بازنگری حمله به مدیریت X100 و Arkadiko: چرا قفل کردن و دوره‌های رأی‌گیری طولانی ناکام ماند؟

مدیریت پروژه‌های رمزنگاری نیاز به مکانیزم‌های حائل دارد.

نویسنده: Liam Akiba Wright

ترجمه: Chopper، Foresight News

دو حمله اخیر به مدیریت، نقص طراحی مشابهی را فاش کرد. مهاجمان دو کرسی مدیریتی پروژه اکوسیستم اتریوم X100 را تصاحب کردند و در تاریخ 24 اکتبر از طریق یک معامله زنجیره‌ای، انتقال خزانه را تأیید کردند و همزمان بدهی وام فوری را تسویه کردند.

پروتکل وام‌دهی Arkadiko به کاربران اجازه می‌دهد تا دارایی‌های خزانه را به عنوان وثیقه وام بگیرند. رأی‌گیری مدیریتی این پروژه که به مدت 5 روز ادامه داشت، زودتر از موعد به پایان رسید و مهاجمان در نزدیکی پایان رأی‌گیری توکن‌ها را خریداری کردند تا در رأی‌گیری شرکت کنند. پس از تصویب پیشنهاد مخرب، هیچ دوره خنک‌سازی وجود نداشت و قرارداد به‌سرعت دارایی‌های خزانه را تصاحب کرد.

این دو رویداد یک مشکل را فاش کرد: قفل کردن وجوه، کسب صلاحیت رأی‌گیری و اجرای پیشنهاد، بین این سه مورد یک شکاف طراحی وجود دارد. توکن X100 یک سال قفل شده است که این قفل طولانی مدت هزینه‌های بدخواهی را افزایش می‌دهد، اما زمان تأثیر رأی‌گیری را به تأخیر نمی‌اندازد؛ دوره رأی‌گیری Arkadiko بسیار طولانی است و زمان مشاهده بازار را فراهم می‌کند، اما مانع از ورود ناگهانی وجوه در نزدیکی پایان رأی‌گیری نمی‌شود. هر دو طراحی هیچ پنجره حائل برای جامعه برای مقابله با ریسک‌ها پس از تأیید پیشنهاد باقی نمی‌گذارند.

توکن‌های استیک شده X100 در حالت قفل شده، اما بلافاصله حقایق مدیریتی را به دست می‌آورند

قرارداد Freezer X100 توکن‌های X قفل شده را نگهداری می‌کند و سهم استیک شده، رتبه‌بندی نامزدهای کمیته مدیریتی را تعیین می‌کند. دوره قفل شدن به 1 سال، 3 سال و 5 سال تقسیم می‌شود، اما قرارداد هیچ الزامی برای حداقل مدت نگهداری استیک ندارد. در حمله 24 اکتبر، دو قرارداد فرعی هر کدام 19000.000001 توکن X را استیک کردند و یک سال قفل کردند. آن‌ها هویت خود را ثبت کردند، به رتبه‌بندی کمیته مدیریتی وارد شدند و دو رأی کلیدی را به دست آوردند تا پیشنهاد شماره 7 اجرا شود. تمام این عملیات در یک معامله انجام شد.

این مکانیزم مدیریتی هیچ دوره انتظار اجباری ندارد: در زمان باز بودن پیشنهاد، اکثریت کرسی‌های کمیته مدیریتی می‌توانند به‌طور مستقیم مجوز اجرا را صادر کنند. مهاجمان 2 از 3 کرسی را در اختیار داشتند و قبلاً مجوز اجرای فوری را داشتند. پس از تصویب پیشنهاد، 400,000 توکن X از خزانه به استخر جدیدی که مهاجمان ایجاد کرده بودند منتقل شد و قرارداد Freezer تنها 35.675313 توکن USDT دریافت کرد. سپس مهاجمان توکن‌ها را از استخر برداشت کردند و توکن X را برای تأمین مالی وام فوری فروختند.

توکن‌های استیک شده در طول فرآیند قفل باقی ماندند و مهاجمان نیازی به باز کردن سهم استیک خود نداشتند، بلکه فقط با دزدیدن دارایی‌ها از خزانه و استفاده از وجوه حاصل از فروش توکن‌ها، بدهی را تسویه کردند. پس از تکمیل معامله حمله و تسویه اصل + بهره، حدود 4.75 میلیون USDT به آدرس نهایی واریز شد. Philippark، مشارکت‌کننده ChainBounty، این مبلغ را پیگیری کرد و این مبلغ هنوز شامل توکن‌های X که به فروش نرفته‌اند و ارزش نوسانی آن‌ها نمی‌شود و فقط انتقال‌های قابل پیگیری را محاسبه کرده است.

قرارداد Freezer خود یک محدودیت دارد: پس از تکمیل اجرای معامله، موجودی توکن X در قرارداد باید تمام سرمایه‌های قفل شده کاربران را پوشش دهد. این قانون فقط از سرمایه اصلی کاربران محافظت می‌کند و نمی‌تواند از نقدینگی استخرهای خارجی محافظت کند و نمی‌تواند قیمت بازار ثانویه توکن‌ها را حفظ کند.

