Beched's thoughts

[Web3 UPD]

Рынок web3 сейчас в кризисе, много DeFi-проектов закрылось, нарративов прям новых нет, всё те же prediction markets и perps.
Когда нет новых нарративов, нет новых проектов. Нет новых проектов — нечего аудировать.

Это помножается на хайп вокруг ИИ-аудиторов, которые уже очень хорошо умеют искать уязвимости.
Но у нас в Decurity интересное.

За последние 1.5-2 месяца мы сделали 2 интересные вещи, далее о них по порядку.

1) Whitehat Rescue
2 месяца назад вечером я уже собирался ложиться спать, как увидел в нашем канале алерт о хаке на $100k. Такое происходит каждый день, ничего особенного.
Но следом я вижу комментарий нашего CTO Арсения о том, что жертва — протокол CrossCurve.
Ещё через пару минут наш AI-агент подтверждает, что это хак, и описывает примерную механику.

Тут я уже в некотором ахере, поскольку у нас с этими ребятами есть чат, в котором мы как раз за неделю до этого обсуждали возможное сотрудничество по аудитам.
Срочно пишу в чат, тегаю фаундера проекта, поначалу он не совсем понимает масштаб и говорит, что завтра будут разбираться. Но мы смотрим баланс хакнутого контракта на Debank и видим, что там лежит ещё $3M в других токенах, которые ещё не вывели.

В течение следующих 30-60 минут фаундер протокола пытался разбудить своего CTO, чтобы стопнуть протокол, а деньги тем временем утекали и были почти полностью похищены на наших глазах.

Глядя на это, мы задумались, что вообще-то наш агент, вооружённый Defimon, мог не только верифицировать алерт, но и реплицировать атаку, чтобы спасти оставшиеся в протоколе средства до того, как их похитят злоумышленники.
Было обидно, что мы этого не сделали в тот раз, и не смогли помочь ребятам.
Но сказано — сделано. Вскоре у нас заработал AI-бот, спасающий средства.

В первую же неделю мы вмешались в 3 хака: сначала спасли пару тыщ баксов, потом около $20k, а затем — более $1.8M!
С тех пор мы в автономном режиме спасли деньги более 10 жертв. Например, на днях спасли $512k какой-то трейдинг-фирмы, стратегия которой ошибочно выдала approval'ы на неправильный адрес. Всего в апреле спасли уже почти $700k.

Все эти операции мы делаем безоговорочно без каких-либо требований с нашей стороны, некоторым пострадавшим проектам мы отправили средства вообще без какой-либо коммуникации с ними, многие жертвы полностью анонимны.
Однако, некоторые проекты всё же по своей инициативе благодарят нас и выплачивают bounty.

2) Web2.5 Pwn
Второй наш недавний вклад в безопасность наших с вами денег — это исследование безопасности механизмов депонирования средств в различные CEX, платёжные системы и прочие кастодиальные продукты с приёмом платежей в крипте.

Мы давно в этой теме, и у нас уже в запасе был ряд малоизвестных или уникальных векторов атак, которые мы нарыли в ходе аудитов.
Но теперь мы прицельно занялись этим направлением и нашли множество различных способов поломать приём крипто-платежей на разных блокчейнах.
В результате мы отправили более 100 отчётов в различные проекты и программы bug bounty.

Мы нашли способы поломать самый главный механизм во всем известных проектах: tier-1 биржах, финтех-стартапах, custody-сервисах.
Потенциальный ущерб от таких атак, если бы до них до нас догадались блекхеты, — буквально миллиарды USD.

Правда, сами проекты не до конца это осознают или не хотят признавать =)
Так что награды команда получила пока скромные, будем стараться донести до всех, что это непаханное поле, и надо всерьёз заняться аудитами web2.5-систем, пока этим не занялись нехорошие ребята.

Кстати, и в этом деле не обошлось без AI: сами идеи векторов атак придумывала команда, но конкретные способы реализации в разных чейнах помогали искать ИИ-агенты, эксплойты писали тоже они, как и отчёты для BB, конечно же.

DPRK

От локального ИБ-болотца к крипто-ИБ-болотцу: как вы думаете, что является одним из основных драйверов рынка безопасности блокчейн-проектов?

===

Год назад, в феврале 2024 г., в сообществе энтузиастов блокчейн-безопасности завёлся новый персонаж, некий Nick L. Franklin. Несмотря на нарочито американское имя, Ник не очень-то хорошо выражался по-английски, использовал британскую орфографию, пропускал артикли.

