SecondFi эксплойты: әмияндардан 16 млн ADA ұрланды — оқиғаның мәліметтері және Cardano экожүйесінің реакциясы
23 маусымда SecondFi командасы Cardano блокчейніндегі өз әмияндарынан сыни осалдықты анықтады. Оқиғаға жауап ретінде платформа дереу қауіпсіз қызмет көрсету режиміне ауыстырылып, шабуылдың ауқымы анықталғанға дейін интерфейс арқылы барлық операциялар тоқтатылды.
Келесі күні, 24 маусымда, зиянкестер 374 мекенжайдан шамамен 16 миллион ADA шығарып үлгергені белгілі болды. Менің бағалауым бойынша, оқиға кезіндегі ADA бағамына (шамамен $0,146) сүйенсек, шығын шамамен $2,4 миллионды құрады. Бұл қызметке деген сенімге ауыр соққы, бірақ бақытына қарай, бүкіл блокчейн үшін өлімге әкелмейді.
Төтенше шаралар барысында SecondFi командасы қалған 129 миллион ADA-ны қорғай алды. Бұл қаражат зардап шеккен пайдаланушылардың мүддесін сақтау үшін тәуелсіз білікті үшінші тарап кастодианына жедел жіберілді. Әзірлеушілер бұзылудың негізгі себебін анықтап, шабуылға ұшырамаған әмияндарға арналған түзетуді шығарды.
Шабуыл анатомиясы және жеке кілттерге төнетін қауіп
Тергеу деректері бойынша, қаражат шығарудың төрт оқиғасы тіркелді. Оның үшеуін зиянкестер жасаса, төртіншісін, шамасы, команданың өзі қорғалған активтерді ауыстыру үшін бастаған. Immunefi бас директоры Митчелл Амадордың атап өтуінше, осалдық жобаның бағдарламалық жасақтамасында жатыр, ол өзі жасайтын жеке кілттерді ашып көрсеткен. Мәселе Cardano блокчейнінің өзіне емес, кілттерді жасауға жауапты әмиян модуліне қатысты болды. Дәл осы себептен SecondFi пайдаланушыларға Cardano негізіндегі басқа әмияндарда сид-фразаны қалпына келтірмеуді қатты ұсынды — қауіп әлі де сақталып тұрды.
Экожүйе көшбасшыларының реакциясы
Cardano негізін қалаушы Чарльз Хоскинсон өзінің Input Output Global (IOG) компаниясын оқиғадан алыстатуға асықты. Ол SecondFi-дің IOG өнімі емес екенін, оларда үлес, бақылау немесе іскерлік қатынастар жоқ екенін атап өтті. «Біз бұл кодты жазған жоқпыз және оған қатысымыз жоқ», — деді Хоскинсон, жағдайды Apple-ден Microsoft өніміндегі мәселені шешуді сұраумен салыстырып.
Айта кету керек, SecondFi (бұрын Yoroi Wallet деп аталған) артында EMURGO тұр — Cardano блокчейнінің негізгі ойыншылары мен негізін қалаушылардың бірі. EMURGO өзін блокчейн технологиясын коммерциялық енгізуді ынталандыратын компания ретінде сипаттайды. Алайда, бұл оқиға көрсеткендей, негізін қалаушыларға жақындық та кодтың мінсіз қауіпсіздігіне кепілдік бермейді.
Менің талдауым: Бұл бұзылу — DeFi және өздігінен сақталатын әмияндарда код қауіпсіздігінің бірінші кезектегі маңыздылығын тағы бір еске салу. Кілттерді генерациялау деңгейіндегі осалдық — бұл бір емес, көптеген әмияндарға әсер етуі мүмкін баяу әрекет ететін бомба. Тұтастай алғанда Cardano экожүйесі зардап шекпесе де, SecondFi және жанама түрде EMURGO үшін беделдік залал айтарлықтай болуы мүмкін. Инвесторлар мен пайдаланушылар әмияндарды, әсіресе тәуелсіз сарапшылармен бірнеше рет код аудитінен өтпегендерді таңдауда аса сақ болуы керек.