Segurança é um estado dinâmico, não uma certificação em papel. Muitos dos projetos hackeados este ano haviam sido auditados, e alguns foram auditados múltiplas vezes. Isso não significa que as auditorias não tenham valor; significa apenas que as perguntas que as auditorias podem responder são muito mais estreitas do que a maioria das pessoas supõe.
Um relatório de auditoria descreve uma determinada versão que uma determinada equipe analisou em um determinado dia. Mas os contratos são atualizados, as permissões são alteradas, os oráculos e as pontes cross-chain dos quais os projetos dependem mudam, e novas técnicas de ataque surgem a cada semana. No momento em que o relatório é entregue, ele começa a expirar. O que é ainda mais problemático é que contratos antigos implantados há anos que passaram tranquilamente pelas auditorias na época agora estão sendo reescaneados em lotes, e vulnerabilidades profundas em um contrato que está ativo há anos podem ser encontradas em pouco mais de dez minutos.
Esta é a terceira edição do especial da Gate "Gate Security Course". Convidamos o provedor de serviços de segurança Web3 GoPlus Security e a equipe de segurança da Gate para discutir auditorias e triagem de vulnerabilidades sob as perspectivas de um provedor de serviços de segurança e de uma plataforma de negociação: por que projetos auditados ainda entram em apuros, como ler um relatório, quais verificações a plataforma realiza antes e depois da listagem, e como usuários comuns podem fazer uma rodada de autoverificação antes de assinar.
Perfis dos Convidados
Adam, Sócio da GoPlus: Adam é sócio da GoPlus e chefe de seu instituto de pesquisa em segurança.
A GoPlus Security está construindo a primeira camada de segurança descentralizada para Web3 e IA. Ao aproveitar blockchain e soluções de segurança de IA de ponta, ela oferece aos usuários produtos e serviços de segurança inteligentes, eficientes e descentralizados. Desde 2022, a GoPlus alcançou crescimento exponencial, atingindo 30 milhões de chamadas de API diárias e prevenindo quase US$ 100 bilhões em perdas potenciais para os usuários.
Equipe de Segurança da Gate: O departamento de segurança da Gate é responsável por construir os sistemas de segurança de conta, negociação e ativos da plataforma, e também lida com recursos e solicitações de assistência de usuários referentes a contas anormais ao longo do tempo.
Fundada em 2013, a Gate é a primeira plataforma de negociação do setor a lançar prova de reservas de 100% e atualmente atende mais de 60 milhões de usuários em todo o mundo. A segurança é o pré-requisito para que este negócio seja viável, e por meio do "Gate Security Course", esperamos explicar claramente os mecanismos comuns por trás desses riscos reais.
P1. Por que muitos projetos ainda são hackeados e ainda sofrem abuso de permissões após passarem por auditorias?
Adam, Sócio da GoPlus: "Uma auditoria pontual" não é igual a "sempre seguro". Os serviços tradicionais de auditoria de contratos agora sofrem com quatro falhas estruturais:
1) Inspeção do tipo snapshot. Uma auditoria é essencialmente uma inspeção semimanual feita por engenheiros de auditoria em um determinado momento, e sua eficácia depende da qualidade das ferramentas, da habilidade individual e do estado de trabalho. Mas o código do contrato é atualizado, as permissões administrativas são alteradas e as configurações de parâmetros são ajustadas. A partir do momento em que um relatório de auditoria pontual é entregue, ele está "expirando".
2) Incapacidade de prever o futuro. Novos tipos de vulnerabilidade e novas técnicas de ataque continuam surgindo, e auditorias históricas não conseguem cobrir riscos futuros.
3) Dependências externas não controladas. Os projetos comumente dependem de oráculos, pontes cross-chain e protocolos de terceiros, e mudanças de risco nessas dependências estão fora do escopo das auditorias tradicionais.
4) Explosões concentradas de contratos antigos. Contratos implantados há anos que foram "auditados" na época estão sendo redescobertos em lotes por ferramentas automatizadas, como vulnerabilidades profundas em Balancer, Yearn e projetos semelhantes que ficaram sem ser descobertas por anos após entrarem em operação.
