Apakah Rollback di Blockchain Tidak Dapat Menyelamatkan Aset yang Dicuri?

Tiga blockchain publik menghentikan operasi secara mendesak, menunjukkan batasan nyata dari kekuasaan darurat di blockchain.

Ditulis oleh: Liam 'Akiba' Wright

Diterjemahkan oleh: Saoirse, Foresight News

Dalam waktu empat hari, tiga jaringan blockchain secara berturut-turut berhenti memproduksi blok. Setiap kali jaringan berhenti, kekuasaan darurat yang digunakan sangat berbeda, di mana hanya Cronos yang mengubah sebagian sejarah rantai resmi.

Pihak Cronos menyatakan bahwa setelah protokol Tectonic mengalami serangan kerentanan, node validator menutup jaringan melalui mekanisme konsensus, mengembalikan rantai ke keadaan sebelum serangan terjadi, dan memulai kembali produksi blok dari tinggi blok 90.896.189. Tindakan ini tidak hanya menghentikan produksi blok, tetapi juga secara langsung mengubah status rantai. Transaksi dan perubahan status yang terjadi setelah titik pemulihan tidak lagi menjadi bagian dari rantai resmi yang dimulai kembali.

Ontology dan ICON menggunakan metode darurat yang berbeda. Ontology menghentikan produksi blok sebelum mengonfirmasi adanya serangan jahat, dan pembaruan pada 1 September menyatakan bahwa aktivitas jahat tersebut tidak menyebabkan kerugian aset pengguna. ICON pertama-tama menghentikan kontrak yang diserang, kemudian menutup seluruh jaringan; sementara yayasan menyatakan bahwa jaringan berada dalam tahap migrasi yang dikendalikan oleh mereka, pada saat itu sebagian besar ICX yang dicuri telah dipindahkan ke akun kustodian di bursa.

Penghentian blockchain hanyalah langkah kontrol pertama. Masalah yang lebih mendalam adalah: siapa yang memiliki hak untuk memerintahkan penghentian jaringan? Apakah mereka dapat mengubah status rantai yang telah dikonfirmasi? Ketika dana berpindah antar rantai atau masuk ke lembaga kustodian terpusat, kerugian mana yang tidak dapat dipulihkan?

Informasi tentang hak akses yang diungkapkan dalam langkah-langkah darurat menunjukkan risiko pemulihan yang diketahui dari serangan kerentanan CronosTectonic yang menghentikan jaringan dan mengembalikan status rantai ke sebelum kerentanan terjadi; pengumuman pemulihan tidak mengungkapkan data pemungutan suara dan semua aktivitas di rantai setelah titik pemeriksaan dibatalkan; dana yang berpindah ke Ethereum tidak berada dalam kendali Cronos; statistik kerugian akhir dari protokol Tectonic belum selesai; Ontology menemukan risiko potensial dalam pemeriksaan rutin, dan setelah mengonfirmasi adanya aktivitas jahat, menghentikan produksi blok sebagai langkah pencegahan, tanpa melakukan rollback; tim pengembang inti, tim teknis, dan node validator terlibat; tidak mengungkapkan ambang batas pemicu untuk penanganan darurat dan transaksi tidak dapat dieksekusi selama periode pemeliharaan jaringan; tidak ditemukan kerugian aset pengguna; kontrak migrasi ICON memiliki kerentanan replay, pertama menghentikan kontrak, kemudian menghentikan seluruh jaringan; jaringan dalam tahap migrasi dikendalikan oleh yayasan, jumlah node validator inti berkurang, kerugian ditanggung oleh yayasan; apakah ICX yang ada di bursa dapat dipulihkan tergantung pada pihak kustodian, proses hukum, dan lembaga penegak hukum.

