Tatlong blockchain network ang huminto sa operasyon sa gitna ng mga insidente sa seguridad

Isinulat ni Liam 'Akiba' Wright

Isinalin: Saoirse, Foresight News

Sa loob ng apat na araw, tatlong blockchain network ay sumailalim sa paghinto sa pagbuo ng block. Bawat paghinto sa network ay gumamit ng iba’t ibang emergency permissions, at ang tanging Cronos ang nagbago sa bahagi ng opisyal na kasaysayan ng chain.

Ipinahayag ng Cronos na matapos ang pag-atake sa pagsasamantala sa Tectonic Protocol, ang mga validation node ay nag-activate ng consensus mechanism upang isara ang network, ibalik ang chain sa estado bago ang pag-atake, at muling magsimula ng block production sa block height 90,896,189. Ang aksyong ito ay hindi lamang tumigil sa block production kundi direktang isinulat ang chain state. Lahat ng transaksyon at pagbabago sa state na ginawa pagkatapos ng recovery point ay hindi na bahagi ng respetadong main chain matapos ang muling pag-start.

Ang Ontology at ICON ay gumamit ng iba pang emergency measures. Bago ma-verify ang malikhaing pag-atake, sinara ng Ontology ang paggawa ng blocks; sa kanilang update noong Setyembre 1, sinabi nila na hindi naging sanhi ang malikhaing gawain sa pagkawala ng mga asset ng mga user. Ang ICON ay unang sinara ang nasaktan na contract bago isara ang buong network; ayon sa foundation, habang nasa proseso ng migration ang network, sila ang may kontrol, at noong panahong iyon, ang karamihan sa mga nakuha na ICX ay nai-transfer na sa mga托管 account ng exchange.

Ang pagpaputol ng blockchain ay isang unang antas ng kontrol lamang. Ang mas malalim na tanong ay: Sino ang may awtoridad na mag-utos na pagsara ang network? Kaya ba nilang baguhin ang napatunayang estado ng chain? Anong mga pagkawala ang hindi na mababawi kapag ang mga pondo ay lumilipat sa ibang chain o pumasok sa sentralisadong托管机构?

Nakareset na ang mga pahintulot para sa paglalabas ng impormasyon tungkol sa emergency response sa network-triggered event; kilala ang panganib ng pagkawala sa pagsabog ng Tectonic vulnerability. Pinatigil ang network at na-restore sa chain state bago ang vulnerability; ang anumang on-chain activity pagkatapos ng checkpoint ng vote threshold at walang pagsasalaysay ng announcement ay ipinagbawal. Ang mga pondo na ipinadala sa Ethereum ay nasa labas ng kontrol ng Cronos. Ang huling pagtataya ng pagkawala sa Tectonic protocol ay hindi pa tapos. Sa Ontology, ang pang-araw-araw na inspeksyon ay nakakita ng potensyal na panganib, at matapos ang pagkumpirma, may nakitang masamang gawain—pinatigil ang block production nang paunang pag-iingat, walang rollback. Kasali ang core development team, technical team, at validator nodes; hindi inilabas ang emergency trigger threshold. Sa panahon ng pag-ayos at network upgrade, hindi makapag-trade. Walang nasira na user assets. May replay vulnerability sa ICON migration contract—pinatigil muna ang contract, pagkatapos ay pinatigil ang buong network. Sa panahon ng migration, nasa ilalim ng kontrol ng foundation, at binawasan ang bilang ng core validator nodes; ang pagkawala ay tanggapan ng foundation. Ang pagkakauwi ng ICX na nasa exchange ay nakadepende sa custodian, legal process, at law enforcement agencies.

Pagkukumpara ng mga paraan ng pagtugon sa emergency para sa mga public chains na Cronos, Ontology, at ICON

Tinawag ng Cronos ang pangyayaring ito bilang "Emergency Validator Consensus Action." Ang anunsyo para sa pagmumula muli noong Agosto 31 ay nagpapakita na noong 23:49:01 UTC noong Agosto 30, ang network ay nagbalik sa paggawa ng bloke mula sa block height na 90,896,189, at ang chain state ay bumalik sa estado bago maganap ang pag-atake sa vulnerability ng Tectonic.

