Hanya masalah waktu sebelum proyek P2E diretas, demikian temuan studi keamanan siber

Pengarang: Hacken

Sumber: Hacken

Pasar "hasilkan saat Anda bermain" (P2E) telah menjadi salah satu ceruk pasar terbesar dari Web 3.0. Pada awal Juli 2022, nilai pasar proyek P2E adalah 6,5 miliar dolar AS, dan volume perdagangan harian melebihi 850 juta dolar AS. Dengan lebih dari 3 miliar pemain video game di seluruh dunia, industri video game kemungkinan akan menjadi saluran utama untuk pertumbuhan cryptocurrency lebih lanjut.

P2E memiliki koneksi yang kuat ke aset virtual, sehingga berbagi banyak risiko yang ditimbulkan oleh cryptocurrency, termasuk ancaman keamanan siber. Semakin banyak uang yang ditarik industri, semakin mudah menjadi sasaran penjahat.

Dalam lingkungan ini, keamanan menjadi salah satu perhatian paling mendesak di ceruk ini. Jadi apa tren keamanan P2E saat ini? Bisakah kita berharap untuk mengurangi jumlah peretasan, atau membuat standar keamanan umum untuk industri ini?

Serangan Peretasan P2E yang Terkenal

Pada Maret 2022, salah satu proyek P2E paling terkenal, Axie Infinity, diretas dan kehilangan $625 juta, menjadikannya peretasan terbesar di ceruk P2E hingga saat ini. Sebelum serangan, platform tersebut menarik lebih dari 2 juta pengguna per hari.

Axie Infinity dibangun di atas blockchain aslinya, Ronin. Menyerang Ronin, para peretas berhasil membobol sistem Axie Infinity, menggunakan kunci untuk memverifikasi transaksi di jaringan. Dengan mengakses 5 node validator (4 di antaranya milik langsung Axie Infinity dan 1 adalah node pihak ketiga yang dijalankan oleh Axie DAO), mereka berhasil memalsukan penarikan palsu. Tim Sky Mavis yakin peretasan itu terkait dengan kerentanan teknis dan rekayasa sosial.

Keamanan P2E

Mari menilai status keamanan siber P2E menggunakan data dari agregator data keamanan siber terenkripsi CER.live. CER.live menganalisis ratusan metrik dari proyek P2E dan GameFi untuk membuat peringkat keamanan paling komprehensif.

Saat ini, industri game crypto P2E mencakup lebih dari 170 proyek dan 44 dana modal ventura dengan kapitalisasi pasar lebih dari $5 juta. 5 teratas adalah The Sandbox, Decentraland, Axie Infinity, Stepn dan Gala.

Analisis keamanan siber saat ini mencakup 31 proyek dan hasilnya tidak memuaskan. Meskipun hanya Axie Infinity yang mengalami insiden keselamatan, tidak satu pun dari proyek tersebut yang menerima peringkat keamanan AAA, AA, atau bahkan A. (CER.live menggunakan metode peringkat klasik, dengan AAA sebagai peringkat tertinggi dan D sebagai peringkat terendah. Peringkat di bawah DDD berarti peningkatan risiko peretasan di masa mendatang atau insiden keamanan lainnya.)

Temuan Utama

• Peretasan profil tinggi baru-baru ini menunjukkan bahwa kerentanan kode dan pengguna mengabaikan saran keamanan dasar adalah alasan paling umum untuk serangan dunia maya;
• Tidak satu pun dari proyek P2E ini yang diasuransikan, artinya jika terjadi peretasan, pengguna tidak dapat memperoleh kembali uang mereka kecuali jika proyek tersebut menemukan sumber pendanaan alternatif;
• Hanya 2 proyek yang memiliki program hadiah bug: 29 game P2E yang tersisa hanya mengandalkan sumber daya mereka sendiri dalam hal keamanan permanen;
• Sementara 14 proyek memiliki audit token, hanya 5 proyek yang memiliki audit platform.