Perbandingan cara penanganan darurat dari tiga blockchain: Cronos, Ontology, ICON

Cronos: Dari Penghentian Menuju Perubahan Status Rantai

Cronos menyebut penanganan kejadian ini sebagai "Tindakan Darurat Konsensus Validator". Pengumuman pemulihan pada 31 Agustus menunjukkan, pada pukul 23:49:01 UTC 30 Agustus, jaringan mulai memproduksi blok dari tinggi blok 90.896.189, dengan status rantai kembali ke sebelum serangan kerentanan Tectonic.

Operasi penghentian Cronos berarti membuat keputusan tentang distribusi keuntungan dari titik pemulihan. Setelah titik pemeriksaan, status rantai yang terkait dengan kerentanan, bersama dengan semua transaksi yang tidak relevan selama periode tersebut, dihapus dari rantai resmi. Pengumuman pemulihan tidak menyertakan daftar transaksi, statistik node validator, ambang bobot suara, dan daftar node yang berpartisipasi. Cronos berjanji akan menerbitkan laporan tinjauan pasca kejadian, yang perlu menjelaskan secara lengkap proses penanganan dan ruang lingkup dampak teknis.

Bahkan skala aset yang dilindungi oleh intervensi ini belum ada kesimpulan. TRM Labs memperkirakan, setelah harga token TONIC dimanipulasi, sekitar 75 juta USD aset dipinjam; di mana sekitar 6 juta USD mengalir ke Ethereum, dan sekitar 68,7 juta USD diselesaikan di rantai Cronos. Statistik dari Bitquery memberikan total aliran keluar yang lebih tinggi, sekitar 8,3 juta USD aset mengalir ke Ethereum, dengan total 10.961 blok dibatalkan.

Dua set statistik ini menghitung objek yang berbeda, dan data kerugian akhir resmi dari Tectonic masih menunggu publikasi. Namun satu hal sudah sangat jelas: rollback Cronos hanya dapat mengembalikan status yang masih ada di dalam rantai ini, sementara aset di rantai Ethereum sepenuhnya tidak berada dalam kendalinya.

Rencana penanganan aset Tectonic masih menyisakan masalah akun pengguna. Protokol tersebut menyatakan akan membuka fungsi penarikan dan pembayaran pinjaman terlebih dahulu, sambil menghentikan setoran dan pinjaman baru. Rencana ini memberikan jalur keluar dan de-leveraging bagi pengguna, tetapi apakah penyedia dana dapat menebus seluruhnya belum dikonfirmasi. Laporan pasca kejadian yang akan diterbitkan oleh Tectonic juga perlu menjelaskan prinsip kerentanan, total aliran keluar dana, skala utang buruk, aset yang telah dipulihkan, dan utang yang tersisa.

Kemajuan pemulihan berbagai infrastruktur tidak sejalan dengan pemulihan konsensus rantai. Cronos mengingatkan bahwa berbagai protokol, jembatan antar rantai, penjelajah blok, dan layanan RPC memerlukan waktu lebih lama untuk pulih. Halaman status Alchemy juga secara terpisah mencatat penghentian ini dan pemulihan selanjutnya. Jaringan rantai dapat diumumkan secara resmi dimulai kembali, tetapi berbagai layanan yang bergantung padanya mungkin belum siap.

Ontology: Penghentian Hanya untuk Memperoleh Waktu Penanganan, Tidak Membatalkan Transaksi

Tindakan penanganan Ontology terjadi sebelum konfirmasi adanya aktivitas jahat. Jaringan menyatakan bahwa tim pengembang inti menemukan potensi risiko keamanan dalam pemeriksaan rutin, segera menghentikan produksi blok, dan menyerahkannya kepada tim teknis dan node validator untuk melakukan pemeriksaan sistem.

Pengumuman pembaruan pada 1 September menyatakan bahwa pemeriksaan mengonfirmasi adanya serangan jahat, dan jaringan utama akan terus dihentikan untuk melakukan perbaikan kerentanan dan pemutakhiran jaringan; serangan tersebut tidak merugikan aset pengguna. Tujuan Ontology adalah untuk memulihkan operasi normal dalam waktu 24 jam, asalkan semua pemeriksaan keamanan, perbaikan kerentanan, pemutakhiran, dan pengujian berjalan lancar.