Ang pagpapahinto sa Cronos ay nangangahulugan ng pagpili kung sino ang makakatanggap ng benepisyo mula sa recovery point. Pagkatapos ng checkpoint, ang chain-on state na may kaugnayan sa vulnerability, kasama ang lahat ng hindi kaugnay na transaksyon sa panahong iyon, ay tinanggal mula sa opisyal na chain. Ang pahayag ng pagpapagana muli ay walang kasamang listahan ng transaksyon, istatistika ng validator nodes, threshold ng voting weight, at listahan ng mga nakikilahok na node. Sinasakop ng Cronos na ipapalabas ang post-mortem report upang maipaliwanang nang buo ang proseso ng pagharap at sakop ng teknikal na epekto.

Hindi pa rin nakakatukoy ang sukat ng mga asset na ipinagtanggol ng pag-intervensyon na ito. Ipinagpalagay ng TRM Labs na humigit-kumulang sa $75 milyon ang mga asset na ibinigay pagkatapos ma-manipula ang presyo ng TONIC token; kung saan humigit-kumulang sa $6 milyon ang napunta sa Ethereum, at humigit-kumulang sa $68.7 milyon ang ginawa ang rollback sa loob ng Cronos chain. Samantala, ibinigay ng Bitquery na mas mataas na kabuuang dami ng paglabas: humigit-kumulang sa $8.3 milyon ang napunta sa Ethereum, at kabuuang 10,961 na blocks ang inalis.

Ang dalawang paraan ng pagtataya ay nagtataya sa iba’t ibang objekto, at ang opisyal na data tungkol sa huling pagkawala ng Tectonic ay kailangan pa ng pagsasahayag. Ngunit isang bagay ay malinaw na: ang pagbabalik ng Cronos ay kaya lang mag-recover ng mga estado na nananatili pa sa loob ng sariling chain; ang mga asset sa Ethereum chain ay ganap na nasa labas ng kanilang kontrol.

Ang plano ng pag-aalis ng ari-arian ng Tectonic ay nananatiling may mga isyu sa akunting mga user. Ang protocol ay nagpapahayag na magiging prioridad ang pagbukas ng withdrawal at pagbabayad ng loan, habang isasara ang deposito at bagong pagpapautang. Ang plano ay nag-aalok ng paraan para sa paglabas at pagbawas ng leverage para sa mga user, ngunit hindi pa matiyak kung ang mga tagapagbigay ng pondo ay makakakuha ng buong refund. Ang susunod na post-mortem report ng Tectonic ay kailangang linawin ang mga detalye ng pagsabog, kabuuang outflow ng pondo, laki ng bad debt, narecover na ari-arian, at natitirang utang.

Ang pagbabalik ng iba’t ibang imprastruktura ay hindi sin同步 sa pagpapalit muli ng consensus ng chain. Binabalaan ng Cronos na ang iba’t ibang protokolo, cross-chain bridges, block explorers, at RPC services ay nangangailangan ng higit pang oras para mabawi. Ang state page ng Alchemy ay naglalayong mag-record nang hiwalay sa pagkakasira at ang susunod na pagbabalik. Maaari nang ipahayag na muling nagsimula ang network ng chain, ngunit ang iba’t ibang serbisyo na nakadepende dito ay hindi pa siguradong handa.

Ang pagkilos sa pagpapalit ng Ontology ay naganap bago ang pagkakakilanlan ng masasamang gawain. Ang network ay nag-ayos na ang pangunahing koponan sa pag-unlad ay nakakita ng potensyal na panganib sa seguridad sa kanilang araw-araw na pagsusuri, at agad na sinuspensyon ang paggawa ng block, at isinampa sa teknikal na koponan at mga verification node para sa pagsusuri ng sistema.

Sa update noong Setyembre 1, ang pagsusuri ay nagpatunay ng isang malupit na pag-atake; ang mainnet ay magpapatuloy sa pagpapahinga habang isinasagawa ang pagpapabuti ng mga butas at pag-upgrade ng network; hindi nasira ang mga ari-arian ng mga user dahil sa pag-atake. Ang layunin ng Ontology ay muling i-normal ang operasyon sa loob ng 24 oras, kondisyon na matapos nang maayos ang seguridad, pagpapabuti ng mga butas, pag-upgrade, at pagsubok.