Quanto ao abuso de permissões, ele ocorre mais na fase operacional do que no próprio código do contrato. As razões incluem: permissões excessivas de Owner (capacidade de cunhar arbitrariamente, colocar em blacklist ou pausar negociações), vazamento de chaves privadas de administrador, gestão inadequada de multisig, propostas maliciosas e ataques de governança... Todos esses são problemas de segurança que surgem facilmente na fase operacional. Mesmo que um relatório de auditoria sinalize riscos de permissão, quem continuará monitorando depois? Se as operações são seguras e razoáveis não pode ser respondido.
Ir para o ar após uma auditoria de contrato é apenas o ponto de partida do trabalho de segurança, não o fim. O que os projetos precisam é de segurança contínua que cubra todo o ciclo de vida do contrato, não um relatório de auditoria único.
Equipe de Segurança da Gate: As auditorias podem dizer aos usuários o que o código pode fazer, mas não podem dizer aos usuários o que a equipe do projeto pretende fazer.
Este é o ponto que sentimos mais profundamente em nossos anos fazendo revisões de listagem. A causa raiz de muitos incidentes está nas intenções da equipe do projeto. Um contrato pode ser tecnicamente totalmente compatível, e o design das permissões do owner pode estar dentro do intervalo normal, mas a equipe do projeto ainda pode escolher um momento para usar essas permissões: alterar regras de negociação, ativar listas negras ou cunhar tokens adicionais. Essas ações são todas legais no nível do código, e os relatórios de auditoria não as sinalizarão como vulnerabilidades porque elas fazem parte do design desde o início.
Portanto, além das auditorias técnicas, deve haver outra camada de restrição. A abordagem da Gate é realizar triagem e revisão rigorosas de projetos durante o processo de listagem, ao mesmo tempo em que assina declarações de não maleficência com as equipes de projeto e supervisiona a conformidade. Essa camada visa resolver a parte que as auditorias não conseguem resolver: a ausência de vulnerabilidades no código não significa que a equipe não fará escolhas que prejudiquem os usuários.
Para projetos listados, realizamos auditorias de segurança regulares e usamos monitoramento de eventos on-chain para acompanhar o status do contrato. Os usuários também podem verificar a qualquer momento os itens de risco atuais de um determinado contrato.
Q2. Já que uma auditoria única não equivale a segurança contínua, como as equipes de projeto e o setor como um todo devem se ajustar?
Equipe de Segurança da Gate: O setor de criptomoedas tem uma característica estrutural: grande parte de seus negócios, especialmente DeFi, opera em um modo próximo ao de finanças modulares. Diversas plataformas são construídas a partir de componentes compartilhados: contratos, bibliotecas de software, carteiras, oráculos de preços, pontes cross-chain, provedores de serviços de conectividade, interfaces web e sistemas usados para enviar atualizações.
Portanto, além de saber se seus próprios contratos são seguros, a questão mais importante é se cada elo do qual você depende permanece confiável. Se um componente upstream falhar, as perdas se propagam pela cadeia. Olhando para os principais ataques, o problema frequentemente está em elos anteriores à lógica do protocolo: fornecedores, ferramentas de desenvolvimento, a forma como o software chega aos usuários ou o processo pelo qual os usuários aprovam transferências.
Adam, Parceiro da GoPlus: O paradigma de ataque em que hackers usam ferramentas automatizadas para minerar vulnerabilidades de forma eficiente já tomou forma e está se espalhando rapidamente. Os ataques passaram de "pesquisa manual especializada" para uma "linha de montagem". Se o pensamento do setor ainda estiver preso em "encontrar uma empresa de auditoria para emitir um relatório antes do lançamento" ou "encontrar uma empresa de segurança para consertar as coisas depois que um risco for descoberto", é como usar arcos e flechas contra metralhadoras. Usar ferramentas igualmente eficientes para combater ataques é o único caminho eficaz.
