Zincir üzərində 4 gündə 3 hücum: Bazar artdı, hackerlər daha "məşğuldur"

İndi diqqət mərkəzində olan, hekayə deyil, kimlərin pul çıxara biləcəyi, kimlərin parametrləri dəyişə biləcəyi və təkliflər zəncir üzərində asılı olduqda, həqiqətən kimlərin buna baxdığıdır.

Müəllif: Maher, Foresight News

Bir həftədən az müddətdə, üç kripto protokolu hücumçuların hədəfi oldu.

20 avqustda, ödəniş zənciri Keeta Network, əsas şəbəkəni yalnız oxuma rejiminə keçirdi və tək komponentdə təhlükəsizlik problemi olduğunu bildirdi, daha sonra hücumçulara 72 saat ərzində vəsaitləri qaytarma tələbi göndərdi; 22 avqustda, metaverse layihəsi The Sandbox, zəncir üzərindən çap hücumuna məruz qaldı, hücumçular Base və BNB Chain-də çox sayda SAND çap etdilər, layihə iki zəncirin körpüsünü kəsdi, təhlükəsizlik agentlikləri faktiki olaraq 670 min dollar dəyərində olan ehtiyatların çəkildiyini qiymətləndirdi; 23 avqustda, sabit faizli kredit protokolu Term Finance, idarəetmə təklifi icra edildiyi üçün, xəzinədə təxminən 2843 ədəd ETH və 1.68 milyon ədəd USDC köçürüldü, itki təxminən 8.5 milyon dollar oldu.

Üç hadisə bir-birinə bağlı deyil, hücum yolları da fərqlidir, lakin hamısı eyni həftəyə düşür.

Keeta: Əsas şəbəkə yalnız oxuma rejiminə keçirilib

Keeta, ödəniş zənciridir, onun həmtəsisçisi və CEO-su Ty (X hesabı @schenkty) 20 avqustda etdiyi yeniləmədə, təhlükəsizlik hadisəsinin kök səbəbinin tapıldığını, problemin təsirlənmiş komponentlərlə məhdudlaşdığını, ankr sistemini və xarici bağlantı sistemini əhatə etmədiyini bildirdi; Base-də yerləşdirilmiş KTA təsirlənməyib.

Təhlükəsizlik tədbiri olaraq, əsas şəbəkə yalnız oxuma rejiminə keçirilib, yamalar tamamlanıb test edildikdən sonra tam fəaliyyətə qaytarılacaq. Komanda eyni zamanda təsirlənmiş istifadəçilərə tam kompensasiya vermək yollarını qiymətləndirdiklərini və strateji ehtiyatların zəruri olduqda zərər çəkmiş vəsaitləri əhatə edə biləcəyini bildirdi.

Rəsmi olaraq hələ də audit edilmiş "oğurlanan ümumi məbləğ" açıqlanmayıb. Lookonchain, bir yeni adresin zəncir üzərindən təxminən 930000 KTA (o vaxt təxminən 685000 dollar) və təxminən 2 milyard GALA aldığını, daha sonra isə təxminən 1902 ədəd ETH (təxminən 364000 dollar) çevirdiyini izləyib,

19 avqustda, KTA qiyməti 0.09 dollardan 0.05 dollara düşdü, düşmə faizi təxminən 37% oldu, hazırda 0.077 dollara yüksəlib.

22 avqustda, Ty yenidən bəyanat verdi, araşdırmanın əhəmiyyətli irəliləyiş əldə etdiyini və hücumçunu göstərə biləcək sübutlar toplandığını, hücumla bağlı IP-lər, istifadə olunan VPN və VPS-lər, icazəsiz sorğular zamanı istifadəçi agentləri və texniki mühit, əlaqəli e-poçtlar, proqram təminatı və infrastruktur xidmət təminatçıları kimi məlumatları topladıqlarını bildirdi; sübutlar saxlanılıb və müvafiq tərəflərə təqdim edilib. Bəyanatda tərəfdən 72 saat ərzində bütün gəlirləri qaytarmağı tələb edilib, KTA, ETH və ya USDC Base adresinə köçürülə bilər. Əgər tam məbləğ qaytarılarsa, Keeta mükafat müzakirə etməyə hazırdır və hüquqi məsuliyyət tələb etmədən işi bağlamağa hazırdır; müddət bitdikdə hüquqi məsuliyyət və vəsaitlərin geri alınması hüququ saxlanılır.

