Come funzionano i tuoi asset in blockchain provviste di smart contract?

Per l’articolo odierno del Blog di Aiternalex ci addentreremo nell’affascinante mondo degli standard dei token in blockchain. Questi standard sono come dei regolamenti che definiscono come i token interagiscono tra loro e con la blockchain su cui sono costruiti. In questa guida esploreremo i diversi standard di token sulla blockchain Ethereum (compatibili con tutte le EVM – Ethereum Virtual Machine) e poi parleremo brevemente di come funzionano i token su altre blockchain popolari come Solana e Polkadot. Quindi, prendi una tazza di caffè e iniziamo!

Standard di token su Ethereum e blockchain compatibili con EVM

Ethereum è un pioniere nello spazio blockchain, quindi è giusto che iniziamo con i suoi standar. Ecco alcuni dei più utilizzati:

ERC-20

Iniziamo con l’ERC-20, il “nonno” degli standard dei token Ethereum! Questo standard definisce un insieme di regole per creare e gestire token fungibili, che sono token di uguale valore (pensa a loro come monete digitali). Se hai mai scambiato token come BAT o LINK, allora hai avuto a che fare con i token ERC-20. Alcune funzioni chiave dello standard ERC-20 includono:

• Trasferimento di token tra indirizzi
• Controllo del saldo di un indirizzo
• Approvazione della spesa di token da parte di terzi

ERC-721

Successivamente, abbiamo lo standard ERC-721, che ci ha portato il mondo dei token non fungibili (NFT). A differenza dei token ERC-20, ogni token ERC-721 è unico, il che li rende perfetti per collezionabili digitali, arte e altri beni unici nel loro genere. La mania dei CryptoKitties del 2017 è stata costruita su questo standard! I token ERC-721 hanno funzioni simili ai token ERC-20, ma con alcune differenze notevoli, come:

Ogni token ha un identificatore unico

• I token possono essere trasferiti, ma non possono essere divisi
• I metadati possono essere allegati per descrivere le proprietà del token

ERC-1155

Lo standard ERC-1155 è come il coltellino svizzero degli standard di token! Combina il meglio di entrambi i mondi, consentendo la creazione sia di token fungibili che non fungibili all’interno dello stesso contratto. Questa versatilità rende l’ERC-1155 perfetto per le piattaforme di gioco, poiché può gestire valute di gioco, oggetti e altro ancora. Alcune caratteristiche uniche dell’ERC-1155 includono:

• Trasferimenti batch di più tipi di token in una singola transazione
• I token possono avere proprietà sia fungibili che non fungibili
• Costi del gas ridotti rispetto a ERC-20 e ERC-721
• Standard di token su altre blockchain

Mentre Ethereum è senza dubbio un leader negli standard di token, è essenziale vedere come funzionano i token in altri ecosistemi blockchain come Solana e Polkadot.

Solana

Solana è una blockchain ad alte prestazioni nota per le sue transazioni velocissime e le basse commissioni. Utilizza lo standard di token SPL (Solana Program Library), simile allo standard ERC-20 di Ethereum. I token SPL sono fungibili e possono essere utilizzati per vari scopi, come la finanza decentralizzata (DeFi) e le stablecoin. Alcune caratteristiche chiave dei token SPL includono:

• Alto throughput di transazioni
• Basse commissioni di gas
• Supporto per scambi cross-chain e ponti

Polkadot

L’approccio di Polkadot agli standard dei token è unico rispetto a Ethereum o Solana. A differenza di queste piattaforme, Polkadot non ha uno standard di token specifico e predefinito per il suo ecosistema. Invece, consente alle singole parachain (blockchain indipendenti) di creare e implementare i propri standard di token, offrendo un alto grado di flessibilità per i progetti realizzati sulla piattaforma.

Questa flessibilità deriva dal design di base di Polkadot, che enfatizza l’interoperabilità tra varie blockchain. Pertanto, si incoraggiano le parachain a stabilire i propri standard di token che si adattino meglio ai loro casi d’uso e requisiti specifici.

Per facilitare una comunicazione e trasferimenti di token senza soluzione di continuità tra le parachain, Polkadot impiega il protocollo Cross-Chain Message Passing (XCMP). Questo protocollo consente alle diverse parachain con i propri standard di token di interagire e trasferire token in modo sicuro ed efficiente.