Франклин занимался разбором хаков, происходящих в блокчейне, вёл твиттер и блог, активно контактировал с известными в индустрии людьми. Практически сразу он в довольно навязчивой форме написал и нам в Decurity сначала в Твиттер, а потом и в Телеграм.

Мы кратко обсудили возможное трудоустройство, и он даже обещал предоставить детали о своей личности, но общался он странно, мы поиронизировали и забили.
В течение всего года он набирал аудиторию и обрастал связями, регулярно вёл блоги и писал разборы хаков. В последний раз мы списывались по поводу одного хака, разбор которого мы сами готовили и просили его не выкладывать детали слишком рано.

И тут, спустя больше чем год, Ник Франклин пишет фаундеру проекта 1inch Антону Букову и просит посмотреть на статью, вот только "статью" он скидывает в виде .app-файла.
Антон поднял шум, и выяснилось, что в файле был троян, Франклин сначала отмазывается, а потом удаляет все аккаунты.

Внезапно люди осознают, что всё это время всё сообщество общалось не с Ником Франклином, а с людьми из северокорейских спецслужб, и задним числом это было совершенно очевидно.
Тут же обнаруживается даже прямая связь между "Франклином" и взломом Radiant на $53 млн. в октябре 2024 г.

===

Итак, конечно же главным драйвером крипто-ИБ является солнцеликий Ким Чен Ын и его Lazarus Group!

Что только не делают его подданные: ломают DeFi-протоколы через уязвимости смарт-контрактов, устраивают атаки на цепочки поставок и бекдорят инфраструктуру для дальнейших хищений, выманивают разработчиков крупных компаний на собеседования и подсовывают им бекдоры, сами устраиваются на работу в компании и т. д.

Недавно произошёл самый крупный хак за всю историю — северокорейцы поломали тачку разработчика из проекта Safe и подменили фронтенд мультисиг-кошелька Safe App для всех клиентов, но при этом их бекдор таргетировал всего лишь одного клиента — биржу Bybit. Украли $1.4 млрд. и уже практически целиком отмиксовали и отмыли.

В отмыве северокорейцы чемпионы. Индивидуальные хакеры не могут сравниться с ними в решительности и отточенности действий.
Для корейцев буквально действует мем: "что ты мне сделаешь, я в другом городе".

===

1) Регулярно происходят холивары на тему атрибуции, многие подозревают, что большинство хаков атрибутируют DPRK/Lazarus, просто потому что это легко, и корейцы стали просто козлами отпущения.
Тем не менее, похоже, что атрибуция верна, и сейчас у исследователей есть достаточное количество IoC, достоверно указывающих именно на корейские группировки.

2) Это лишний повод вспомнить, что модель нарушителя и угроз — это легко, но это не просто формальность.
В вашей модели угроз должны быть и хактивисты, которым денег не надо, и тихие иностранные разведки, и собственное государство, и корейцы, которые вас обокрадут, и вы ничего не поделаете, хоть и будете точно знать, что это они.

3) Для редтимеров это всё тоже интересные кейсы — какие техники и тактики можно позаимствовать нам, как пентестерам?
В арсенале лазарус не так много уникальных инструментов, и для них не столь важна бесшумность и анонимность, но социальная инженерия у них работает отлично.
Мы давно пробуем тренировать заказчиков противостоять таким угрозам, направленным именно на разработчиков, а не только проводить стандартные фишинговые рассылки.
Похоже, что стоит это делать активнее.

На этом фоне становится совершенно непонятным, чему учиться людям, которые начинают выбор или смену профессии.
Есть ли смысл учиться программированию? Уровень джуна уже никому на фиг не нужен.
А пока человек от джуна дорастёт до миддла, агентские системы прокачаются так, что и миддлы уже будут никому не нужны.

Какую стратегию принять?
Что делать новичкам, что делать старичкам? Как быть на волне прогресса, а не за его бортом?

Че как дела

Мнения и мысли по разным темам, а особенно — по горячим, я обычно успеваю высказать (зачастую в крайне грубо-сатирической форме) друзьям-знакомым, после чего запал писать об этом куда-то ещё пропадает.

Вот и не пишу ни фига никакие мысли, даже посраться не о чем в канале. Ну посраться-то ладно, это негатив, но я и позитивных вещах не пишу, а потом забывается, какие были важные мысли и идеи, которыми было бы интересно поделиться.

Чтоб попытаться ещё раз переломить эту тягу не перекладывать мысли в структурированный текст, напишу пару слов про то, о чём в эти недели интенсивно думаю.
Это, наверное, скучновато, потому что не про политику и даже не про AI, а про безопасность в сфере web3, где в 2024-м году всё ещё происходит треш и угар с миллиардными взлётами, падениями, инновациями и мошенничеством.

