POURQUOI LE #defi EST-IL ENCORE PIRATÉ APRÈS UN AUDIT ?
Dans l’espace #THENA × #CertiK , l’équipe a expliqué pourquoi l’examen des smart contracts ne couvre qu’une partie du risque.
Le phishing, les portefeuilles compromis et la sécurité du front-end doivent aussi être pris en compte.
Les anciens contrats ne sont pas sûrs uniquement parce que personne ne les a encore piratés.
CertiK a expliqué que #AI aide les attaquants à rechercher plus rapidement et à moindre coût des contrats plus anciens.
Le code peut rester le même tandis que les outils utilisés pour trouver ses faiblesses s’améliorent.
Utiliser l’IA pour écrire du code ? Ce code doit quand même être vérifié.
CertiK a abordé les risques liés au code généré par IA non vérifié et aux paquets malveillants installés pendant le développement.
Aller plus vite peut créer des problèmes coûteux lorsque des contrôles de sécurité sont omis.
Quand un protocole doit-il faire l’objet d’un nouvel audit ?
CertiK recommande d’examiner ce qui a changé :
▹ les actifs
▹ les dépendances
▹ les paramètres ou fonctionnalités.
Une intrusion sur un protocole similaire est une autre raison de revoir votre propre système. Le calendrier seul ne devrait pas décider.
Un agent IA capable de déplacer de l’argent crée une nouvelle cible.
CertiK a discuté d’agents qui choisissent des itinéraires, préparent des transactions et peuvent même les signer.
L’intervenant a décrit une attaque utilisant des instructions cachées dans le code Morse. Les modèles de sécurité continuent de rattraper leur retard.
Que devraient avoir les équipes en plus d’un #Audit ?
CertiK a mis en avant les multisigs, les timelocks, les contrôles de transaction et la surveillance en temps réel. Ils ont aussi insisté sur la nécessité d’avoir un plan de réponse à incident prêt.
Quand quelque chose tourne mal, l’équipe devrait déjà savoir quoi faire.
Dans l’espace #THENA × #CertiK , l’équipe a expliqué pourquoi l’examen des smart contracts ne couvre qu’une partie du risque.
Le phishing, les portefeuilles compromis et la sécurité du front-end doivent aussi être pris en compte.
Les anciens contrats ne sont pas sûrs uniquement parce que personne ne les a encore piratés.
CertiK a expliqué que #AI aide les attaquants à rechercher plus rapidement et à moindre coût des contrats plus anciens.
Le code peut rester le même tandis que les outils utilisés pour trouver ses faiblesses s’améliorent.
Utiliser l’IA pour écrire du code ? Ce code doit quand même être vérifié.
CertiK a abordé les risques liés au code généré par IA non vérifié et aux paquets malveillants installés pendant le développement.
Aller plus vite peut créer des problèmes coûteux lorsque des contrôles de sécurité sont omis.
Quand un protocole doit-il faire l’objet d’un nouvel audit ?
CertiK recommande d’examiner ce qui a changé :
▹ les actifs
▹ les dépendances
▹ les paramètres ou fonctionnalités.
Une intrusion sur un protocole similaire est une autre raison de revoir votre propre système. Le calendrier seul ne devrait pas décider.
Un agent IA capable de déplacer de l’argent crée une nouvelle cible.
CertiK a discuté d’agents qui choisissent des itinéraires, préparent des transactions et peuvent même les signer.
L’intervenant a décrit une attaque utilisant des instructions cachées dans le code Morse. Les modèles de sécurité continuent de rattraper leur retard.
Que devraient avoir les équipes en plus d’un #Audit ?
CertiK a mis en avant les multisigs, les timelocks, les contrôles de transaction et la surveillance en temps réel. Ils ont aussi insisté sur la nécessité d’avoir un plan de réponse à incident prêt.
Quand quelque chose tourne mal, l’équipe devrait déjà savoir quoi faire.