In sostanza, l’approccio di Polkadot agli standard di token si concentra sull’autonomia delle singole parachain nella creazione di standard personalizzati su misura per le loro esigenze. Ciò consente una gamma più ampia di implementazioni di token e incoraggia l’innovazione all’interno dell’ecosistema Polkadot.

La blockchain è un libro mastro digitale che registra le transazioni condividendole tra molti computer. È un database distribuito, il che significa che ne esistono molte copie e che nuove informazioni possono essere aggiunte solo se tutti i partecipanti alla rete sono d’accordo.

La tecnologia blockchain è uno strumento potente per migliorare la sicurezza e l’affidabilità: tuttavia, non è priva di rischi e pericoli.

EXPLOIT

Il rischio più evidente della tecnologia blockchain è la vulnerabilità agli exploit. Si tratta di minacce alla blockchain che sorgono a causa di bug o violazioni nella progettazione del sistema. Esistono due tipi di exploit: quelli che sfruttano i bug (ad esempio, gli attacchi denial-of-service) e quelli che sfruttano i difetti di progettazione del sistema stesso (ad esempio, la rientranza). Ad esempio, un attore può utilizzare un attacco denial-of-service per mettere offline un nodo inviandogli un numero eccessivo di messaggi o di query che non è in grado di gestire.

RIENTRANZA

Un exploit di rientranza si verifica quando un attore invia due transazioni diverse allo stesso tempo, una dopo l’altra, con ciascuna transazione che apporta modifiche per conto dell’attore stesso senza attendere che la prima transazione venga eseguita. La seconda transazione sarà in grado di eseguire le sue modifiche anche prima che la precedente transazione restituisca una risposta. Se le transazioni di una blockchain non sono atomiche, un attore che invia due transazioni contemporaneamente può permettere alla seconda transazione di essere eseguita prima che la prima termini l’esecuzione, apportando le sue modifiche senza attendere che la prima transazione termini. Questa è chiamata rientranza ed è considerata un problema importante per le blockchain come Ethereum a causa della sua dipendenza da smart contract.

Altri tipi di problemi di sicurezza

La sicurezza delle blockchain è una preoccupazione fondamentale per molti investitori e aziende che stanno cercando di utilizzare la tecnologia blockchain nel loro modello di business. Oltre a quelli indicati sopra, ci sono vari altri rischi che devono essere affrontati, come gli errori umani, gli attacchi di phishing e le vulnerabilità del codice (soprattutto nelle chain con possibilità di esecuzione di smart contract).

Vulnerabilità del codice

Le vulnerabilità del codice sono una conseguenza diretta degli smart contract, una forma di codice supportata da molte Blockchain. Gli smart contract sono protocolli informatici che eseguono i termini di un contratto: si possono considerare come un programma informatico auto-operante che viene eseguito automaticamente quando vengono soddisfatte determinate condizioni.

Le vulnerabilità degli smart contract sono causate da una cattiva stesura del codice e da bug. Il rischio è elevato a causa della difficoltà di modificare uno smart contract in seguito alla sua distribuzione.

I bug possono essere sfruttati dagli hacker, che possono utilizzarli per rubare denaro o dati dalla blockchain, ad esempio accedendo a funzioni del codice che non dovrebbero essere eseguibili.

Nel mondo della blockchain, gli smart contract vengono utilizzati per automatizzare alcuni processi che di solito vengono svolti manualmente, ma come sempre l’automazione aumenta il livello di rischio.

Una delle vulnerabilità più tipiche è il rischio di rientranza di cui sopra, che colpisce gli smart contract in modo molto comune a causa della loro struttura basata su metodi con un controllo degli accessi autovalutativi.

Attacchi di phishing

Dall’altro lato, il phishing è quando qualcuno ruba le vostre credenziali per un servizio, come l’accesso al vostro conto bancario o all’account di un social media, fingendo di essere un’altra persona che conoscete tramite un’e-mail, un messaggio di testo, una telefonata, ecc. Le chiavi private vengono utilizzate per firmare le transazioni su una blockchain, il che significa che se qualcuno fosse in grado di rubare la vostra chiave privata, avrebbe accesso ai vostri fondi e a tutte le funzioni degli smart contract che avete voi stessi implementato.