Penghentian Ontology mempertahankan semua status rantai yang telah dikonfirmasi, hanya menghentikan konfirmasi dan penyelesaian transaksi baru. Pengumuman tidak menentukan titik pemulihan, dan tidak mengungkapkan kumpulan transaksi yang perlu dibatalkan.

Informasi hak akses yang dipublikasikan tidak lengkap. Pengumuman menyebutkan bahwa tim pengembang inti, tim teknis, dan node validator jaringan terlibat dalam penanganan, tetapi tidak menyebutkan siapa yang memiliki keputusan akhir yang mengikat, dan tidak memberikan ambang batas pemicu dalam bentuk angka. Dokumen VBFT Ontology menggambarkan mekanisme konsensus biasa, termasuk konfirmasi blok oleh node, pengelolaan pembaruan kontrak, dan kumpulan node konsensus, tetapi dokumen tersebut hanya mencakup skenario operasi normal, dan aturan penghentian darurat yang digunakan pada 31 Agustus tidak dipublikasikan ke publik.

Meskipun tidak menyebabkan kerugian aset, penghentian tetap akan membawa biaya nyata. Ontology memberi tahu pengguna bahwa transaksi di rantai tidak dapat diproses, dan menyarankan untuk tidak melakukan operasi yang sensitif terhadap waktu; selanjutnya menyatakan bahwa pemulihan jaringan tergantung pada perbaikan kerentanan, pemutakhiran, dan pengujian. Pengguna tidak dapat menyesuaikan posisi, mentransfer penyelesaian di rantai, dan semua layanan eksternal yang terhubung ke rantai tersebut hanya dapat menunggu sinyal jaringan.

Standar penentuan pemulihan berorientasi pada keamanan, tetapi detail spesifik terbatas. Ontology menyatakan bahwa selama perbaikan, pemutakhiran, pengujian, dan verifikasi semua selesai, mereka berusaha untuk memulihkan layanan dalam waktu 24 jam, tetapi siapa yang menentukan apakah kondisi terpenuhi, dan berapa ambang pemicu, tidak diungkapkan kepada publik.

Hal ini membawa ketidakpastian di tingkat tata kelola: pengumuman menyebutkan pihak-pihak yang terlibat dalam pemeriksaan, tetapi subjek yang memiliki keputusan akhir untuk memulai kembali tidak jelas. Bagi pengguna, risiko saat ini berasal dari gangguan layanan, bukan kerugian aset yang pasti atau rollback rantai.

ICON: Mengapa Penghentian Blockchain Terlambat

Peristiwa ICON sepenuhnya menunjukkan proses peringatan, penanganan, dan pengalihan aset dari kendali rantai.

Menurut laporan tinjauan yayasan setelah kejadian, penyerang melakukan replay 1492 kali terhadap dua pesan penarikan yang valid antara pukul 02:01:02 dan 02:21:12 UTC 27 Agustus. Kesalahan presisi menyebabkan 1490 dari panggilan tersebut berhasil, memindahkan 119.866.000 ICX dan 531.600 bnUSD dari kolam aset yayasan.

Pada pukul 02:08, sistem pemantauan mengeluarkan peringatan, dan teknisi baru kemudian melakukan penyelidikan; kontrak yang terpengaruh dihentikan pada pukul 03:53. Bursa besar mulai menutup penarikan dan penyetoran ICX pada pukul 05:54, dan penghentian seluruh jaringan secara resmi berlaku pada pukul 06:18:54. ICON menyelesaikan pemulihan sekitar pukul 07:51 pada 28 Agustus, dengan interval sekitar 25 jam, sambil memperbaiki kerentanan dasar.