Ang pag-iistol ng Ontology ay nagpapanatili ng lahat ng napatunayang on-chain state, at nag-iisip lamang ng pagkakatupad ng mga bagong transaksyon. Walang nakasaad na punto ng pagbabalik at walang ipinahayag na set ng transaksyon na kailangang i-declare na walang bisa.

Hindi kompletong ipinapahayag ang impormasyon sa mga pagsasagawa. Binanggit ng pahayag na kasali ang pangunahing team ng pag-unlad, teknikal na team, at mga node ng pag-verify ng network sa pagpapagawa, ngunit hindi binigyang-paliwanag kung sino ang may huling mapagkakatiwalaang desisyon, at wala ring ibinigay na numerikal na threshold para sa emergency response. Ang VBFT dokumento ng Ontology ay naglalarawan ng karaniwang consensus mechanism, kabilang ang pagbuo ng mga block at pagpapamahala sa koleksyon ng consensus nodes para sa mga update sa contract, ngunit ang dokumento ay nakapokus lamang sa normal na operasyon—hindi ipinapahayag ang mga patakaran para sa emergency pause na ginamit noong Agosto 31.

Kahit walang pagkawala ng ari-arian, ang paghinto ay nagdudulot ng tunay na gastos. Nilalaman ng Ontology ang mga user na ang mga transaksyon sa chain ay hindi makakapagproseso, at inirerekomenda na huwag gawin ang mga operasyon na may panahon; sumunod na ipinahayag na ang pagpapalit ng network ay nakadepende sa pag-aayos ng vulnerabilities, pag-upgrade, at pagsubok. Hindi kayang baguhin ng mga user ang kanilang posisyon o gawin ang paglipat at pag-setle sa chain, at lahat ng panlabas na serbisyo na konektado sa chain ay kailangang maghintay lamang sa signal ng network.

Ang mga pamantayan para sa pagpapalit ng operasyon ay nakatuon sa kaligtasan, ngunit ang mga detalye ay limitado. Sinabi ng Ontology na maglalabas sila ng serbisyo sa loob ng 24 na oras kung ang pagpapabuti, pag-upgrade, pagsubok, at pag-verify ay natapos na, ngunit hindi inilabas ang kung sino ang magtataya kung natupad ang mga kondisyon o ano ang threshold para sa pag-trigger.

Nagdudulot ito ng kawalan ng katiyakan sa antas ng pamamahala: ang pahayag ay naglalista ng lahat ng mga partido na nakikilahok sa pagsusuri, ngunit hindi malinaw kung sino ang may huling kapangyarihan na muling iaktibo ang serbisyo. Para sa mga user, ang kasalukuyang panganib ay ang paghinto ng serbisyo, hindi ang tiyak na pagkawala ng ari-arian o pagbabalik sa blockchain.

Ang pangyayari ng ICON ay nagpakita nang buo ng proseso ng alerta, pagtugon, at pag-alis ng mga asset mula sa pamamahala ng chain.

Batay sa post-mortem report ng foundation, ang attacker ay nag-replay ng 1,492 beses ng dalawang historical valid signature withdrawal messages sa pagitan ng 02:01:02 at 02:21:12 UTC sa Agosto 27. Dahil sa precision defect, naging successful ang 1,490 sa mga pagtawag, at isinapindot ang 119,866,000 ICX at 531,600 bnUSD mula sa foundation asset pool.

02:08, nagpalabas ang sistema ng pagmamasid ng alerta, at ang mga teknikal na empleyado ay nagsimula ng imbestigasyon pagkatapos; ang nasabing kontrato ay ipinahinto sa 03:53. Ang mga exchange ay nagsimulang isara ang pag-deposito at pag-withdraw ng ICX sa 05:54, at ang buong network ay ipinahinto sa 06:18:54. Naitatag muli ang ICON sa 07:51 noong Agosto 28, na may tagal na halos 25 oras, kasabay ng pagpapabuti sa ilalim na vulnerability.