Tam texniki hesabatın rəsmi araşdırma tamamlandıqdan sonra dərc ediləcəyi vəd edilib. 24 avqusta qədər, əsas şəbəkə hələ də yalnız oxuma rejimindədir, kompensasiya detalları açıqlanmayıb, 72 saatlıq pəncərənin ödənilib-ödənilmədiyi də məlum deyil.

Bu hadisənin dərsləri çox mürəkkəb deyil: tətbiq zənciri "kimlərin icazələri dəyişə biləcəyini" standart genişlikdə yazdıqda, zənciri dayandırmaq, adətən, yamadan daha sürətli olur. Keeta, bir hissə zəncir altı izləri açıq şəkildə göstərməyi və qaytarma müddəti qoymağı seçdi, son illərdə baş verən oğurluq hadisələrində bu nadir hallardandır, lakin pulun geri qayıdıb-qayıtmayacağı, hesabatın zəncir üzərindəki məlumatlarla uyğun olub-olmadığı, bu yanaşmanın standartını müəyyən edir.

The Sandbox: Yalan pullar astronomik rəqəmlər çap etdi

22 avqustda The Sandbox, Base-də yerləşən SAND zəncir üzərindən müqaviləsi hücuma məruz qaldı. Hücumçular approveAndCall vasitəsilə LayerZero-nun nümayəndəlik icazələrini ələ keçirərək, Ethereum əsas şəbəkəsində heç bir girov olmadan SAND-ı davamlı çap etməyə başladılar və BNB Chain-ə də təsir etdilər. LayerZero protokolunun əsas qatına hücum edilmədi.

Layihə dərhal Base və BNB Chain ilə iki tərəfli körpünü kəsdi. Rəsmi olaraq 149 milyard ədəd SAND çap edildiyi bildirildi, faktiki olaraq Ethereum ehtiyatlarından çəkilən və realizə edilən, zəncir üzərindən təhlil edilərək təxminən 1475 milyon ədəd SAND, təxminən 80 ədəd ETH, təxminən 670 min dollar dəyərindədir. Ethereum və Polygon üzərindəki SAND, istifadəçi cüzdanları və əsas şəbəkə girovu, layihə tərəfindən təsir edilmədiyi bildirildi.

SAND zəncir üzərində LayerZero-nun OFT-sini istifadə edir: qarşı tərəf çapı əsas şəbəkədəki girovla uyğun olmalıdır, düyün nümayəndələri kimlərin hədəf zəncirində çap edə biləcəyini müəyyən edir. Problemin layihə müqaviləsinin approveAndCall-da olduğu, icazə hüququnu dəyişdirmək üçün istifadə edildiyi, saxta zəncir üzərində çapın qüvvəyə mindiyi bildirildi.

Rəsmi olaraq, boşluğun nəzarət altına alındığı, ümumi təchizatın 0.01%-nə təsir etmədiyi, investorları Base və BSC-də SAND ticarət etməməyə çağırdı. Ticarət mərkəzləri Upbit, Bithumb artıq depozit və çıxarışı dayandırdı.

Məqalənin dərc edildiyi vaxtda, SAND-ın qiyməti 0.05 dollardan 0.045 dollara düşdü.

Term Finance, Ethereum-da sabit faizli kredit protokoludur. 23 avqustda, Ethereum-da altı gündən artıq zəncir üzərində dərc edilmiş idarəetmə təklifi icra edildi. Səsvermə səhifəsində rədd səsi sıfır idi. Təklifin məzmunu əvvəlki 7 günlük ticarət soyuqluğunu (timelock) bağlamaq, daha sonra ETH Meta Vault-dan təxminən 2842 ədəd WETH köçürməkdən ibarət idi.

Təxminən 20 dəqiqə sonra, ikinci əməliyyat beş USDC xəzinəsindən təxminən 1.68 milyon ədəd USDC köçürülərək DAI-ya çevrildi. PeckShield, hücumçunun təxminən 2843 ədəd ETH (o vaxt təxminən 690000 dollar) və 1.68 milyon ədəd USDC götürdüyünü statistik olaraq qeyd etdi.

