نقص‌های حکمرانی X100 منجر به ضرر 6 میلیون دلاری به دلیل وام فوری شد

یک مهاجم هنوز دو کرسی حکومتی در X100، یک پروژه توکن با خزانه‌داری تحت مدیریت سنا، به دست آورد و یک معامله خزانه‌داری را تأیید کرده و یک وام فوری را در یک معامله بلاک‌چین در تاریخ 24 اکتبر بازپرداخت کرد.

در Arkadiko، یک پروتکل وام‌دهی که کاربران بر اساس وثیقه‌های خزانه‌داری وام می‌گیرند، یک رأی‌گیری تقریباً پنج روزه دو روز زودتر به پایان رسید و به یک قرارداد مخرب اجازه کنترل بر دارایی‌های خزانه‌داری را داد. افراد قبل از رأی‌گیری تصمیم‌گیرنده، توکن‌های رأی‌گیری خریداری کردند و پیشنهاد زمانی که رأی‌گیری بسته شد، به اجرا درآمد.

این حوادث شکاف‌های مختلفی را بین تعهد پول، واجد شرایط بودن برای رأی‌گیری و اجرای یک اقدام تأیید شده نشان می‌دهد. توکن‌های X100 باید به مدت یک سال قفل شوند، بنابراین یک قفل طولانی مدت توکن می‌تواند هزینه‌ای را تحمیل کند بدون اینکه قدرت را به تأخیر بیندازد.

در عین حال، یک رأی‌گیری طولانی می‌تواند اطلاع‌رسانی کند در حالی که هنوز خریدهای دیرهنگام را مجاز می‌دارد. هیچ‌کدام به‌طور خودکار زمان پاسخگویی پس از اجرایی شدن یک تصمیم ایجاد نمی‌کنند.

سهام قفل‌شده X100 قدرت فوری خرید

قرارداد Freezer X100 توکن‌های X قفل‌شده را نگه می‌دارد و سهامی را که برای رتبه‌بندی نامزدها برای سنا استفاده می‌شود، تأمین می‌کند. شرایط قفل آن برای یک، سه یا پنج سال اجرا می‌شود، اما واجد شرایط بودن سنا از مقدار فعلی قفل‌شده استفاده می‌کند، بدون حداقل سن سهام.

در اولین حمله 24 اکتبر، دو قرارداد کمکی هر کدام 19,000.000001 X را تحت شرایط یک ساله قفل کردند. آنها ثبت‌نام کردند، وارد رتبه‌بندی شدند و دو رأی حمایتی را که پیشنهاد 7 را اجرا کرد، تأمین کردند. آنها سهام، رأی‌ها و اجرا را در یک معامله کامل کردند.

مهلت حکمرانی هیچ دوره انتظار اجباری را ارائه نداد. در حالی که یک پیشنهاد باز بود، اکثریت کرسی‌های سنا که در حال حاضر رتبه‌بندی شده بودند، می‌توانستند اجرای آن را مجاز کنند. داشتن دو از سه کرسی به کمک‌کنندگان قدرت کافی برای اقدام فوری داد.

تعویض تأیید شده 400,000 X خزانه‌داری را به یک استخر ایجاد شده توسط مهاجم ارسال کرد. Freezer تنها 35.675313 USDT دریافت کرد و سپس مهاجم توکن‌ها را از آن استخر استخراج کرده و X را فروخت تا نقدینگی مورد استفاده برای بازپرداخت را به دست آورد.

سهام در حالی که نقدینگی از استخراج خزانه‌داری و فروش توکن برای بازپرداخت تأمین می‌شد، قفل ماند، بنابراین مهاجم نیازی به بازیابی سهام خریداری شده اول نداشت.

این حمله حدود 1.94 میلیون USDT وام گرفت و اصل وام به همراه حق بیمه‌اش را بازپرداخت کرد. پس از بازپرداخت، حدود 4.75 میلیون USDT به اولین دریافت‌کننده نهایی رسید.