Ang pagsusuri ng insidente ay nagtataglay na ang ugat ng problema ay ang proseso ng pagtugon sa insidente, hindi ang kakulangan sa kakayahan sa pagdetekta. Ang alerto ay na-trigger sa loob ng 7 minuto, ngunit madalas itong maging kalituhan sa mga di kaugnay na RPC anomaly, at ang sistema ay hindi nag-notify sa on-duty personnel. Ang teknikal na pag-aaral ay nagsimula lamang sa paligid ng 03:40, at agad pagkatapos ay pinigilan ang contract.

Sa oras na matutupad ang pagsasara ng chain, ang karamihan sa mga apektadong ICX ay naka-iskedyul na sa sariling sistema ng pagtatagpo ng mga exchange. Ang mga kontrol na available sa side ng ICON chain ay hindi makakatigil sa paglipat o pagpapalit ng mga aset na nasa kamay ng mga exchange. Ang foundation ay nakadepende lamang sa pagkakabukod, pagpapahayag ng pagpapanatili, abogado, at mga ahensya ng batas upang masolusyunan ang sitwasyon.

Ang direktang pagkakasalig ng mga hangganan ng pagtatago ang nagdedesyde kung sino ang may-ari ng pagkawala. Ang ICON ay nagpapakita na ang lahat ng apektadong ari-arian ay nasa ilalim ng foundation, at ang mga deposito, balanse, at posisyon ng karaniwang user ay hindi naaapektuhan. Ipinakita ng ulat na ang 531,600 na bnUSD at 1.366 milyong SODA ay narecover nang buo; sa 113,634 na USDC na inilabas, 82,430 ay narecover na. Ang kumpirmadong net loss ay humigit-kumulang 150.2 ETH, kasama ang 31,204 na USDC. Ang karamihan sa mga ICX na apektado ay nakapag-isa lamang sa exchange o tinatayuan, at hindi talaga narecover.

Ang pamamahala架构 ng ICON ay iba rin sa dalawang iba pang kaso. Ang pagsusuri ng ulat ay nagpapakita na ang network ay kontrolado ng foundation habang ang paglipat ng token; ang mga gabay sa paglipat ay nagmumungkahi na ang consensus ay nasa maintenance mode, na mayroon lamang 7 core nodes. Kaya ang paghinto na ito ay batay sa isang malinaw na espesyal na operasyonal na架构 na kontrolado ng foundation.

Bawat pagkakaputol ng blockchain ay nagpapalipat ng panganib sa iba’t ibang lugar.

• Ang Cronos ay nagbabago sa kasaysayan ng pormal na chain: maaaring protektahan ang mga ari-arian na nananatili sa ilalim ng hawak ng chain, ngunit isasara rin ang mga normal na aktibidad sa chain na nasa labas ng butas; walang kakayahan sa mga ari-arian sa Ethereum.
• Ang Ontology ay nagpapalit ng panganib sa pagkawala ng oras at pagkawala ng availability ng serbisyo; habang ang imbestigasyon, hindi makakapag-settle ang mga transaksyon at walang pag-verify ng pagbaba sa halaga ng mga ari-arian.
• Natapos ng ICON ang paghihiwalay ng kontrata at network pagkatapos nang lumabas ang mga asset mula sa sakop ng chain custody; kinikilala ng foundation ang pagkawala, at ang pagbabalik ng nakafreeze na ICX ay nakasalalay sa exchange at mga ahensya ng katarungan.

Ang isang simpleng decentralized rating ay magkakaroon ng pagkakakita sa mga magkakaibang resultang ito. Ang mas praktikal na pamantayan ay: Ang emergency rules ay publiko ba? Ano ang threshold para sa pag-trigger ng处置? Tanging paghinto sa mga bagong block, o pagbabago sa naka-verify na chain state? Sino ang may kontrol sa mga asset na lumabas sa jurisdiction ng chain kapag nangyari ang intervention? Sino ang nagsasagot para sa mga natitirang pagkawala?

Kailangan pa ng Cronos at Tectonic ang paglalabas ng kompletong ulat ng pagsusuri. Kailangan ng Ontology ang pagpapakita ng detalye ng pag-atake at mga patakaran para sa emergency authorization, at kailangan pang matiyak kung natutugunan ang mga kondisyon para sa pag-upgrade at pag-restart. Ang totoo namang dapat i-compare ay ang bawat network na tukoy na hangganan ng panganib — anong kasaysayan, oras, at pera ang ipinapahintulot na maging panganib.