Τι συνέβη;
Το DeFi πρωτόκολλο δανεισμού Term Finance έχασε, σύμφωνα με τους ιστότοπους Cointelegraph και The Block, εκτιμώμενα 8,5 εκατομμύρια δολάρια σε επίθεση κατά των λεγόμενων Meta Vaults του. Το DeFi (αποκεντρωμένη χρηματοδότηση) αναφέρεται σε χρηματοοικονομικές εφαρμογές που τρέχουν σε blockchain χωρίς κεντρικό μεσάζοντα. Το vault στο πλαίσιο αυτό είναι ένα smart contract στο οποίο οι χρήστες καταθέτουν κεφάλαια με αντάλλαγμα απόδοση.
Σύμφωνα με το Cointelegraph, η επίθεση άντλησε σχεδόν όλες τις καταθέσεις ether (ETH) από αυτά τα vaults. Το Term Finance στη συνέχεια έκλεισε μόνιμα τα Meta Vaults του.
Πώς έγινε η παράκαμψη των προστασιών;
Αυτό είναι ο πυρήνας της ιστορίας και ταυτόχρονα αυτό που δεν έχει ακόμη διευκρινιστεί πλήρως. Το The Block αναφέρει ότι οι προτάσεις (proposals) για τα vaults του Term Finance υπόκειντο σε καθυστέρηση επτά ημερών και οι πάροχοι ρευστότητας μπορούσαν να τις μπλοκάρουν με βέτο. Αυτοί οι μηχανισμοί ελέγχου προορίζονταν ακριβώς για να εντοπίζουν κακόβουλες παρεμβάσεις στη διαχείριση του πρωτοκόλλου προτού εκτελεστούν.
Ωστόσο, σύμφωνα με το The Block, αυτές οι δικλείδες ασφαλείας προφανώς δεν σταμάτησαν την επίθεση. Το πώς ακριβώς κατάφεραν να τις παρακάμψουν δεν προκύπτει ακόμη με σαφήνεια από τις διαθέσιμες πηγές. Το κατά πόσον επρόκειτο για σφάλμα στον κώδικα, για κατάληψη της διακυβέρνησης ή για συνδυασμό παραγόντων παραμένει προς το παρόν αβεβαίωτο.
Πόσα ακριβώς χάθηκαν;
Και τα δύο βασικά μέσα, Cointelegraph και The Block, χρησιμοποιούν τον αριθμό των περίπου 8,5 εκατομμυρίων δολαρίων και τον χαρακτηρίζουν ως εκτίμηση. Το Cointelegraph περιγράφει την απώλεια ως σχεδόν όλες τις καταθέσεις ETH των επηρεαζόμενων vaults. Το ακριβές τελικό ποσό και η οριστική επαλήθευσή του on-chain δεν το έχουμε ακόμη επιβεβαιωμένο από πρωτογενή πηγή του πρωτοκόλλου.
Ευρύτερο πλαίσιο: δεν ήταν το μόνο περιστατικό ασφαλείας
Η υπόθεση Term Finance εντάσσεται σε μια πιο πυκνή περίοδο από την άποψη της ασφάλειας της κρυπτο-υποδομής. Δεν πρόκειται όμως για συνδεδεμένα γεγονότα, αλλά μόνο για χρονική σύμπτωση, την οποία είναι σκόπιμο να διαχωρίσουμε:
| Περιστατικό | Τι αφορά | Πηγή |
|---|---|---|
| Term Finance | Exploit διακυβέρνησης vault, ~8,5 εκατ. USD | Cointelegraph, The Block |
| The Sandbox | Διακοπή bridging σε Base και BNB Chain μετά από exploit, επίπτωση κάτω από 0,01% του supply του SAND | CoinDesk |
| Coldcard (Coinkite) | Νέο firmware που απαιτεί φυσική εντροπία κατά τη δημιουργία seed μετά από ευπάθεια | CryptoSlate |
Σύμφωνα με το CoinDesk, το web3 gaming δίκτυο The Sandbox ανέστειλε το bridging στα δίκτυα Base και BNB Chain για να απομονώσει τα tokens, και προειδοποίησε τους χρήστες να μην κάνουν συναλλαγές με το token SAND σε Base και BNB. Το The Sandbox αναφέρει επίπτωση κάτω από 0,01% του supply.
Σύμφωνα με το CryptoSlate, ο κατασκευαστής του hardware wallet Coldcard, η εταιρεία Coinkite, κυκλοφόρησε στις 20 Αυγούστου νέο τυπικό firmware που κατά τη δημιουργία seed απαιτεί την προσθήκη φυσικής τυχαιότητας (τουλάχιστον 65 πατήματα πλήκτρων σε ακανόνιστα διαστήματα). Οι κάτοχοι που βασίζονται σε seed που δημιουργήθηκε με το επηρεαζόμενο firmware πρέπει, σύμφωνα με το CryptoSlate, να δημιουργήσουν νέο seed και να μεταφέρουν τα κεφάλαιά τους, εφόσον το wallet τους δεν πληροί την εξαίρεση για τη διαδικασία με ζάρια.
Αυτές οι τρεις περιπτώσεις δεν έχουν μεταξύ τους τεχνική συνάφεια. Τις συνδέει μόνο το ότι απεικονίζουν διαφορετικά επίπεδα κινδύνου: smart contracts και διακυβέρνηση (Term Finance), γέφυρες μεταξύ δικτύων (The Sandbox) και δημιουργία κλειδιών σε hardware (Coldcard).
Τι να παρακολουθείτε σε αυτό το είδος γεγονότων
Χωρίς συμβουλή για το τι να κάνετε με τα χρήματα, μόνο ως εργαλείο ανάγνωσης παρόμοιων καταστάσεων: στα exploits διακυβέρνησης είναι καθοριστικό το αν η ομάδα δημοσιεύσει post mortem με ακριβή περιγραφή του πώς παρακάμφθηκαν τα χρονικά κλειδώματα και το βέτο των παρόχων ρευστότητας, ποια είναι η οριστική ποσοτικοποιημένη απώλεια επαληθευμένη on-chain, και αν υπάρχει σχέδιο αποζημίωσης. Μέχρι αυτές οι πληροφορίες να επιβεβαιωθούν, πρόκειται ακόμη για εκτιμήσεις.
Το charliedesk θα κρατήσει αυτή την υπόθεση στη λίστα προς επαλήθευση και, σε περίπτωση επίσημου post mortem από το Term Finance, θα συγκρίνει τι επιβεβαιώθηκε σε σχέση με τη σημερινή κατάσταση.