מה קרה כאן בעצם? פריצה באור יום למוח של הבלוקצ'יין
קוריאה הצפונית, הידועה בעולם כמדינה מסוגרת אך גם כבעלת זרועות ארוכות בתחום הסייבר, ביצעה פריצת דרך מפחידה בעולם ההאקינג. קבוצת האקרים מטעמה הצליחה להחדיר תוכנה זדונית מסוג חדש שנקראת EtherHiding – טכניקה שמאפשרת לקוד עוין להסתתר בתוך חוזים חכמים שנכתבים על גבי רשתות בלוקצ'יין. החוזים האלו, שהם הבסיס למרבית האפליקציות הדיגיטליות המבוזרות (dApps), היו עד לאחרונה נחשבים ל'מאובטחים' – אבל במקרה הזה, הם הפכו בעצמם לנשק.
מדובר במנגנון שמפעיל קוד JavaScript עוין מתוך תוכן החוזה עצמו. לא ניתן למחוק אותו כיוון שהבלוקצ'יין כולו מבוסס על עיקרון של 'בלתי-שינוי' – כלומר, לא ניתן לבצע בו עריכות אחרי פרסומו. וכך, החוזה הופך למה שמכנים מומחים 'סוס טרויאני נצחי' – כזה שנטמע לתוך מערכות ושירותים לגיטימיים ומצליח להטעות גם תוכנות סקירה וכלי הגנה מתקדמים.
חוזה חכם, חולשה טיפשה: הסכנה שמובנית במבנה הבלוקצ'יין
כדי להבין את עוצמת האיום, צריך לדמיין את החוזים החכמים כמתקנים ציבוריים בלתי ניתנים לנעילה. נבנו בפומבי, מופעלים על ידי קהילה מבוזרת, ואמורים להיות קודם כול – שקופים. מה שקוריאה הצפונית עשתה דומה לשתילה של מצלמות ריגול ואמצעי האזנה בלב בית המשפט – במבנה שאמור היה להיות המקום הבטוח ביותר במערכת.
המערכת המבוזרת אמנם מתהדרת בזה שאף אחד לא שולט לבד במידע, אך כאן טמון יתרונה וגם חסרונה. כאשר קוד מסוכן מוטבע בתוך חוזה ומופץ לכלל משתמשי הרשת, לא רק שלא ניתן למחוק אותו – אלא שכל ניסיון לעשות זאת ידרוש מהפכה כוללת במבנה הבלוקצ'יין עצמו. במילים אחרות, הדלת נפתחה – ואף אחד לא יודע איך לסגור אותה.
כשמדינות עוברות לתקוף מבעד לבלוקים – המשחק משתנה
העובדה שמדובר במתקפת סייבר שמבצעת מדינה, ולא ארגון עצמאי או קבוצת פושעים אנונימיים, צריכה להדליק נורה אדומה. כאשר מדינה כמו צפון קוריאה משתמשת בטכנולוגיה גלובלית כמו הבלוקצ'יין כדי לושתל תוכנות זדוניות, מדובר באירוע שמכיל מימד גיאופוליטי עמוק – אי אפשר להפריד בין הטכנולוגיה לפוליטיקה.
יותר מכך: היכולת להחדיר קוד מזיק לתוך חוזים שהקוד שלהם פתוח וגלוי, ולגרום לו לשתף פעולה עם אתרי אינטרנט וארנקים דיגיטליים בלי שאף אחד ירגיש – מדגימה עד כמה החזית החדשה של מלחמות הסייבר לא מתרחשת יותר בשרתי ממשלה או מערכות בנק, אלא בתוך הקוד הפתוח עצמו.
ומה עושים מכאן? בין טלאי ביטחוני למהפכה בתשתית
באופן מפתיע (או שלא), תגובות רבות בעולם הקריפטו לזיהוי התופעה התאפיינו בשקט מהוסס. הסיבה: קשה מאוד, אם בכלל אפשרי, לתקן או להסיר חוזים חכמים שכבר הוטמעו בבלוקצ'יין. בניגוד לעדכון גרסה פשוט במחשב הביתי – קוד בבלוקצ'יין הוא בלתי הפיך.
האפשרויות שמונחות על השולחן כוללות ניסיון לזהות את פרטי הקוד הזדוני ולסמן אותם למניעת גישה דרך דפדפנים או ארנקים דיגיטליים, בניית מנגנוני הרצה בטוחים (sandboxing), או בראייה קיצונית – שינוי גורף בפרוטוקול עצמו. כל אחת מהאפשרויות האלו מרמזת על שינוי תפיסה כולל: ממצב שבו חוזים חכמים הם הביטוי האולטימטיבי לאמון הציבור, למצב בו עלינו לחשוב כיצד מוודאים שהם לא יהפכו למאגרי רעל דיגיטלי.
