist seit seiner Einführung auf Kritik und Skepsis gestoßen. Am 23. November 2023 twitterte Jarrod Watts, ein Developer Relations Engineer bei Polygon Labs, dass die Zentralisierung von Blast ernsthafte Sicherheitsrisiken für die Benutzer darstellen könnte. Er stellte auch die Einstufung von Blast als Layer-2-Netzwerk in Frage, da Blast nicht dem L2-Standard entspricht und Funktionen wie Transaktionen, Bridging, Rollup oder das Senden von Transaktionsdaten an Ethereum fehlen.
Wie sicher ist Blast? Was sind die Sicherheitsrisiken von Blast? Dieses Mal haben wir den Blast Deposit-Vertrag mit dem Beosin-VaaS-Tool gescannt und die Analysen der Beosin-Sicherheitsexperten kombiniert, um den Blast Deposit-Vertragscode zu interpretieren.
Der Blast Deposit-Vertrag ist ein aktualisierbarer Vertrag. Seine Proxy-Vertragsadresse lautet 0x5F6AE08B8AeB7078cf2F96AFb089D7c9f51DA47d. Seine Implementierungsvertragsadresse lautet 0x0bD88b59D580549285f0A207Db5F06bf24a8e561. Die wichtigsten Risikopunkte sind folgende:
1. Zentralisierungsrisiko
Das wichtigste enableTransition() des Blast Deposit-Vertrags kann nur von der Admin-Adresse des Vertrags aufgerufen werden. Außerdem nimmt diese Funktion die Adresse des MainnetBridge-Vertrags als Parameter und der MainnetBridge-Vertrag kann auf alle eingesetzten ETH und DAI zugreifen.
Außerdem kann der Blast Deposit-Vertrag jederzeit über „upgradeTo()“ aktualisiert werden. Dies wird hauptsächlich verwendet, um Schwachstellen im Vertrag zu beheben, aber es besteht auch die Möglichkeit, Böses zu tun. Derzeit hat Polygon zkEVM die Aktualisierung des Vertrags relativ abgeschlossen. Für die Änderung des Vertrags in nicht dringenden Situationen ist im Allgemeinen eine Verzögerung von 10 Tagen erforderlich, und über Vertragsänderungen muss der 13-köpfige Rat entscheiden.
2. Streitigkeiten mit mehreren Unterschriften
Wenn wir uns den Blast Deposit-Vertrag ansehen, können wir erkennen, dass der Vertrag von einem Gnosis Safe 3/5 Multi-Signatur-Wallet 0x67CA7Ca75b69711cfd48B44eC3F64E469BaF608C gesteuert wird.
Diese 5 Signaturadressen sind:
0x49d495DE356259458120bfd7bCB463CFb6D6c6BA
0xb7c719eB2649c1F03bFab68b0AAa35AD538a7cC8
0x1f97306039530ADB4173C3786e86fab5e6b90F41
0x6a356C0EAA560f00127Adf5108FfAf503b9f1e11
0x46e31F27Df5047D7Fad9b1E8DFFec635cF6efAcF
Bei diesen Adressen handelt es sich allesamt um neue Adressen, die vor drei Monaten erstellt wurden, und ihre Identitäten sind unbekannt. Da es sich bei dem gesamten Vertrag tatsächlich um einen Depotvertrag handelt, der durch eine Wallet mit mehreren Signaturen geschützt ist, wurde Blast von vielen Benutzern und Entwicklern in Frage gestellt.
Blast hat diese Sicherheitsrisiken anerkannt und erklärt, dass unveränderliche Smart Contracts zwar als sicher gelten, aber unentdeckte Schwachstellen verbergen können. Aktualisierbare Smart Contracts bringen auch ihre eigenen Risiken mit sich, wie Vertrags-Upgrades und leicht ausnutzbare Zeitsperren. Um diese Risiken zu mindern, wird Blast zur Verwaltung verschiedene Hardware-Wallets verwenden, um Zentralisierungsrisiken zu vermeiden.
