Проект DAO подвергся крупномасштабной атаке

Проект DAO подвергся крупномасштабной атаке

Проект DAO подвергся крупномасштабной атаке

Проект DAO, уникальный инвестиционный проект, построенный на базе блокчейна Ethereum, подвергся крупномасштабной атаке. В результате эксплуатации ошибки в коде DAO со счетов проекта утекли (и продолжают утекать) десятки миллионов долларов. Стоимость валюты Ethereum стремительно падает, пользователи бегут, и никто не понимает, что делать.

Проект DAO открылся в конце мая и представляет собой полностью автоматический инвестиционный фонд — что-то вроде криптовалютной версии Kickstarter. Желающие могут выставлять свои предложения на суд публики. Те из них, которым удалось найи поддержку сообщества, получат финансирование, а часть их прибыли поделят все «инвесторы». И голосование, и финансирование, и распределение прибыли происходит автоматически. Сотрудники или менеджеры DAO не могут повлиять на эти процессы.

DAO построен на базе Ethereum — технологии, использующей те же принципы, что и Bitcoin, но лучше поддерживающей так называемые умные контракты — компьютерные программы, которые описывают условия и исход сделки. И проверка условий, и исполнение обязательств происходит без участия человека. В Ethereum встроен полноценный язык программирования, предназначенный специально для создания умных контрактов. Правила DAO описаны именно на нём.

Неизвестный злоумышленник использовал уязвимость в функции splitDAO, предназначенной для создания дочерних версий проекта. Эта функция является частью кода DAO. Уязвимость позволяет вызывать splitDAO рекурсивно в процессе каждого отделения и таким образом многократно получать «эфиры» (валюту Ethereum) в течение единственной транзакции, пишет xakep.ru.

В течение нескольких часов на адрес https://etherchain.org/account/0x304a554a310c7e546dfe434669c62820b7d83490 утекли средства, эквивалентные десяткам миллионов долларов. В 15:00 по московскому времени сообщали о пропаже примерно 53 миллионов долларов, но поскольку атака продолжается, а курс «эфира» падает, итоговая цифра, скорее всего, окажется иной.

Строго говоря, по той логике, в которой оперирует Ethereum, атака не является преступлением. Правила DAO — это код, и непреднамеренные уязвимости в них — это такая же часть контракта, как и сознательно описанные условия. Действия, которые выполняет злоумышленник, предусмотрены правилами DAO. В противном случае, они были бы невозможны.

Проблема заключается в той самой неумолимости умных контрактов, которую обычно считают их плюсом. Обычные контракты, содержащие ошибки или лазейки, можно оспорить, изменить или исправить — на этом кормятся десятки тысяч юристов. Вмешаться в исполнение умного контракта невозможно, равно как и повернуть вспять уже проведённые транзакции — это гарантирует блокчейн Ethereum.

Атака повергла сообщество DAO и Ethereum в замешательство. Многие спешно избавляются от токенов проекта и накопленного «эфира». Курс криптовалюты стремительно падает. За считанные часы «эфир» утратил треть своего веса.

Основатели DAO призвали сторонников начать DDOS-атаку на Ethereum, чтобы дать им время на поиск решения, и опубликовали код, который поможет перегрузить сеть криптовалюты. Создатель Ethereum Виталик Бутерин через Reddit попросил обменные сервисы приостановить любую деятельность, связанную с Ethereum и DAO.

Спустя пару часов Бутерин опубликовал в блоге Ethereum предложение провести «мягкое ветвление» (soft fork) криптовалюты, в результате которого будут отменены любые транзакции, которые привели к утечке средств DAO после блока 1760000. Одновременно будет предотвращён вывод средств, полученных устроителем атаки в течение 27 дней, необходимых для завершения процесса создания дочернего DAO. Затем последует «жёсткое ветвление» (hard fork), которое вернёт пострадавшим утекшие средства.

