Cardano желісіндегі SecondFi-дің сыни осалдығы: нақты шығындар $20 миллионнан асуы мүмкін
Cardano экожүйесі ауыр қауіпсіздік оқиғасына тап болды. SecondFi жобасы, қайта аталған Yoroi әмияны, әмияндарды генерациялауға арналған меншікті бағдарламалық қамтамасыз етуде осалдық анықталғанын мойындады. Команданың алдын ала мәліметтері бойынша, тікелей шығын шамамен 16 млн ADA (шамамен $2,4 млн) құрайды, алайда менің тәуелсіз талдауым және қауіпсіздік сарапшыларының деректері нақты шығындар айтарлықтай жоғары болуы мүмкін екенін көрсетеді — $20 млн-нан астам.
Зерттеу көрсеткендей, олқылық жеке кілттердің болжамды генерациясында болды. SecondFi-дің ішкі бағдарламалық қамтамасыз етуі жеткіліксіз энтропиямен кілттер жасаған, бұл шабуылдаушыға оларды есептеуге және пайдаланушылардың қаражатына қол жеткізуге мүмкіндік берді. Бастапқыда 178 әмиянның бұзылғаны хабарланды, бірақ бұл айсбергтің ұшы ғана.
Бағалаудағы сәйкессіздік: неге $20 млн — бұл консервативті болжам
SlowMist негізін қалаушыны қоса алғанда, блокчейн қауіпсіздігі бойынша жетекші мамандар өз тергеуін жүргізді. Қаражат қозғалысын және күдікті мекенжайлардың белсенділігін талдау қауіп төніп тұрған активтер сомасы 129 млн ADA және басқа токендерге дейін жетуі мүмкін екенін көрсетеді. Бұл жобаның өз бағасынан сегіз есе көп.
Мұндай сәйкессіздік бұзылған әмияндардың бір бөлігі әлі босатылмағандығымен түсіндіріледі. Шабуылдаушы, мүмкін, таңдамалы әрекет етеді немесе құрбандардың шоттарын толтыруын күтеді. Бұл қауіп сақталатынын және SecondFi арқылы әмиян жасаған әрбір пайдаланушы тәуекел аймағында екенін білдіреді.
Қауіп ауқымы және пайдаланушыларға не істеу керек
SecondFi — бұл анонимді DeFi жобасы емес, Cardano негізін қалаушы үш компанияның бірі EMURGO әзірлеген Yoroi-дің ребрендингтелген өнімі. Оны миллионнан астам ADA ұстаушысы пайдаланды. Экожүйеге репутациялық соққы орасан зор. Жоба жұмысын тоқтатты, қызмет көрсету режиміне көшті және баланстардың суретін түсірді. Команда өз бағдарламалық қамтамасыз етуі арқылы әмиян жасағандардың барлығын активтерді басқа сервистердің әмияндарына дереу аударуға шақырады.
Шығынның нақты сомасы тәуелсіз техникалық аудит аяқталғаннан кейін жарияланады, бірақ қазірдің өзінде анық: бұл оқиға бүкіл индустрия үшін маңызды ескерту. Кілттерді генерациялау кодындағы осалдықтар — бұл өзін-өзі сақтау принципіне деген сенімді жоятын іргелі мәселе.
Менің сараптамалық пікірім: Бұл бұзушылық — жай техникалық ақау емес, қауіпсіздікке көзқарастағы жүйелік қате. Cardano және басқа блокчейндердің пайдаланушылары өз әдеттерін қайта қарауы керек: кілттерді генерациялауды ешқашан бір көзге сеніп тапсырмаңыз, әсіресе егер бұл ірі әзірлеушінің «жеңіл» әмияны болса. Әртараптандыру және аппараттық әмияндарды пайдалану қауіпсіздіктің алтын стандарты болып қала береді. Нарық бұл сабақты ұзақ уақыт есте сақтайды.