Blast hat jedoch noch nicht bekannt gegeben, ob durch die Wallet-Verwaltung Zentralisierung und Phishing-Angriffe vermieden werden können und ob es einen vollständigen Verwaltungsprozess gibt. Bei den beiden vorherigen Sicherheitsvorfällen von Ronin Bridge und Multichain führte die Zentralisierung der Verwaltung privater Schlüssel zu Vermögensverlusten der Benutzer, obwohl die Projektparteien Multi-Signatur-Wallets oder MPC-Wallets verwendeten.
Am 19. Februar hat das Blast-Team ein Update am Deposit-Vertrag vorgenommen. Dieses Update fügt hauptsächlich den Predeploys-Vertrag hinzu und führt die IERC20Permit-Schnittstelle ein, um den Start des Mainnets vorzubereiten.
Blast-Ökosystem-Risiko
Am 25. Februar stellte die Anti-Geldwäsche-Analyseplattform Beosin KYT fest, dass bei Risk (@riskonblast), einem GambleFi-Projekt auf Blast, der Verdacht auf einen RugRull bestand, wobei sich der Verlust auf etwa 500 ETH belief. Derzeit existiert das offizielle X-Konto nicht.
Investoren wie MoonCat2878 teilten auch ihre persönlichen Verluste. MoonCat2878 erzählte, wie sie RiskOnBlast zunächst als vielversprechende Investitionsmöglichkeit betrachteten, nachdem sie seriöse Projekte und Partner aus dem Blast-Ökosystem gesehen hatten. Der anschließende öffentliche Verkauf wurde jedoch zu einer Finanzierungsrunde ohne Obergrenze, was ihre Zweifel an Risk als GameFi-Projekt weckte.
Die Überwachung von Beosin Trace zeigt, dass derzeit die meisten der gestohlenen Gelder aus dem Blast-Ökologiespiel-Risk-Projekt an verschiedene Börsen überwiesen wurden und ein kleiner Teil der gestohlenen Gelder über Cross-Chain zu Arbitrum und Cosmos gelangt ist.
Beosin hat einen Audit-Dienst für das Blast-Ökosystem eingeführt
Am 24. Februar gaben die Verantwortlichen von Blast außerdem die Liste der für das Big Bang-Event ausgewählten Projekte bekannt. Diese Liste enthält mehr als 100 Projekte, darunter Kredit-, Spiele- und Infrastrukturprojekte.
Derzeit hat Beosin einen Auditplan speziell für das Blast-Ökosystem eingeführt. Durch formelle Verifizierung und Audits durch Sicherheitsexperten unterstützt es Projektbeteiligte bei der Behebung von Sicherheitsrisiken im Projekt und gewährleistet die Vermögenssicherheit von Benutzern und Projekten. Die wichtigsten Punkte des Sicherheitsaudits sind:
•Überlauf-Sicherheitslücke
•Reentrancy-Angriff
•Zufallszahlenproblem
•Denial of Service
•Zugangskontrolle
•Unzulässige Berechtigungen
•Variablenüberschreibung
•Geschäftsdesign
•Geschäftsrealisierung
•Arbitrageangriff
•Funktionsaufruf
•Gasoptimierung
•Sicherheit verbessern
•Zentralisierungsrisiko
•Sicherheit von Modulen von Drittanbietern
Durch die Audit-Lösung von Beosin können Projekte auf Blast potenzielle Schwachstellen und Sicherheitsrisiken identifizieren und beheben, um die Stabilität und Sicherheit ihrer Smart Contracts und Systeme zu gewährleisten. Dies schützt nicht nur die Vermögenswerte der Benutzer, sondern bietet den Benutzern auch ein zuverlässigeres Erlebnis und fördert so die sichere Entwicklung des Blast-Ökosystems. Die Projekte auf Blast sind herzlich eingeladen, zur Beratung vorbeizukommen.