Le truffe di phishing sono, in generale, il tipo di attacco informatico più comune. I malintenzionati utilizzano l’ingegneria sociale per ottenere l’accesso alla vostra chiave privata e prendere il controllo del vostro conto.

Di solito si tratta di uno schema composto da quattro fasi:

1. I truffatori creano un sito web falso che sembra identico a quello legittimo;
2. Inviano e-mail di spam o messaggi su siti di social media come Facebook, Twitter, ecc;
3. Poi ingannano l’utente e lo costringono a inserire la sua chiave privata o la sua frase mnemonica sul loro sito;
4. Infine, sottraggono le informazioni di cui hanno bisogno e le usano per agire a vostro nome.

Il phishing non è un fenomeno nuovo, ma è diventato più sofisticato con l’avvento dei social media e di altri strumenti online. Può essere difficile riconoscere i tentativi di phishing perché vengono fatti passare per messaggi legittimi provenienti da fonti attendibili.

Errori umani

Infine, ci sono molti tipi di errori umani che possono portare a violazioni della sicurezza nelle reti blockchain. Il tipo di errore umano più comune è l’ingegneria sociale, un ventaglio di attacchi che utilizza l’inganno per ottenere l’accesso a informazioni o dati privati. L’errore umano è un grande rischio per la sicurezza della blockchain a causa della sua complessità. L’ingegneria sociale è un tipo di errore umano che può essere mitigato assicurandosi che le persone siano ben addestrate su cosa fare e cosa non fare quando interagiscono con la tecnologia blockchain. Gli attacchi di ingegneria sociale possono verificarsi quando agli esseri umani vengono fornite informazioni organizzative a cui non dovrebbero avere accesso, come password o chiavi (come detto prima). Abbiamo appena parlato del tipo più comune di attacco di social engineering – il phishing – ma, come già detto, non ci si ferma qui: altri vettori di attacco sono:

• spoofing, ovvero quando qualcuno finge di essere qualcun altro tramite e-mail o telefono, di solito con una posizione geografica corrispondente;
• vishing, ovvero quando gli hacker chiamano la vittima al telefono e la convincono a fornire informazioni per qualcosa che non esiste.

Attori malintenzionati: scams e rug pulls

Il mondo delle criptovalute è pieno di progetti scam. È importante saperli riconoscere prima di investire in un progetto.

• Uno scam è un inganno o una frode intenzionale, che tipicamente comporta l’uso di informazioni false o fuorvianti, progettate per trarre vantaggio da altri.
• Il rug pull invece è una tattica utilizzata dai manipolatori del mercato che consiste nel convincere gli investitori ad acquistare un token, spesso rilasciando dichiarazioni positive sulle prospettive del progetto, con l’unica intenzione di estrarre (cioè togliere, “pullare”) tutto il valore immesso dagli utenti per rubarlo.

Il mercato delle criptovalute non è un luogo sicuro e ci sono molte persone che vogliono approfittare della mancanza di conoscenza ed esperienza altrui. I progetti scam sono spesso lanciati da sviluppatori con l’intenzione di derubare gli investitori. Promettono rendimenti irrealistici per attirare l’attenzione sul loro progetto, ma nella maggior parte dei casi falliscono miseramente o scompaiono senza lasciare traccia. Altri modi in cui i truffatori cercano di approfittare degli investitori inesperti sono:

• Promettere profitti garantiti che non possono essere raggiunti nella realtà
• Vendita di token a prezzi scontati
• Creazione di ICO false
• Promessa di token gratuiti in cambio di major asset.

Le truffe sono un problema importante nello spazio delle criptovalute. Con il lancio di così tanti progetti e token, diventa sempre più difficile per l’utente medio distinguere tra una truffa e un progetto legittimo.

Per difendersi da questi rischi, si dovrebbe investire solo in token con informazioni sul locking della liquidità. Questo impedisce al token di essere venduto sul mercato prima della data di rilascio, riducendo così la possibilità che si verifichi, appunto, un rug pull. Con la liquidità bloccata, nessuno è in grado di sottrarre al progetto il valore investito. È inoltre molto importante essere consapevoli dell’offerta in circolazione del token in cui si è investito e della distribuzione dello stesso (tokenomics). Infatti, un progetto all’interno del quale solo pochi attori hanno alte percentuali di token sbloccate, rispetto all’offerta totale è può comportare un rischio concreto.