A direção do ajuste no nível do setor é evoluir de "auditorias únicas" ou "encontrar especialistas depois que os problemas surgem" para "segurança contínua em todo o ciclo de vida". Tomemos como exemplo o "trio de segurança de contratos" do GoPlus DeepScan; este é um ciclo fechado que pode ser implementado:
Antes do lançamento, autoverificação de segurança do token: autoverificação rápida em minutos para riscos de backdoor, como honeypots, cunhagem maliciosa, listas negras, taxas de transação anormais e permissões de Owner;
No lançamento, auditoria de contrato por IA: analisar profundamente o código-fonte, o gerenciamento de permissões e a lógica de negócios, escanear vulnerabilidades na camada de sintaxe e na camada de lógica de negócios e entregar um relatório de auditoria estruturado;
Após o lançamento, monitoramento contínuo de segurança e verificações regulares de saúde: acompanhar em tempo real novas inteligências sobre vulnerabilidades, incidentes de ataque e riscos de dependências externas (oráculos, pontes cross-chain, protocolos de terceiros), determinar continuamente se o projeto foi afetado e fornecer alertas de rotina. Realizar verificações regulares de saúde de segurança e auditorias contínuas de contratos.
Q3. Como os métodos de descoberta de vulnerabilidades mudaram nos últimos dois anos? Para o mesmo ativo, qual é a diferença no modelo de segurança entre mantê-lo on-chain e mantê-lo em uma exchange?
Adam, Parceiro da GoPlus: Francamente falando, no curto prazo, os métodos dos atacantes para encontrar vulnerabilidades se tornaram mais diversificados. Há três razões:
1) Ferramentas automatizadas reduziram enormemente o limiar para encontrar vulnerabilidades. Trabalho que antes exigia semanas de pesquisadores de segurança de ponta agora pode ser executado por um pipeline de ataque em minutos;
2) Uma enorme quantidade de contratos antigos que foram "auditados na época" se acumulou on-chain, tornando-os uma "mina de ouro" com enormes reservas para os atacantes;
3) Os ataques são uma monetização unilateral: encontrar "uma" vulnerabilidade é suficiente, enquanto os defensores precisam se proteger contra "todas" as vulnerabilidades.
Os hackers levam apenas alguns minutos para extrair esse dinheiro, e na verdade os defensores também levam apenas alguns minutos para encontrar a mesma vulnerabilidade. A única diferença é se a equipe do projeto colocou corretamente as ferramentas em uso antes dos hackers.
Mais criticamente, os defensores têm três vantagens estruturais que os atacantes não têm:
1) Vantagem de pioneirismo: os defensores podem reverificar ilimitadas vezes antes do lançamento e durante as operações, enquanto os atacantes só podem apostar que os defensores não fizeram a reverificação;
2) Vantagem de custo: as auditorias de IA são cobradas por uso ou anualmente, com custos baixos o suficiente para serem rotineiros e em escala total;
3) Acúmulo de conhecimento: a base de conhecimento de segurança continua a evoluir a cada novo incidente de ataque, e o sistema de defesa se torna mais forte quanto mais é usado.
Nos dois modelos, on-chain e off-chain, "quem está protegendo seus ativos" e "os tipos de riscos que você enfrenta" são completamente diferentes.
Autocustódia on-chain: Segurança = segurança da chave privada + segurança do contrato. Você é a única parte responsável pela segurança—se sua chave privada for perdida ou roubada, não há "atendimento ao cliente" para recorrer; cada interação carrega risco on-chain (vulnerabilidades de aprovação, assinaturas de phishing, golpes de honeypot); a vantagem é que seus ativos não dependem da credibilidade de nenhuma plataforma.
Custódia em exchange: Segurança = segurança da plataforma + segurança da conta. As chaves privadas são gerenciadas pela plataforma (separação de carteiras quente/fria, multisig, controles de risco), o que equivale a terceirizar a "segurança técnica" para a exchange; mas você também precisa proteger adequadamente a segurança da sua própria conta na exchange (senha, 2FA, phishing, API Key, etc.), e ao mesmo tempo certifique-se de escolher uma exchange com credibilidade de plataforma confiável.
No geral, on-chain é "proteção da chave privada + risco de auto-operação", enquanto as exchanges são "credibilidade da plataforma + risco de infraestrutura de segurança". O primeiro testa sua consciência de segurança Web3, enquanto o segundo testa a infraestrutura da plataforma de exchange e seus hábitos de segurança da conta.
Q4. Como plataforma de negociação, quais melhorias de segurança a Gate fez?
