Što se dogodilo?
DeFi lending protokol Term Finance izgubio je prema portalima Cointelegraph i The Block procijenjenih 8,5 milijuna dolara u napadu na svoje takozvane Meta Vaults. DeFi (decentralizirane financije) označava financijske aplikacije koje se izvode na blockchainu bez središnjeg posrednika. Vault je u ovom kontekstu smart ugovor u koji korisnici ulažu sredstva u zamjenu za prinos.
Prema Cointelegraphu napad je iscrpio gotovo sve ethereum (ETH) uloge iz tih vaultova. Term Finance je nakon toga svoje Meta Vaults trajno zatvorio.
Kako je došlo do zaobilaženja zaštita?
Ovo je srž priče, a ujedno i ono što zasad nije potpuno razjašnjeno. The Block navodi da su prijedlozi (proposals) za vaultove Term Financea podlijegali sedmodnevnom kašnjenju te su ih pružatelji likvidnosti mogli vetirati. Ti su kontrolni mehanizmi trebali služiti upravo tome da se zlonamjeran zahvat u upravljanje protokolom uhvati prije nego što se provede.
No prema The Blocku ti osigurači očito nisu zaustavili napad. Kako su se konkretno uspjeli zaobići, iz dostupnih izvora zasad jednoznačno ne proizlazi. To je li bila riječ o pogrešci u kodu, o preuzimanju governancea ili o kombinaciji faktora, u ovom trenutku ostaje nepotvrđeno.
Koliko je točno izgubljeno?
Oba ključna medija, i Cointelegraph i The Block, operiraju s brojkom od približno 8,5 milijuna dolara i označavaju je kao procjenu. Cointelegraph opisuje gubitak kao gotovo sve ETH uloge zahvaćenih vaultova. Točan konačan iznos i njegovu definitivnu on-chain provjeru zasad nemamo potvrđene iz primarnog izvora protokola.
Širi kontekst: nije bio jedini sigurnosni incident
Slučaj Term Finance uklapa se u prometnije razdoblje iz perspektive sigurnosti kriptoinfrastrukture. Ne radi se, međutim, o povezanim događajima, nego samo o vremenskoj podudarnosti koju je uputno razdvojiti:
| Incident | Čega se tiče | Izvor |
|---|---|---|
| Term Finance | Exploit vault governancea, ~8,5 mil. USD | Cointelegraph, The Block |
| The Sandbox | Zaustavljanje bridginga na Base i BNB Chain nakon exploita, utjecaj ispod 0,01 % supplyja SAND | CoinDesk |
| Coldcard (Coinkite) | Novi firmware koji zahtijeva fizičku entropiju pri generiranju seeda nakon ranjivosti | CryptoSlate |
Prema CoinDesku web3 gaming mreža The Sandbox pauzirala je bridging na mrežama Base i BNB Chain kako bi izolirala tokene, te je upozorila korisnike da tokenom SAND na Baseu i BNB-u ne trguju. The Sandbox navodi utjecaj ispod 0,01 % supplyja.
Prema CryptoSlateu proizvođač hardverskog novčanika Coldcard, tvrtka Coinkite, izdao je 20. kolovoza novi standardni firmware koji pri generiranju seeda zahtijeva dodavanje fizičke nasumičnosti (najmanje 65 pritisaka tipki u nepravilnim intervalima). Vlasnici koji se oslanjaju na seed stvoren zahvaćenim firmwareom moraju prema CryptoSlateu generirati novi seed i premjestiti sredstva, ako njihov novčanik ne ispunjava iznimku za postupak s kockicom.
Slučaja ova tri međusobno nemaju tehničku povezanost. Povezuje ih samo to što ilustriraju različite slojeve rizika: smart ugovori i governance (Term Finance), mostovi između mreža (The Sandbox) i generiranje ključeva na hardveru (Coldcard).
Što pratiti kod ovakvog tipa događaja
Bez savjeta što raditi s novcem, samo kao alat za čitanje sličnih situacija: kod exploita governancea ključno je hoće li tim objaviti post mortem s točnim opisom kako su zaobiđeni vremenski zamci i veto pružatelja likvidnosti, kolik je definitivno iskazan gubitak provjeren on-chain, te postoji li plan kompenzacije. Dok te informacije nisu potvrđene, i dalje je riječ o procjenama.
charliedesk će ovaj slučaj držati na popisu za provjeru te će u slučaju službenog post mortema od Term Financea usporediti što se potvrdilo u odnosu na današnje stanje.