Bu hadisə nə smart müqavilənin yenidən daxil edilməsi, nə də proqnozçunun manipulyasiyasıdır, əksinə, idarəetmə protokolunun dizaynına uyğun olaraq "təqdim et---gözlə---heç bir rədd yoxdur---icra et" prosesi tamamlanmışdır. Xarici analizlər, hücumçunun idarəetmə tokenlərinin dövriyyəsinin az olduğu bir vəziyyətdə, USDC strategiya xəzinəsinin demək olar ki, bütün səsvermə hüququnu əldə etdiyini və ETH Meta Vault-un təxminən 90%-ni idarə etdiyini, daha sonra köçürülən vəsaitləri bir dəfəlik effektiv idarəetmə kimi yazdığını bildirir.

Hal-hazırda, Term Labs bütün Term Meta Vault-ların bağlandığını, DAO idarəetmə rolunun ləğv edildiyini, bu bağlanmanın geri dönməz olduğunu və əlavə depozitlərin qadağan edildiyini bildirir. Çıxarışlar hələ də mümkündür. Rəsmi olaraq, hazırkı araşdırmaya əsasən, Term protokolu və onun birbaşa kredit bazarı təsirlənməyib, xarici təhlükəsizlik komandası ilə bərpa və bərpa işlərini koordinasiya etdiklərini bildirir.

İdarəetmə hücumları son illərdə nadir deyil. Səs hüququ mərkəzləşdikdə və səsvermə iştirakının az olduğu zaman, bu cür hücumlar xüsusilə təsirli olur.

Bu ilin iyul ayında, BonkDAO xəzinəsi bir zərərli idarəetmə təklifi hücumuna məruz qaldı, təxminən 20 milyon dollar dəyərində BONK tokenləri oğurlandı. Hücumçunun əlaqəli adresi təklifin irəliləməsindən əvvəl CEX cüzdanı vasitəsilə BONK almışdı, daha sonra səsverməni manipulyasiya edərək, sonunda idarəetmə prosesi ilə "açıq" şəkildə böyük vəsaitləri köçürdü.

Keeta, bütün əsas şəbəkəni dayandırır, komponent icazələri əvvəlcə bağlanır, daha sonra kompensasiya və 72 saatlıq geri tələb olunur. Sandbox, körpünü kəsir, kağız üzərində absurd bir şəkildə çap edə bilir, amma geri çəkilə bilən ehtiyat yalnız 60 min dollardan bir az çoxdur, mübahisə LP snapshotlarının necə kompensasiya ediləcəyi üzərində cəmlənəcək. Term-in təklifi altı gün ərzində gözləyir, rədd səsi sıfırdır, soyuqluq müddəti eyni təkliflə bağlana bilər, təxminən 8.5 milyon dollar idarəetmə prosesi ilə köçürülüb.

İndi diqqət mərkəzində olan, hekayə deyil, kimlərin pul çıxara biləcəyi, kimlərin parametrləri dəyişə biləcəyi və təkliflər zəncir üzərində asılı olduqda, həqiqətən kimlərin buna baxdığıdır.

Bu məzmun yalnız ümumi məlumat məqsədilə təqdim olunur və maliyyə, investisiya, hüquqi və ya vergi məsləhəti hesab edilməməlidir. Burada qeyd olunan hər hansı tədbir, mükafat, onlayn kampaniya və ya əlaqəli məlumat hər hansı kriptoaktivin alınması, satılması, treydinqi və ya digər əməliyyatların aparılması üçün tövsiyə, təşviq və ya dəvət kimi qiymətləndirilməməlidir. Kriptoaktivlər yüksək dəyişkənliyə malikdir və maliyyə itkisinə səbəb ola bilər. WEEX-in xidmətləri, məhsulları və əlaqəli tədbirlərinin əlçatanlığı regiondan asılı olaraq dəyişə bilər. İştirakınızın yerli qanunvericilik və tənzimləyici tələblərə uyğun olmasını təmin etmək sizin məsuliyyətinizdir.