Кстати, я же даже ни разу и не писал сюда о компании Decurity, которую мы с Арсением Реутовым стартанули 2 года назад.
Компания разрабатывает продукты и решения в области кибербезопасности для децентрализованных систем.
Речь про DeFi, смарт-контракты, бриджи, блокчейны, L2 и прочие временами хайповые слова.

Мы сразу выделили для себя 2 основных принципа:
1) Продавать безопасность, а не маркетинг: на этом рынке колоссальное количество скам-проектов, которые приходят за аудитами безопасности ради штампа и маркетинга, а не ради безопасности. Нам нужно их избегать.
2) Делать ставку не на транзакционные услуги, а на капитализацию компетенций в виде продуктов и сложных сервисов: с первых дней мы начали писать код и экспериментировать, заложив таким образом стартап внутри прибыльного бизнеса.

Эта новая компания, не связанная с другим моим бизнесом (DeteAct, про новости о нём тож надо отдельно написать), да и смысла их связывать маловато, поскольку рынок совершенно иной, и при приходе в него репутация обнуляется, надо заново доказывать компетентность, нарабатывать имя, формировать нетворк. Никакие ваши сертификаты OSCP или российские лицензии ФСТЭК не котируются 😁

При этом рынок сразу глобальный, ведь на то это и децентрализованные системы, что суть их в работе во всём мире, а не в конкретной юрисдикции.
Помимо маркетинга с нуля, многим приходится и заново изучать технологии, поскольку средний пентестер, который занимается анализом веб-приложений или инфраструктуры, не умеет делать аудиты смарт-контрактов или блокчейнов.

За это время мы наработали репутацию и портфолио из солидных проектов, а кроме того, прошли несколько итераций продуктовых исследований в поисках Product-Market-Fit.
Основная технология, которую мы разработали, — это DeFiMon.

DeFiMon умеет детектировать взломы смарт-контрактов в блокчейне по различным признакам, что позволяет среагировать на взлом сразу после или ещё до того, как он произойдёт. Фактически это web3-аналог IDS/IPS и SOC, и в этот класс продуктов синхронно влетело 10-20 стартапов, в том числе с венчурным финансированием.

Если вам будет интересно, я расскажу, какие есть успехи у вайтхетов вообще и у таких систем мониторинга в частности в этом тёмном лесу блокчейна, полном хищных блекхатов, наивных дегенов, зловещих северокорейцев, серьёзных инвест-фондов и школьников-хакеров.

Ниже репост по просьбе оргов одного из региональных студенческих CTF-соревнований:

☀️KubanCTF продлевает лето!

Мы открываем регистрацию на KubanCTF, который пройдет в рамках международной конференции по информационной безопасности KubanCSC в Красной Поляне! Общий призовой фонд составит 1.3 миллиона рублей. Отборочный этап пройдет онлайн по правилам jeopardy. В финале вам предстоит показать свои навыки в defense.

В финал смогут отобраться 7 команд, показавших лучший результат в отборочном онлайн турнире, три команды пройдут с offline битвы в формате jeopardy. В offline будут участвовать студенческие команды с 1 - 5 курс по приглашению ВУЗа. Для отобравшихся команд дополнительно будет оплачено проживание и питание на территории курорта. Приезжайте, будет жарко!

Отборочный этап пройдет 23 сентября. Финал 12 октября в Сочи!

Форма регистрации: https://forms.yandex.ru/u/64edae862530c204359ed4d8
Вопросы можно задать: в тг - @kubctf
Ссылка на чат – https://t.me/KubanCSC

Запуск завтра

На прошлой неделе вышел подкаст запуск завтра с моим участием.

Тайминг:
01:53 Начало, виды пентестов, Red Team, анализ защищённости
11:12 Методология пентеста, разведка, поверхность атаки
18:16 Социальная инженерия, Bug Bounty
21:00 Как обычно удаётся пробить, примеры
24:30 Сколько стоят пентесты, вероятность взлома, и сколько нужно тратить на ИБ
30:10 Тренды, крипта, разница хищений в TradFi и в блокчейне
35:28 Индустрия web3 security и её отличия от web2
41:28 Схемы обмана крипто-пользователей и инструменты анализа
45:19 Применение AI для атак и атаки на AI-системы
50:35 Личная безопасность и защита iOS, беспарольная аутентификация
57:15 Финал, пентест пентестеров