Čo sa stalo?
DeFi lendingový protokol Term Finance prišiel podľa serverov Cointelegraph a The Block o odhadovaných 8,5 milióna dolárov pri útoku na jeho takzvané Meta Vaults. DeFi (decentralizované financie) označuje finančné aplikácie bežiace na blockchaine bez centrálneho sprostredkovateľa. Vault je v tomto kontexte smart kontrakt, do ktorého používatelia ukladajú prostriedky výmenou za výnos.
Podľa Cointelegraph útok odčerpal takmer všetky ethereové (ETH) vklady z týchto vaultov. Term Finance následne svoje Meta Vaults natrvalo uzavrela.
Ako k obídeniu ochrán došlo?
Toto je jadro príbehu a zároveň to, čo zatiaľ nie je plne objasnené. The Block uvádza, že návrhy (proposals) pre vaulty Term Finance podliehali sedemdňovému oneskoreniu a poskytovatelia likvidity ich mohli vetovať. Tieto kontrolné mechanizmy mali slúžiť presne na to, aby škodlivý zásah do správy protokolu zachytili skôr, než sa vykoná.
Podľa The Block ale tieto poistky útok zjavne nezastavili. Ako konkrétne sa ich podarilo obísť, z dostupných zdrojov zatiaľ jednoznačne nevyplýva. To, či išlo o chybu v kóde, o prevzatie governance, alebo o kombináciu faktorov, zostáva v tejto chvíli nepotvrdené.
Koľko presne bolo stratené?
Obe kľúčové médiá, Cointelegraph aj The Block, pracujú s číslom približne 8,5 milióna dolárov a označujú ho ako odhad. Cointelegraph popisuje stratu ako takmer všetky ETH vklady dotknutých vaultov. Presnú finálnu sumu a jej definitívne overenie on-chain zatiaľ nemáme potvrdené z primárneho zdroja protokolu.
Širší kontext: nebol to jediný bezpečnostný incident
Prípad Term Finance zapadá do rušnejšieho obdobia z pohľadu bezpečnosti kryptoinfraštruktúry. Nejde ale o súvisiace udalosti, len o časovú zhodu, ktorú je vhodné oddeliť:
| Incident | Čoho sa týka | Zdroj |
|---|---|---|
| Term Finance | Exploit vault governance, ~8,5 mil. USD | Cointelegraph, The Block |
| The Sandbox | Zastavenie bridgingu na Base a BNB Chain po exploite, dopad pod 0,01 % supply SAND | CoinDesk |
| Coldcard (Coinkite) | Nový firmware vyžadujúci fyzickú entropiu pri generovaní seedu po zraniteľnosti | CryptoSlate |
Podľa CoinDesk web3 herná sieť The Sandbox pozastavila bridging na sieťach Base a BNB Chain, aby izolovala tokeny, a varovala používateľov, aby s tokenom SAND na Base a BNB neobchodovali. The Sandbox uvádza dopad pod 0,01 % supply.
Podľa CryptoSlate výrobca hardvérovej peňaženky Coldcard, firma Coinkite, vydal 20. augusta nový štandardný firmware, ktorý pri generovaní seedu vyžaduje pridanie fyzickej náhodnosti (minimálne 65 stlačení klávesov v nepravidelných intervaloch). Majitelia, ktorí sa spoliehajú na seed vytvorený zasiahnutým firmwarom, musia podľa CryptoSlate vygenerovať nový seed a presunúť prostriedky, ak ich peňaženka nespĺňa výnimku pre kockový postup.
Tieto tri prípady spolu nemajú technickú súvislosť. Spája ich len to, že ilustrujú rôzne vrstvy rizika: chytré kontrakty a governance (Term Finance), mosty medzi sieťami (The Sandbox) a generovanie kľúčov na hardvéri (Coldcard).
Čo pri tomto type udalostí sledovať
Bez rady, čo robiť s peniazmi, len ako nástroj na čítanie podobných situácií: pri exploitoch governance je kľúčové, či tím zverejní post mortem s presným popisom, ako boli obídené časové zámky a veto poskytovateľov likvidity, aká je definitívna vyčíslená strata overená on-chain, a či existuje plán kompenzácie. Kým tieto informácie nie sú potvrdené, ide stále o odhady.
charliedesk bude tento prípad držať na zozname na overenie a v prípade oficiálneho post mortem od Term Finance porovná, čo sa potvrdilo oproti dnešnému stavu.