Arkadiko: وجوه ورودی در پایان رأی‌گیری می‌توانند در رأی‌گیری شرکت کنند

پیشنهاد شماره 12 Arkadiko در تاریخ 17 اکتبر ساعت 20:35 به وقت UTC ارائه شد و در تاریخ 22 اکتبر ساعت 16:04 به اجرا درآمد. این قرارداد مدیریتی یک پنجره رأی‌گیری به مدت 720 بلوک بیت‌کوین، که معمولاً به عنوان 5 روز شناخته می‌شود، تنظیم کرده است.

قوانین ایجاب می‌کند که پیشنهاددهنده باید 0.25% از عرضه DIKO (توکن مدیریتی Arkadiko) واجد شرایط را در اختیار داشته باشد و نرخ مشارکت رأی‌گیری باید به 5% برسد تا تعداد قانونی رأی‌دهندگان تأمین شود و رأی مثبت بیشتر از رأی منفی باشد تا تصویب شود. محاسبه عرضه در گردش، DIKO موجود در قرارداد توزیع اولیه را حذف می‌کند. قوانین قرارداد از رأی‌دهندگان نمی‌خواهد که قبل از ارائه پیشنهاد، توکن‌ها را در اختیار داشته باشند. کیف پول مهاجمان در تاریخ 22 اکتبر ساعت 15:03 به وقت UTC توکن‌ها را خریداری کرد و در ساعت 15:06 رأی‌گیری را تکمیل کرد و حدود 4.573 میلیون توکن DIKO را وارد کرد.

ردیابی زنجیره‌ای Bitquery نشان می‌دهد که 77% از STX دریافتی کیف پول رأی‌دهنده مهاجمان از وجوه دزدیده شده StackSwap قبلی است. (توجه: StackSwap یک DEX در اکوسیستم Stacks است که در تاریخ 20 اکتبر مورد حمله مدیریتی قرار گرفت.)

مهاجمان از طریق چندین معامله و در چند روز، آماده‌سازی وجوه را انجام دادند که با مدل وام فوری یک معامله‌ای X100 تفاوت قابل توجهی دارد. کلید این حمله در این است: در طول دوره باز بودن رأی‌گیری، توکن‌های خریداری شده بعدی می‌توانند بلافاصله حق رأی را به دست آورند. به محض بسته شدن رأی‌گیری، پیشنهاد به‌طور مستقیم اجرایی می‌شود و بین تصویب رأی و مجوز قرارداد هیچ دوره خنک‌سازی وجود ندارد.

قرارداد عملیاتی خزانه Arkadiko که فعال شده است، دارای نقصی است: توابع برداشت و تولید USDA فاقد تأیید مجوز فراخواننده هستند. پیشنهاد شماره 12 این قرارداد مخرب را به عنوان قرارداد عملیاتی خزانه ثبت کرده و مجوز تولید را اعطا کرده است. چند دقیقه پس از اجرایی شدن پیشنهاد، یعنی در ساعت 16:06 به وقت UTC، مهاجمان sBTC را منتقل کردند؛ در ساعت 16:09 stSTX را منتقل کردند. Bitquery برآورد می‌کند که Arkadiko در این حمله حدود 1.09 میلیون دلار ضرر کرده است: که شامل 780,000 دلار stSTX، 135,000 دلار sBTC و 173,000 دلار حاصل از فروش USDT بدون وثیقه تولید شده توسط مهاجمان است.

Arkadiiko در پست پاسخ خود در تاریخ 22 اکتبر اعلام کرد که قرارداد مخرب را غیرفعال کرده و مدیریت، بازخرید خزانه و تصفیه را متوقف کرده است. این شرکت اعلام کرد که خزانه‌های stSTX و sBTC تحت تأثیر نمی‌توانند اصلاح شوند زیرا وثیقه آن‌ها در دسترس نیست. در تاریخ 27 اکتبر، پیشنهاد شماره 14 «AIP 32.2 -- بازگرداندن عملیات خزانه» اجرا شد و ورودی‌های عملیاتی خزانه را به عنوان قرارداد قانونی Arkadiko تنظیم کرد.

درس: مدیریت نیاز به مکانیزم حائل دارد

تنظیم عکس‌العمل رأی‌گیری، الزام به نگهداری توکن‌ها برای مدت زمان مشخص قبل از رأی‌گیری می‌تواند مانع از به دست آوردن حق رأی فوری توسط توکن‌های جدید خریداری شده شود؛ در حالی که قفل زمانی برای اجرا، «تصویب پیشنهاد» و «عملیات دارایی» را به دو مرحله مستقل تقسیم می‌کند. اگر تمام عملیات پیشنهادات به‌طور اجباری از طریق قفل زمانی انجام شود، حمله X100 که

این محتوا صرفاً برای اطلاع‌رسانی عمومی ارائه شده است و به‌منزله مشاوره مالی، سرمایه‌گذاری، حقوقی یا مالیاتی تلقی نمی‌شود. هرگونه رویداد، جایزه، کمپین آنلاین یا اطلاعات مرتبط که در اینجا ذکر شده است، نباید به‌عنوان توصیه، ترغیب یا دعوت به خرید، فروش، معامله یا هرگونه دادوستد دیگر دارایی‌های رمزارزی تلقی شود. دارایی‌های رمزارزی از نوسان بالایی برخوردار هستند و ممکن است منجر به زیان شوند. دسترسی به خدمات، محصولات و رویدادهای مرتبط با WEEX ممکن است بسته به منطقه جغرافیایی متفاوت باشد. اطمینان از اینکه استفاده شما از این خدمات با قوانین و مقررات محلی مطابقت دارد، بر عهده خود شماست.