Equipe de Segurança da Gate: Primeiro, realizamos auditorias de segurança regulares dos projetos listados, enquanto rastreamos continuamente o status dos contratos por meio do monitoramento de eventos on-chain. Se um contrato foi atualizado, se as permissões mudaram e se ocorreram operações anormais de grande valor—tudo isso precisa de monitoramento contínuo, porque uma conclusão de verificação no momento da listagem, como os relatórios de auditoria que o Adam mencionou, também tem prazo de validade. Os usuários também podem verificar a qualquer momento os itens de risco atuais de um determinado contrato.
Agora, em relação à plataforma em si. O programa de recompensas por vulnerabilidades de segurança da Gate sempre esteve aberto, e pesquisadores de segurança em todo o mundo podem nos enviar problemas que encontrarem por meio de três canais: [email protected], tickets de suporte e a plataforma HackenProof. Exigimos que as equipes de projeto passem por inspeção, e nós mesmos também devemos passar por inspeção—isso não deve ser um requisito unilateral.
Tendo abordado as moedas e a plataforma, agora vamos falar sobre as contas.
Nosso conselho não é procurar aquele "lugar mais seguro", mas sim dividir seu dinheiro pela frequência de uso, o que é mais prático: mantenha os fundos que você negocia com frequência na sua conta spot para acesso a qualquer momento; coloque os fundos que você não vai tocar por seis meses a um ano no Gate Vault.
O Vault usa MPC mais assinaturas 2-de-3. A chave privada é dividida em três fragmentos, mantidos respectivamente pelo dispositivo do usuário, pela Gate e por um terceiro independente. A chave privada completa nunca é montada em nenhum momento, e nem a Gate nem esse terceiro podem iniciar uma transação sozinhos. Todos os saques também exigem um período de espera de 48 horas antes que os fundos cheguem—essas 48 horas servem como um buffer de segurança para os usuários, durante o qual o saque pode ser congelado a qualquer momento. Na maioria dos casos de roubo, os usuários percebem que algo está errado mais tarde do que o atacante, e uma vez que uma transferência on-chain é enviada, ela não pode ser revertida—mas durante essas 48 horas no Gate Vault, os usuários podem congelá-la a qualquer momento. Mesmo se algo der errado, o atraso de 48 horas lhe dá tempo para descobrir e congelar.
Agora o segundo ponto: o Programa de Proteção de Segurança de Conta da Gate.
O Programa de Proteção à Segurança da Conta da Gate é baseado em uma pontuação de segurança. As configurações de segurança da conta originalmente estavam espalhadas por várias páginas — verificação de login, autenticador, verificação de dois fatores, passkeys, limites de negociação, limites de saque — e era difícil para os usuários saber exatamente quais etapas haviam concluído. A pontuação de segurança converte esses itens em uma pontuação de 0 a 100, para que você possa ver rapidamente quais estão ativados e quais ainda estão faltando; quando a pontuação muda, o sistema também lembra os usuários de concluí-los.
Assim que a pontuação de segurança atingir 80 e a conta estiver em status normal, você poderá ativar o programa de proteção. Após a ativação, isso significa que, depois que os usuários tiverem feito sua própria proteção adequadamente, há uma camada adicional de respaldo: durante o período de proteção, se os ativos na conta forem transferidos sem autorização, os usuários poderão solicitar compensação se as regras forem atendidas, com o valor máximo atual por incidente sendo de US$ 200.000. Esse limite será aumentado no futuro, escalonado por nível VIP até um máximo de US$ 1 milhão. As solicitações devem ser enviadas dentro de 45 dias do incidente por meio de "Minha Proteção", entrando em contato com o atendimento ao cliente de segurança, com materiais incluindo registros de boletim de ocorrência policial e registros de transferência de ativos.
P5. O que um relatório de auditoria completo deve conter? Como a pontuação de segurança, as principais descobertas e as recomendações de remediação devem ser usadas cada uma?
Adam, Sócio da GoPlus: Um relatório de auditoria que possa orientar a ação (em vez de apenas ser arquivado) deve conter pelo menos quatro elementos:
1) Pontuação de segurança (classificação quantificável), usada para "triagem rápida", não para "conclusões finais". As equipes de projeto podem usar a pontuação como âncora quantitativa para avaliações internas de segurança, comparando mudanças após cada iteração; as exchanges podem usá-la para triagem inicial de listagem, mantendo projetos obviamente abaixo do padrão fora logo no primeiro filtro; os usuários comuns podem tratar a pontuação como um "ponto de entrada" — evite pontuações baixas de imediato e, para pontuações altas, examine mais a fundo as principais descobertas.