مشارکت‌کننده ChainBounty، Philippark، 4.848 میلیون USDT پرداخت شده به سه دریافت‌کننده منتخب را تطبیق داد. این زیرمجموعه شامل X‌های فروخته نشده و ارزش متغیر آن نمی‌شود و فقط پرداخت‌های منتخب را اندازه‌گیری می‌کند.

Freezer همچنین یک محدودیت معنادار را حفظ کرد: پس از اجرا، موجودی X آن باید کل مقدار قفل‌شده توسط کاربران را پوشش دهد. محافظت از آن مقدار اصل قفل‌شده، نقدینگی استخر خارجی یا ارزش بازار توکن را محافظت نمی‌کند.

رأی‌گیری Arkadiko پول‌های دیرهنگام را پذیرفت

پیشنهاد 12 Arkadiko در ساعت 20:35 UTC در تاریخ 17 اکتبر ارائه شد و در ساعت 16:04 UTC در تاریخ 22 اکتبر اجرا شد. قرارداد حکمرانی آن به یک پیشنهاددهنده خارجی یک بازه رأی‌گیری 720 بلاک بیت‌کوین، که معمولاً به عنوان پنج روز توصیف می‌شود، داد.

قوانین نیاز به 0.25% از عرضه واجد شرایط DIKO برای پیشنهاد، 5% مشارکت برای رسیدن به حد نصاب و رأی‌های بیشتر بله نسبت به نه داشت. محاسبه عرضه DIKO‌های نگهداری شده در قرارداد تخصیص اولیه را کم کرد.

این آستانه‌ها و قوانین رأی‌گیری نیاز نداشتند که مالکان توکن قبل از پیشنهاد توکن‌ها را نگه‌داری کرده باشند. کیف پول پیشنهاددهنده در ساعت 15:03:46 UTC در تاریخ 22 اکتبر یک تعویض انجام داد و در ساعت 15:06:47 رأی داد. آن حدود 4.573 میلیون DIKO را متعهد کرد. پیشنهاد با همان تعداد رأی بله و صفر رأی نه بسته شد.

Bitquery تخمین می‌زند که خریدهای توکن رأی‌گیری حدود 51,000 دلار بوده است. ردیابی آن همچنین 77% از STX ارسال شده به کیف پول رأی‌گیری را به عنوان ناشی از برداشت قبلی StackSwap قرار می‌دهد.

مهاجم وجوه را در چندین معامله و تاریخ متعهد کرد، بنابراین مورد Arkadiko به طور معناداری با وام‌گیری و بازپرداخت یک معامله‌ای X100 متفاوت است. خرید دیرهنگام کلیدی بود زیرا به قدرت رأی‌گیری قابل استفاده در حین یک رأی‌گیری که قبلاً باز بود، تبدیل شد.

زمانی که رأی‌گیری بسته شد، تغییرات اجرایی شد. هیچ دوره انتظار جداگانه‌ای بین آن تصمیم و دریافت مجوز قرارداد وجود نداشت.

قرارداد مخرب تأیید شده فاقد مجوز تماس‌گیرنده در عملکردهای برداشت و تولید USDA بود. پیشنهاد 12 آن را به عنوان قرارداد عملیات خزانه با مجوز تولید ثبت کرد. تماس‌های موفقیت‌آمیز sBTC را در ساعت 16:06 UTC و stSTX را در ساعت 16:09 حذف کردند، دقایقی پس از فعال‌سازی.

Bitquery تخمین می‌زند که خسارت Arkadiko حدود 1.09 میلیون دلار است: تقریباً 780,000 دلار از stSTX، 135,000 دلار از sBTC و 173,000 دلار از STX که با فروش USDA بدون پشتوانه به دست آمده است. مهاجم X100 در یک تراکنش عمل کرد با وجود قفل توکن یک ساله، در حالی که Arkadiko پس از رأی‌گیری بدون تأخیر جداگانه‌ای اجرا شد.

