Cronos sustabdė blokų kūrimą po didelio DeFi išnaudojimo
Cronos validuotojai sustabdė blokų kūrimą rugpjūčio 30 d., po to kai Tectonic, decentralizuota paskolų platforma, veikianti Cronos tinkle, pranešė apie išnaudojimą, kurio, pagal tyrėjus, nuostoliai siekia apie 75 mln. USD. Sustabdymas buvo skirtas užkirsti kelią tolesniam lėšų judėjimui grandinėje, kol komandos tiria, kaip užpuolikas manipuliavo užstatu ir išpumpavo likvidumą iš protokolo.
Ką nutiko: greitas užstato infliavimas ir pump-and-borrow ataka
Nepriklausomo tyrėjo Weilin Li grandinės analizė rodo, kad užpuolikas išnaudojo tai, kaip Tectonic traktavo TONIC, protokolo valdymo žetoną, kaip užstatą. Pagal Li laiko juostą, TONIC rinkos kaina per maždaug 20 minučių buvo padidinta apie 100 kartų. Užpuolikas pateikė dirbtinai išpūstą TONIC kaip užstatą ir pasiskolino daugiau likvidžių aktyvų prieš jį, o vėliau pervedė lėšas tarp grandinių. Iš pradžių Li nurodė, kad paveikti aktyvai siekė apie 66 mln. USD, o vėliau identifikavo dar vieną adresą su maždaug 8 mln. USD, todėl jo bendras vertinimas siekia apie 75 mln. USD.
Analitikai palygino šią techniką su Mango Markets incidentu: retai prekiaujamas žetonas su per dideliu užstato koeficientu gali būti manipuliuojamas, kad palaikytų neproporcingai dideles paskolas prieš likvidžius aktyvus. Šis modelis taip pat primena neseną Moonwell ataką, kurioje išnaudotas silpnai likvidus užstatas ir nuostoliai sudarė apie 8,7 mln. USD.
Numatomi nuostoliai ir on-chain suspaudimas
Li adresų sekimo duomenys rodo, kad apie 6 mln. USD aktyvų pasiekė Ethereum, kol validuotojai sustabdė Cronos blokų kūrimą; likusi dalis, kaip pranešama, liko adresuose Cronos tinkle. Tai, kad dauguma lėšų liko grandinėje, nereiškia, jog jos yra atkuriamos. Jei Cronos bus paleistas be apribojimų, užpuolikas galėtų atnaujinti lėšų judėjimą. Validuotojai, protokolo kūrėjai ir tinklo dalyviai turi nuspręsti, ar užšaldyti adresus, atšaukti sandorius ar koordinuoti kitą atsaką, o bet kokia intervencija sukels valdymo ir finalumo klausimų.
Esama būklė: nėra patvirtinto atkūrimo plano
Rugpjūčio 31 d. nei Cronos, nei Tectonic nebuvo paskelbę visapusiško techninio post-mortem, atkūrimo žemėlapio, naudotojų kompensavimo schemos ar paleidimo grafiko. Tectonic patarė vartotojams nesinaudoti protokolu, kol nebus patvirtintas saugumas; indėliai, grąžinimai, likvidavimai ir išėmimai lieka paveikti, kol grandinė sustabdyta.
Centrizuotos biržos operacijos nepažeistos, teigia Crypto.com
Crypto.com generalinis direktorius Kris Marszalek teigė, kad kompanijos centralizuota programa ir birža toliau veikia įprastai ir kad klientų lėšos, laikomos šiose paslaugose, yra saugios. Jis paaiškino, kad šios garantijos taikomos aktyvams, laikomiems Crypto.com centralizuotose paslaugose, o ne lėšoms, tiesiogiai dedamoms į DeFi protokolą. Crypto.com saugumo komanda padeda tyrimui ir įmonė pažadėjo techninį post-mortem, tačiau datos nepateikta.