2) Principais descobertas (questões de alto risco e conclusões centrais), usadas para "tomada de decisão". Este é o "resumo executivo" do relatório: quais questões são de nível bloqueante e devem ser corrigidas antes do lançamento. Para gestores com formação não técnica e equipes de revisão de listagem, entender as principais descobertas é suficiente.
3) Detalhes do problema (evidências da vulnerabilidade e descrição do impacto), usados para "localizar problemas". Esta é a parte para a equipe técnica, incluindo localização da vulnerabilidade (precisa ao contrato, função e linha de código), tipo de vulnerabilidade, nível de gravidade, descrição do caminho de ataque e análise da causa raiz. Bons detalhes do problema devem fornecer um caminho de execução reproduzível e condições de disparo, não apenas uma lista de problemas.
4) Recomendações de remediação (planos de correção acionáveis), usadas para "fechar o ciclo". As recomendações de remediação devem ser específicas ao nível do código, acionáveis e, após a remediação, uma verificação de regressão por nova varredura deve ser realizada, formando um ciclo completo de "pontuação, principais descobertas, detalhes do problema, remediação, nova varredura".
Equipe de Segurança da Gate: Gostaríamos de acrescentar três pontos de nossa prática de construir recursos de auditoria de contratos.
Primeiro, o que é mais facilmente omitido são justamente os dois primeiros itens: objetivos e limitações da auditoria, e descrição do escopo. Definimos oito dimensões para relatórios — objetivos e limitações da auditoria, descrição do escopo, matriz de gravidade, determinação de prioridade, detalhes da vulnerabilidade, caminhos de risco, modelo de ameaça, análise de funções-chave e recomendações de remediação — e o que determina se os leitores interpretarão mal o relatório inteiro são justamente os dois primeiros itens. Se as limitações não forem declaradas claramente, os leitores assumirão que cobre tudo; se o escopo não for declarado claramente, os leitores não conseguirão dizer se foi auditado apenas o contrato principal ou também o pool de liquidez, contratos de estratégia, oráculos e dependências externas. Muitas alegações promocionais dizem apenas "auditado" sem dizer o que foi auditado — tais declarações basicamente não carregam informação.
Segundo, ao analisar as principais descobertas, riscos que individualmente não contam como vulnerabilidades devem ser vistos em conjunto. Tome uma combinação comum em relatórios: o proprietário do contrato pode colocar endereços na lista negra para congelar ativos, o par de negociação pode ser redefinido fazendo com que usuários comuns não consigam transferir, um requisito de participação mínima impede os usuários de vender totalmente, e um único proprietário pode alterar várias regras-chave a qualquer momento. Vistos separadamente, todos os quatro são design normal; tomados em conjunto, significam que o controle deste contrato está altamente concentrado nas mãos de uma pessoa.
Terceiro, você precisa saber como o relatório é gerado, porque isso determina seu limite de confiabilidade. Nossa auditoria de contrato prossegue em três etapas: primeiro, análise estática para verificar riscos básicos como controle de permissões, reentrância, manipulação de preços, empréstimos relâmpago e consistência lógica; depois, modelagem de cenários de negócio, extraindo os cenários centrais de interação do contrato, verificando caminhos de negócio e condições de contorno, e encontrando problemas que a varredura baseada em regras não consegue cobrir; por fim, verificação semântica, checando item por item os caminhos críticos de negócio para confirmar se os riscos identificados nas duas primeiras etapas realmente se sustentam. A terceira etapa serve principalmente para reduzir a taxa de falsos positivos. Um relatório cheio de falsos positivos rapidamente fará os usuários perderem a paciência, e eles acabarão pulando completamente a etapa de inspeção — portanto, a taxa de falsos positivos determina diretamente se esta ferramenta será de fato utilizada.
P6. Para usuários comuns, quais ações de fortalecimento podem ser feitas agora mesmo?
Adam, Sócio da GoPlus:
1) Verifique a segurança do Token antes de negociar. Antes de comprar uma nova moeda, verifique a segurança do próprio Token e fique atento a riscos de backdoor, como golpes de honeypot, mintagem maliciosa, listas negras, taxas de transação anormais e permissões excessivas do Owner.
