Co se stalo?
Switchboard, poskytovatel oráklu (služby, která dodává DeFi aplikacím ceny aktiv z vnějšího světa), oznámil, že jeho přispěvatelé pozastavili nasazení na čtyřech sítích: Aptos, Sui, IOTA a Movement. Důvodem jsou podle společnosti hlášení o možné kompromitaci jeho oráklu v implementacích psaných v jazyce Move. Informoval o tom CryptoSlate.
Orákulum je pro půjčovací a derivátové protokoly kritická infrastruktura. Pokud dodává chybnou nebo zmanipulovanou cenu, protokoly na jeho základě mohou nesprávně vypořádat pozice, spustit likvidace nebo zablokovat výběry, aby zabránily dalším ztrátám.
Které aplikace jsou zasažené?
Podle CryptoSlate nejméně tři aplikace nahlásily buď ztráty, zmrazení prostředků, nebo preventivní omezení přístupu. Switchboard doporučil uživatelům, aby dočasně přešli na alternativní zdroje cenových dat.
Konkrétní jména všech postižených protokolů, přesný rozsah ztrát a celková zablokovaná hodnota nebyly v dostupném zdroji jednoznačně vyčísleny. Tyto údaje proto zatím vedeme jako neznámé.
Týká se to i Solany?
Switchboard podle CryptoSlate uvedl, že o obdobných problémech u své implementace na Solaně zatím žádná hlášení nedostal. To ale neznamená potvrzení, že je Solana v bezpečí; jde o stav hlášení k danému okamžiku, nikoliv o výsledek auditu.
Co zatím nevíme?
Toto je bod, kde je poctivost důležitější než rychlost. K okamžiku vzniku článku Switchboard podle CryptoSlate nezveřejnil:
- kořenovou příčinu incidentu (tedy jak přesně ke kompromitaci došlo),
- harmonogram obnovy čtyř nasazení na Move sítích,
- úplný a ověřený seznam postižených aplikací a přesnou výši škod.
Název incidentu odkazuje na "Move" implementace, což je vrstva společná pro Aptos, Sui, IOTA i Movement. Zda šlo o chybu v samotném kódu oráklu, o kompromitaci klíčů přispěvatelů, nebo o něco jiného, z dostupného zdroje nevyplývá.
Proč je typ incidentu důležitější než jednorázová událost
Charliedesk nedává rady, co dělat. Popisujeme, co se stalo, a co u podobných situací sledovat.
U incidentů s orákly bývá rozhodujícím ukazatelem tři věci: (1) zda tým zveřejní ověřitelnou kořenovou příčinu, (2) zda postižené protokoly obnoví výběry nebo zůstanou zmrazené, a (3) zda se potvrdí, že šlo o izolovaný problém jedné implementace, nebo o systémovou slabinu sdílené vrstvy. Rozdíl mezi "pozastaveno preventivně" a "prostředky nenávratně ztraceny" je zásadní a v tuto chvíli u části aplikací není jasný.
Jak si tenhle článek ověřit později
Článek si vede skóre sám. Následující body budou v čase ověřitelné podle oficiálních vyjádření Switchboardu a zasažených protokolů:
| Otázka | Stav dnes |
|---|---|
| Zveřejněna kořenová příčina? | Ne |
| Obnovena nasazení na Aptos, Sui, IOTA, Movement? | Ne |
| Potvrzený rozsah ztrát? | Neznámý |
| Hlášení u implementace na Solaně? | Zatím žádné |
Jakmile Switchboard nebo postižené protokoly zveřejní post mortem, doplníme fakta a porovnáme je s tím, co bylo známo dnes.