Laporan tinjauan menganggap akar masalah adalah proses respons kejadian, bukan kurangnya kemampuan deteksi. Peringatan dipicu dalam waktu 7 menit, tetapi jenis peringatan ini sering kali tercampur dengan kesalahan RPC yang tidak terkait, dan sistem tidak memberi tahu petugas jaga. Penyelidikan teknis baru dimulai sekitar pukul 03:40, dan tidak lama kemudian kontrak dihentikan.

Ketika jaringan secara resmi dihentikan, sebagian besar ICX yang terpengaruh telah dimasukkan ke dalam sistem kustodian bursa. Tindakan kontrol di sisi rantai ICON tidak dapat menghentikan bursa dari memindahkan atau mengonversi aset yang mereka pegang. Yayasan hanya dapat bergantung pada pembekuan aset bursa, pemberitahuan perlindungan, pengacara, dan lembaga penegak hukum untuk menangani masalah tersebut.

Batas kustodian secara langsung menentukan kepemilikan kerugian. ICON menyatakan bahwa semua aset yang terpengaruh adalah milik yayasan, dan simpanan, saldo, serta posisi pengguna biasa tidak tersentuh. Laporan menunjukkan bahwa 531.600 bnUSD dan 1,366 juta SODA telah sepenuhnya dipulihkan; dari 113.634 USDC yang dipinjam, 82.430 telah berhasil dipulihkan. Kerugian bersih yang terkonfirmasi sekitar 150,2 ETH, ditambah 31.204 USDC. Sebagian besar ICX yang terlibat hanya dibekukan atau dilacak di bursa, dan tidak benar-benar dipulihkan.

Struktur pengendalian ICON juga berbeda dari dua kasus lainnya. Laporan tinjauan menyatakan bahwa selama migrasi token, jaringan dikendalikan oleh yayasan; dokumen panduan migrasi menyebutkan bahwa konsensus beroperasi dalam mode pemeliharaan, hanya dengan 7 node inti. Oleh karena itu, penghentian kali ini bergantung pada struktur operasi khusus yang jelas dikendalikan oleh yayasan.

Kekuasaan darurat pada dasarnya juga merupakan kekuasaan di tingkat neraca aset dan liabilitas.

Setiap kali blockchain dihentikan, pada dasarnya adalah memindahkan risiko ke tempat yang berbeda.

* Cronos mengubah sejarah rantai resmi: dapat melindungi aset yang masih berada dalam kendali rantai, tetapi membatalkan semua aktivitas normal di rantai yang tidak terkait dengan kerentanan, dan tidak dapat berbuat apa-apa terhadap aset di Ethereum. * Ontology mengubah risiko menjadi biaya waktu dan kehilangan ketersediaan layanan, selama penyelidikan transaksi tidak dapat diselesaikan, tanpa konfirmasi kerugian aset di buku. * ICON menyelesaikan pemisahan kontrak dan jaringan setelah aset dipindahkan dari kendali rantai; kerugian yang terkonfirmasi ditanggung oleh yayasan, dan pemulihan ICX yang dibekukan bergantung pada bursa dan lembaga peradilan.

Hanya satu penilaian terdesentralisasi dapat menutupi hasil yang sangat berbeda ini. Standar penilaian yang lebih pragmatis adalah: Apakah aturan penanganan darurat dipublikasikan? Apa ambang batas untuk memicu penanganan? Apakah hanya menghentikan blok baru, atau mengubah status rantai yang telah dikonfirmasi? Ketika intervensi terjadi, aset yang keluar dari kendali rantai ini berada di tangan siapa? Siapa yang berjanji untuk menanggung sisa kerugian?

Cronos dan Tectonic masih menunggu laporan tinjauan lengkap. Ontology perlu mengungkapkan detail serangan dan aturan otorisasi darurat, dan selanjutnya harus mengonfirmasi apakah kondisi untuk pemutakhiran dan pemulihan telah terpenuhi. Yang benar-benar layak dibandingkan adalah batas risiko yang ditetapkan oleh setiap jaringan ------ sejarah, waktu, dan dana mana yang akan ditempatkan di bawah risiko.