2) Limpe regularmente as aprovações de contratos. Revogue as Aprovações de DApps que você não usa mais, especialmente aprovações ilimitadas — muitos roubos decorrem de problemas em "contratos que você um dia aprovou".
3) Fortaleça no nível da conta. Use senhas fortes e ative a 2FA; gerencie as API Keys com privilégio mínimo e nunca conceda permissões de saque a ferramentas não confiáveis.
4) Torne o anti-phishing um reflexo. Verifique o domínio antes de assinar, não clique em links em mensagens privadas e, por padrão, desconfie de "airdrops/atendimento ao cliente/staking de alto rendimento"; o conteúdo de phishing está cada vez mais convincente, então mantenha-se sempre racional.
5) Armazene os ativos em camadas por finalidade. Mantenha apenas uma pequena quantia de fundos que você precisa usar em carteiras quentes; para grandes ativos, use carteiras de hardware — não coloque todos os ovos na mesma cesta.
6) Foque na "postura de segurança" de um projeto, não no seu "relatório de auditoria". Se há auditoria contínua e um mecanismo de monitoramento de segurança é mais importante do que um relatório de auditoria de anos atrás; priorize projetos que valorizam a segurança e estão dispostos a divulgar publicamente seus mecanismos de construção de segurança.
Equipe de Segurança da Gate: Os seis pontos do Adam já estão bastante completos. Gostaríamos de combiná-los com as ferramentas da Gate para transformar vários deles em operações que você pode fazer imediatamente.
1) Verifique o Token antes de negociar — aqui você pode usar diretamente o recurso de auditoria de contratos da Gate AI. Envie o endereço do contrato e receba um relatório em minutos; foque em quatro itens: permissões do owner, lista negra e restrições de negociação, permissões de mintagem e taxa de transferência. Se qualquer um desses quatro for sinalizado em vermelho, você deve parar — não precisa procurar mais.
2) Fortaleça sua conta — primeiro eleve sua pontuação de segurança acima de 80. Senha de fundos, autenticador, verificação de dois fatores, código anti-phishing, passkeys, limite diário de saque, gerenciamento de métodos de saque — esses itens de proteção estão todos na lista de verificação; basta seguir as instruções e completá-los um a um. O maior valor da pontuação de segurança é transformar configurações espalhadas por toda parte em uma lista de verificação ordenada, para que você não precise decidir qual fazer primeiro. Alcançar 80 ou mais também permite ativar o Programa de Proteção de Segurança da Conta, o que significa uma camada extra de proteção depois que você fortaleceu adequadamente sua própria conta.
3) Há duas ferramentas prontas para anti-phishing. Se você receber uma mensagem alegando ser da Gate, primeiro verifique o canal oficial de verificação para ver se o domínio ou e-mail é nosso; todos os e-mails enviados pela Gate incluirão o código anti-phishing que você mesmo definiu — qualquer um sem esse código é falso.
4) Antes de assinar, verifique claramente o valor da aprovação. O contrato em si estar bem não significa que a transação que a página pede para você assinar esteja bem. Um DApp normal pode perfeitamente solicitar apenas o valor necessário para esta transação; pedir aprovação ilimitada de imediato já é, por si só, motivo para pausar. Se o pop-up contiver apenas uma sequência de caracteres incompreensíveis, recusar é sempre mais seguro do que assinar primeiro e perguntar depois.
Por fim, queremos dizer que a segurança é dinâmica, não estática.
Entrar em operação após uma auditoria é apenas o ponto de partida do trabalho de segurança. Para as equipes de projeto, isso significa que o monitoramento contínuo após o lançamento é mais importante do que o próprio relatório; para as plataformas de negociação, significa que a listagem é apenas o começo da revisão; e para os usuários comuns, aqueles poucos minutos de autoverificação antes de assinar são a etapa de menor custo e também a mais facilmente ignorada.
A segurança nunca foi uma certificação única e definitiva. Se todas as partes derem um passo a mais, o equilíbrio entre ataque e defesa penderá a favor de nós, "guardiões do portão".
Vamos nos encontrar na quarta sessão do "Curso de Segurança de Portões" juntos!