Menurut data yang diberikan oleh CER.live, kita dapat melihat bahwa proyek GameFi mengutamakan keuntungan di atas keamanan, dan bahkan tidak mengikuti rekomendasi keamanan jaringan yang paling dasar, menyisakan sejumlah besar pintu masuk serangan bagi penjahat.

Kelemahan Keamanan Lainnya: Jembatan, Orang Dalam, dan Kurangnya Audit

Teknolog dan CEO Farcana Ilman Shazhaev mengatakan pertanyaan besar berikutnya adalah popularitas jembatan blockchain di Play-to-Earn dan kerentanannya. Namun, dalam kasus Axie, para peretas mengejar lebih dari sekadar uang: Dengan mengganggu permainan yang dimainkan oleh jutaan orang, nama samaran peretas atau organisasi dengan cepat menyebar saat mereka mendapatkan semacam ketenaran.

Ilman menambahkan: "Pelanggaran lain melibatkan orang dalam, di mana peretas menyuap anggota tim yang membocorkan informasi yang mereka butuhkan, sehingga mencuri dana pengguna. Prosesnya tidak selalu tentang berbagi kredensial login: terkadang secara diam-diam memberi tahu kerentanan peretas, bahkan di kasus kebijakan keamanan siber tingkat lanjut.

Tentu saja, kami juga tidak dapat melupakan sifat mentah dari banyak proyek. Banyak pengembang game P2E ingin agar game mereka dipasarkan secepat mungkin: Pada saat yang sama, beberapa pengembang melepaskan ulasan kode berkualitas tinggi untuk menghemat uang dan waktu. "

Layanan keamanan jaringan penting untuk proyek GameFi

Jadi, apa pertimbangan keamanan yang diperlukan untuk proyek GameFi?

1. Melakukan audit kontrak pintar

Analisis kode secara otomatis dan manual memungkinkan deteksi kerentanan pada berbagai tingkat keparahan dan penyelesaian masalah keamanan dan kelemahan logika bisnis. Di antara proyek yang diaudit, pemasok layanan audit kontrak pintar dengan tingkat insiden terendah termasuk OpenZeppelin, ConsenSys, dan Hacken.

1. Peluncuran program hadiah bug bounty

Dengan program hadiah, lusinan atau bahkan ratusan peretas etis secara bersamaan melakukan analisis independen terhadap keamanan proyek dan diberi imbalan uang untuk kerentanan yang mereka temukan. Platform hadiah bug utama termasuk BugCrowd, HackerOne, HackenProof, ImmuneFi, Synack, dan YesWeHack.

1. membeli asuransi

Dengan adanya asuransi, proyek dan penggunanya dapat memperoleh pengembalian dana penuh atau sebagian untuk dana yang hilang dalam peretasan. Penyedia asuransi utama adalah Nexus Mutual dan InsurAce.io dan inSure dll.

Lindungi Aset P2E

Setelah Axie Infinity diretas, banyak penjahat menyadari bahwa game terenkripsi P2E telah mengumpulkan aset besar, yang dapat mereka curi dengan mudah melalui serangan yang direncanakan dengan baik. Pakar keamanan mengakui bahwa peretasan game P2E dalam skala besar hampir tidak dapat dihindari di masa mendatang. Semakin populernya proyek enkripsi P2E dan GameFi akan disertai dengan peningkatan kejahatan dunia maya terhadap para pemain ini.

Dalam situasi seperti itu, pemain harus sadar bahwa mereka harus menjaga keselamatan mereka sendiri. Sebelum melakukan sejumlah besar uang untuk game P2E, pengguna setidaknya harus melakukan tinjauan keamanan dasar proyek menggunakan data yang disediakan oleh platform independen seperti CER.live dan CoinGecko. Tentu saja, berinvestasi di P2E, meski tetap menguntungkan, memiliki risiko yang cukup besar.