در رشته پاسخ Arkadiko در 22 اکتبر، این شرکت اعلام کرد که قرارداد مخرب را غیرفعال کرده و حاکمیت، بازخریدهای خزانه و تصفیه‌ها را متوقف کرده است. این شرکت گفت که خزانه‌های stSTX و sBTC تحت تأثیر نمی‌توانند تغییر کنند زیرا وثیقه آن‌ها در دسترس نیست.

در ساعت 07:57 UTC در 27 اکتبر، پیشنهاد 14، "AIP 32.2 -- بازیابی عملیات خزانه" اجرا شد و ورودی عملیات خزانه را به قرارداد قانونی v1-3 Arkadiko تنظیم کرد.

یک پنجره خروج نیاز به خروج دارد

نیاز به یک سهام قدیمی‌تر یا استفاده از قدرت رأی‌گیری از یک تصویر قبلی می‌توانست از واجد شرایط بودن توکن‌های تازه به دست آمده جلوگیری کند، در حالی که تأخیر در اجرا می‌توانست تأیید را از حرکت دارایی جدا کند.

اگر هر اقدام مرتبط باید از آن تأخیر عبور کند، توالی دقیق X100 نمی‌توانست خود را تأمین مالی کند و وام خود را در یک تراکنش بازپرداخت کند.

یک مهاجم که از سرمایه بلندمدت استفاده می‌کند می‌تواند منتظر بماند، اما محدودیت‌های مربوط به آنچه که قراردادهای تأیید شده می‌توانند انجام دهند، همچنان یک سؤال جداگانه باقی می‌ماند.

مستندات حاکمیت OpenZeppelin مکانیزم‌های قدرت رأی‌گیری تاریخی و قفل‌های زمانی اجرا را به عنوان مکانیزم‌های متمایز توصیف می‌کند.

اعمال آن تمایز به این حوادث، آزمایش را به سؤالی از زمان کسب مجوز سرمایه تازه به دست آمده، اینکه آن مجوز چه چیزی را می‌تواند جابجا کند و چه مقدار زمان قابل استفاده قبل از اجرا باقی مانده است، تبدیل می‌کند.

X100's frozen X نمی‌توانست به طور معمول قبل از بلوغ قفل آن آزاد شود، بنابراین تأخیر در اجرا آن محدودیت برداشت را از بین نمی‌برد.

عملکرد قانونی بسته خزانه Arkadiko یک خروج مشروط را فراهم می‌کند: یک مالک فعال بدهی را بازپرداخت می‌کند، هزینه‌های ثبات را پرداخت می‌کند و وثیقه را زمانی که عملیات فعال می‌شود، برداشت می‌کند. این نیاز به وجوه لازم و وثیقه در دسترس دارد.

پنجره پیشنهادی تقریباً پنج روزه اطلاع قبلی از تغییر پیشنهادی را ارائه داد. رأی نهایی بسیار دیرتر رسید و بسته شدن بلافاصله قرارداد را فعال کرد. برخورد با کل رأی‌گیری به عنوان یک پنجره برداشت پس از تأیید تضمینی، زمان دقیق خطر را که قابل اجرا شد، مبهم می‌کند.

این محتوا صرفاً برای اطلاع‌رسانی عمومی ارائه شده است و به‌منزله مشاوره مالی، سرمایه‌گذاری، حقوقی یا مالیاتی تلقی نمی‌شود. هرگونه رویداد، جایزه، کمپین آنلاین یا اطلاعات مرتبط که در اینجا ذکر شده است، نباید به‌عنوان توصیه، ترغیب یا دعوت به خرید، فروش، معامله یا هرگونه دادوستد دیگر دارایی‌های رمزارزی تلقی شود. دارایی‌های رمزارزی از نوسان بالایی برخوردار هستند و ممکن است منجر به زیان شوند. دسترسی به خدمات، محصولات و رویدادهای مرتبط با WEEX ممکن است بسته به منطقه جغرافیایی متفاوت باشد. اطمینان از اینکه استفاده شما از این خدمات با قوانین و مقررات محلی مطابقت دارد، بر عهده خود شماست.