Šis skirtumas pabrėžia nuolatinę temą kripto rizikos valdyme: centralizuotos biržos balansai, grandinėje laikomi piniginės likučiai ir DeFi kontraktuose užrakintos lėšos priklauso skirtingiems pasitikėjimo ir laikymo modeliams. Išmaniojo kontrakto išnaudojimas ar orakulo manipuliacija DeFi protokole nebūtinai kompromituoja centralizuotos biržos laikymo infrastruktūrą, tačiau tai vis tiek gali paveikti vartotojus, kurie patys valdo savo lėšas arba tiesiogiai sąveikauja su DeFi.
Pagrindiniai on-chain klausimai saugiam paleidimui
Prieš validuotojams atnaujinant blokų kūrimą, Cronos turi nustatyti, ar užpuoliko kontroliuojami adresai gali saugiai pervesti lėšas ir ar užpuolikas nepaliko reikšmingo blogo skolos balanso Tectonic paskolų rinkose. Techninis auditas turės patvirtinti, kaip Tectonic vertino TONIC užstatą ir ar jo kainų srautai arba orakulo susitarimai turėjo apsaugas nuo sparčios manipuliacijos. Silpnas orakulo dizainas arba per dideli užstato koeficientai retiems žetonams yra dažni šio tipo atakų vektoriai.
Galimi scenarijai ir valdymo kompromisai
Jei validuotojai ar valdymo subjektai nuspręs užšaldyti adresus, atšaukti sandorius arba sukti grandinę atgal, bendruomenė susidurs su sudėtingais kompromisais tarp aktyvų atkūrimo ir pagrindinių blokų grandinės principų, tokių kaip sandorių galutinumas ir cenzūros atsparumas. Bet kuri intervencija gali suformuoti precedentą, kaip bus sprendžiami būsimų incidentų klausimai Cronos ir kitose EVM suderinamose tinkluose.
Suinteresuotos šalys taip pat stebės Tectonic vertinimą dėl esamos blogos skolos ir protokolo planą, skirtą nukentėjusiems indėlininkams. Skaidrus atskleidimas, įskaitant išsamią laiko juostą, paveiktus adresus, tikslias žetonų sumas ir techninį post-mortem, bus svarbus atstatant vartotojų pasitikėjimą ir formuojant bet kokius kompensavimo ar taisymo procesus.
Ką tikėtis tolesniuose atnaujinimuose
- Patvirtinta bendra pavogtų arba užšaldytų aktyvų suma, remiantis grandinės apskaita ir žetonų kainų suderinimu.
- Išsami informacija, ar Cronos validuotojai taikys adresų apribojimus, grandinės sukimą atgal ar kitas suspaudimo priemones prieš paleidimą.
- Tectonic techninis post-mortem, paaiškinantis, kaip buvo užkainotas TONIC ir kodėl apsaugos nuo manipuliacijos buvo nepakankamos.
- Bet kokie atkūrimo, draudimo ar kompensavimo pasiūlymai indėlininkams, nukentėjusiems dėl išnaudojimo.
Išvados DeFi vartotojams ir protokolams
Šis incidentas pabrėžia nuolatines DeFi pažeidžiamumo sritis: valdymo žetonams arba retai prekiaujamiems aktyvams neturėtų būti suteikiami dideli užstato koeficientai be tvirtos orakulo gynybos ir rinkos gylio; protokolų kūrėjai turi stresuoti kainų orakulus ir užstato konfigūracijas prieš flash manipuliacijas; o vartotojai turėtų suprasti, kad lėšos DeFi kontraktuose susiduria su kitomis rizikomis nei aktyvai, laikomi centralizuotose platformose.
Kol kas Cronos lieka sustabdytas, kol komandos tiria incidentą. Kripto dalyviai turėtų stebėti oficialius kanalus, kad gautų patvirtintus atnaujinimus apie tinklo paleidimo planus, galutinę aktyvų apskaitą ir tai, kaip Tectonic ketina spręsti paveiktų vartotojų ir rinkų problemas.
Palikti komentarą
Komentarai
Komentarų dar nėra. Būkite pirmas.