Бутерин рекомендовал майнерам Ethereum возобновить работу в обычном режиме и дожидаться кода «мягкого ветвления», после чего, если они поддерживают это предложение, исполнить его. Обладателям токенов DAO и «эфира» создатель Ethereum советует сохранять спокойствие и не делать резких движений.

Наблюдатели отмечают, что атака уже нанесла непоправимый ущерб репутации DAO. Даже в том случае, если утечку удастся остановить, а то и повернуть вспять, вряд ли проекту снова доверят десятки миллионов долларов. Инцидент может остудить интерес и к идее умных контрактов. Кроме того, нельзя недооценивать угрозу для самого Ethereum. Масштабы и важность DAO для экосистемы этой криптовалюты слишком значительны, чтобы гибель этого проекта прошла бесследно.

Даже удачный исход ветвления, в пользу которого выступил Бутерин, может оказаться пирровой победой. Он докажет, что криптовалюта не настолько децентрализована и неконтролируема, как считается. В её работу можно вмешаться и повернуть законные сделки вспять. Возможно, это ещё хуже, чем потеря 50 миллионов.

 

Проект DAO, уникальный инвестиционный проект, построенный на базе блокчейна Ethereum, подвергся крупномасштабной атаке. В результате эксплуатации ошибки в коде DAO со счетов проекта утекли (и продолжают утекать) десятки миллионов долларов. Стоимость валюты Ethereum стремительно падает, пользователи бегут, и никто не понимает, что делать." />

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

24% экспертов: без ИИ работать в ИБ скоро будет невозможно

Чтобы оставаться востребованным на рынке, специалисту по информационной безопасности теперь недостаточно классических компетенций. По данным опроса, проведённого ГК InfoWatch, ближайшие годы потребуют от ИБ-экспертов уверенной работы с системами искусственного интеллекта, умения анализировать цифровые следы нарушителей и знаний в области защиты критической и облачной инфраструктуры.

По мнению специалистов, глобальный тренд на использование машинного обучения в информационной безопасности будет только усиливаться.

24% респондентов считают, что без навыков работы с ИИ специалист по безопасности в будущем просто не сможет выполнять свои обязанности. Эксперты подчёркивают: речь идёт как о защите ИИ-систем, так и об использовании ИИ при анализе угроз, реагировании на инциденты и автоматизации рутинных задач.

21% опрошенных считают критически важным умение находить и анализировать цифровой след злоумышленника — как действующего, так и потенциального. Ещё 16% отметили работу на уровне сетевой безопасности как один из базовых и по-прежнему востребованных навыков.

При этом современному ИБ-специалисту нужен не только технический набор умений. Респонденты подчёркивают важность soft skills — аналитического мышления, умения общаться, работать в команде и выстраивать эффективные коммуникации.

Вице-президент ГК InfoWatch по науке и образованию Андрей Зарубин поясняет:

«Один человек не может овладеть всем спектром компетенций в ИБ и поддерживать их актуальность. Поэтому важнейшую роль играют soft skills — они позволяют формировать эффективные команды, делить задачи по направлениям и выстраивать работу со всеми подразделениями компании. Умение слушать, понимать и аргументировать — это уже не опция, а необходимость».

Среди других компетенций, которые будут особенно актуальны:

  • разработка безопасного ПО — 15%;
  • тестирование систем безопасности, пентесты и этичный хакинг — 11%;
  • компьютерная криминалистика — 9%.

В ближайшие два–три года студентам профильных кафедр InfoWatch рекомендует изучать прежде всего:

  • защиту облачных инфраструктур,
  • безопасность объектов КИИ,
  • анализ и расследование инцидентов.

Андрей Зарубин рекомендует будущим специалистам изучать рынок средств защиты информации, проходить программы сертификации у вендоров и работать с реальными ИБ-продуктами:

«Сертификаты разработчиков средств защиты и практические навыки работы с ними — ценный актив для старта карьеры».

Эксперты уверены: чем раньше студент определится с направлением внутри ИБ и начнёт развивать специализированные навыки, тем выше будут его шансы быстро найти работу и вырасти как специалист.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru