Haben KI-Agenten den gesamten 148 Milliarden US-Dollar schweren DeFi-Sektor unsicher gemacht?

Eine Warnung von einem der ersten Sicherheitsexperten des dezentralen Finanzwesens (DeFi) hat eine schwierige Phase von Hacks zu einem umfassenderen Test dafür gemacht, wie sich die Branche gegen künstliche Intelligenz (KI) verteidigen kann.

Am 27. Mai riet Manuel Aráoz, Mitbegründer und ehemaliger Chief Technology Officer von OpenZeppelin, den Anlegern, DeFi-Positionen aufzugeben, einschließlich des Engagements bei etablierten Kreditprotokollen wie Aave, MakerDAO und Compound.

Laut Aráoz haben autonome KI-Programmierungsagenten die Kluft zwischen Angreifern und Verteidigern vergrößert, indem sie es einfacher machen, Schwachstellen in großem Maßstab zu finden. Er schrieb:

„Codierungsagenten sind übermenschlich darin, Schwachstellen zu finden, und die Sicherheit intelligenter Verträge ist zu asymmetrisch. Verteidiger müssen jeden Fehler beheben, während Angreifer nur einen Exploit benötigen, um Gelder zu stehlen.“

Die Warnung gewann an Bedeutung, da sie in einer Zeit des Drucks auf den breiteren DeFi-Markt kam. Im vergangenen Jahr hat der Sektor durch Exploits mehr als 1,1 Milliarden US-Dollar verloren, wobei im April 635 Millionen US-Dollar durch 28 gemeldete Hacks verursacht wurden.

Diese Sicherheitsvorfälle führten dazu, dass der Gesamtwert der dezentralen Finanzierung von etwa 172 Milliarden US-Dollar Mitte April auf 148 Milliarden US-Dollar bei Redaktionsschluss sank, was fünf aufeinanderfolgende Wochen mit Abflüssen bedeutet. Der Rückgang kann auch mit einer allgemeinen Marktschwäche in Verbindung gebracht werden, die dazu geführt hat, dass sich Bitcoin heute der 72.000-Dollar-Marke näherte.

Dennoch haben diese Zahlen die Sicherheitsdebatte über einzelne Protokolle hinaus in eine umfassendere Frage verlagert, ob KI die Kosten für Angriffe auf DeFi schneller gesenkt hat, als die Branche ihre Abwehrmaßnahmen verbessern kann.

KI macht die Suche nach Schwachstellen günstiger

Die Warnung von Aráoz basiert auf der Tatsache, dass künstliche Intelligenz die Kosten und den Aufwand für die Erkennung von Schwachstellen bei Smart Contracts grundlegend senkt.

In den letzten Jahren haben fortschrittliche KI-Modelle einen enormen Druck ausgeübt, indem sie die Erkennung von Schwachstellen, Exploit-Tests und die operative Aufklärung nahezu zum Nulltarif beschleunigt haben.

Aktuelle Untersuchungen des Risikokapitalunternehmens a16z bestätigen diese zunehmende Offensivfähigkeit, indem sie feststellen, dass KI-Agenten immer wieder zentrale Schwachstellen in historischen DeFi-Exploits identifiziert haben.

Nach Angaben des Unternehmens erreichten Agenten, selbst wenn es ihnen nicht gelang, einen Exploit auszuführen, häufig das Stadium, das Angreifern einen Ausgangspunkt bietet. Ein Tool, das Schwachstellen zuverlässig identifiziert, kann die erforderliche Fachkenntnis reduzieren, um einen Angriff zu starten.

Anthropic hat in ähnlicher Weise den öffentlichen Zugang zu seiner unveröffentlichten Claude-Mythos-Version eingeschränkt, und zwar genau wegen ihrer Fähigkeit, Softwarefehler selbstständig zu entdecken und zu bewaffnen.

Für DeFi ist diese Entwicklung wichtig, da die Systeme für viele Protokolle öffentlich, zusammensetzbar und finanziell liquide sind. So können der Code, die Governance-Strukturen und die Integrationen rund um eine Plattform offen untersucht werden, um etwaige Schwachstellen zu identifizieren.

KI kann diesen Prozess schneller und kostengünstiger machen und den Druck auf Teams erhöhen, deren Verteidigung immer noch stark von Audits, Bug-Bounties und manuellen Überprüfungen abhängt.

Protokollführer weisen auf eine stärkere Infrastruktur hin

Bedenken hinsichtlich der KI stießen jedoch auf Widerstand von Gründern und Sicherheitsfirmen, die sagen, DeFi sei widerstandsfähiger geworden als in früheren Zyklen.

Das Blockchain-Sicherheitsunternehmen OpenZeppelin argumentierte, dass viele der jüngsten Sicherheitsvorfälle auf Betriebsausfälle und nicht auf Mängel im geprüften Vertragscode zurückzuführen seien.

Nach Angaben des Unternehmens waren die meisten großen Verluste in den letzten Monaten gestohlene private Schlüssel, Bridge-Spoofing, Social Engineering und Probleme bei der Zugangskontrolle. Dieses Muster deutet darauf hin, dass Angreifer häufig die Systeme rund um Protokolle, einschließlich Teams, Berechtigungen und Infrastruktur, ins Visier genommen haben.

Aave-Gründer Stani Kulechov brachte ein ähnliches Argument vor. Er sagte, die DeFi-Infrastruktur profitiere heute von besseren Risiko-Engines, Kreditmarktstrukturen, formeller Überprüfung, Audits, Bug-Bountys, Cap-Management, Oracle-Verbesserungen, automatisierter Überwachung und Leistungsschaltern.

Kulechov sagte, dass ein Großteil der verbleibenden Angriffsfläche auf Betriebsfehler im Web2-Stil zurückzuführen sei, einschließlich schwacher interner Kontrollen und Infrastrukturprozesse.

Diese Ansicht deckt sich insbesondere mit der Exploit-Welle im April, bei der einige der größten Verluste auf kompromittierte Schlüssel, Social Engineering und Ausfälle im Zusammenhang mit Bridges zurückzuführen waren. Zum Vergleich: Der Verlust von Drift Protocol in Höhe von 285 Millionen US-Dollar hängt mit einer sechsmonatigen Social-Engineering-Kampagne der nordkoreanischen Lazarus-Gruppe zusammen.

Der Gründer von Uniswap, Hayden Adams, lehnte auch die allgemeine Schlussfolgerung ab, dass DeFi selbst unsicher geworden sei.

Er argumentierte, dass gut aufgebaute Smart Contracts Anwendungen mit starken Sicherheitseigenschaften unterstützen können, während KI schwachen Code, überstürzte Starts und schlechte Entwicklungspraktiken wahrscheinlich schneller aufdeckt.

Diese Unterscheidung ist für die Reaktion der Branche von zentraler Bedeutung geworden. In der Debatte geht es zunehmend darum, welche Systeme über ausreichende Kontrollen verfügen, um KI-gestützten Angriffen standzuhalten, und welche Systeme aufgrund schwacher Abläufe, komplexer Integrationen oder eingeschränkter Überwachung weiterhin gefährdet sind.

DeFi-Teams bringen KI in den Verteidigungsstapel

Inzwischen ist der Pushba