Penulis: Liam 'Akiba' Wright, Cryptoslate
Diterjemahkan oleh: Saoirse, Foresight News
Dalam empat hari, tiga jaringan blockchain berhenti memproduksi blok secara berturut-turut. Setiap gangguan jaringan menggunakan otoritas darurat yang sama sekali berbeda, dan hanya Cronos yang mengubah sebagian sejarah rantai resmi.
Cronos menyatakan bahwa setelah protokol Tectonic mengalami serangan kerentanan, node verifikasi menutup jaringan melalui mekanisme konsensus, mengembalikan rantai ke status sebelum serangan, dan memulai kembali pembuatan blok dari tingkat blok 90.896.189. Operasi ini tidak hanya menghentikan pembuatan blok, tetapi juga secara langsung menulis ulang status rantai. Semua transaksi dan perubahan status yang dihasilkan setelah titik pemulihan tidak lagi menjadi bagian dari rantai utama resmi setelah restart.
Ontology dan ICON menggunakan serangkaian langkah darurat lainnya. Ontology menghentikan produksi blok sebelum mengonfirmasi tindakan serangan jahat; dalam pembaruan tanggal 1 September, dinyatakan bahwa aktivitas jahat tersebut tidak menyebabkan kerugian aset pengguna. ICON terlebih dahulu menghentikan kontrak yang diserang, baru kemudian menutup seluruh jaringan; sementara itu, yayasan menyatakan bahwa selama fase migrasi, jaringan dikendalikan oleh mereka, dan sebagian besar ICX yang dicuri telah ditransfer ke akun penitipan bursa.
Blockchain downtime is merely a first-layer control measure. The deeper issue is: who has the authority to order a network shutdown? Can they rewrite confirmed chain states? When funds are transferred across chains or deposited into centralized custodians, what losses become irreversible?
Informasi otorisasi untuk tindakan darurat terkait insiden pemicu jaringan telah dipulihkan: risiko kerusakan akibat serangan kerentanan CronosTectonic menyebabkan penutupan jaringan dan pemulihan ke status rantai sebelum kerentanan terjadi; konsensus validator; pengumuman restart tidak mengungkapkan data penghitungan suara dan ambang batas pemungutan suara; semua aktivitas on-chain setelah checkpoint dibatalkan; dana yang ditransfer ke Ethereum berada di luar kendali Cronos; statistik kerugian akhir protokol Tectonic belum selesai; inspeksi harian Ontology mendeteksi risiko potensial, selanjutnya dikonfirmasi adanya aktivitas jahat—produksi blok dihentikan secara preventif, tanpa rollback; tim pengembang inti, tim teknis, dan node validator berpartisipasi; ambang batas pemicu penanganan darurat tidak diungkapkan; transaksi tidak dapat dieksekusi selama perbaikan dan pembaruan jaringan; tidak ditemukan aset pengguna yang dirugikan; kontrak migrasi ICON memiliki kerentanan replay—kontrak ditangguhkan terlebih dahulu, kemudian seluruh jaringan dimatikan; fase migrasi dikendalikan oleh yayasan, jumlah node validator inti dikurangi; kerugian ditanggung oleh yayasan; pemulihan ICX yang disimpan di bursa tergantung pada pihak penampung, proses hukum, dan lembaga penegak hukum.
Perbandingan cara penanganan darurat untuk blockchain Cronos, Ontology, dan ICON
Cronos: Dari downtime menuju penulisan ulang status rantai
Cronos menyebut penanganan insiden ini sebagai "Tindakan Darurat Konsensus Validator". Pengumuman restart pada 31 Agustus menunjukkan bahwa pada 30 Agustus pukul 23:49:01 UTC, jaringan memulai kembali pembuatan blok dari tingkat blok 90.896.189, dengan status rantai kembali ke sebelum serangan kerentanan Tectonic.
Operasi downtime Cronos berarti membuat keputusan distribusi manfaat terhadap titik pemulihan. Setelah checkpoint, status on-chain yang terkait dengan kerentanan, bersama dengan semua transaksi tidak relevan selama periode tersebut, dihapus dari rantai resmi. Pengumuman restart tidak dilengkapi dengan daftar transaksi, statistik node verifikasi, ambang batas bobot voting, serta daftar node yang berpartisipasi. Cronos berjanji akan merilis laporan pasca-insiden yang menjelaskan secara lengkap proses penanganan dan cakupan dampak teknis.
Bahkan ukuran aset yang sebenarnya dilindungi oleh intervensi ini masih belum pasti. TRM Labs memperkirakan, setelah harga token TONIC dimanipulasi, sekitar $75 juta aset dipinjamkan; sekitar $6 juta dialirkan ke Ethereum, dan sekitar $68,7 juta dipulihkan di dalam rantai Cronos. Statistik Bitquery memberikan total aliran keluar yang lebih tinggi, dengan sekitar $8,3 juta aset mengalir ke Ethereum dan total 10.961 blok dibuang.
Dua metode statistik menghitung objek yang berbeda, data kerugian akhir dari Tectonic masih belum diumumkan. Namun, satu hal sudah sangat jelas: rollback Cronos hanya dapat mengembalikan status yang masih tersisa di rantai ini, aset di rantai Ethereum sama sekali tidak berada di bawah kendalinya.
Skema penanganan aset Tectonic masih menyisakan masalah akun pengguna. Protokol tersebut menyatakan akan memprioritaskan pembukaan fungsi penarikan dan pembayaran kembali pinjaman, sambil menangguhkan setoran dan pinjaman baru. Skema ini memberikan jalur keluar dan pelonggaran leverage kepada pengguna, tetapi apakah pemasok dana dapat menebus seluruh dana mereka belum dikonfirmasi. Laporan pasca-insiden Tectonic yang akan dirilis masih perlu mengklarifikasi prinsip kerentanan, total keluar dana, skala piutang macet, aset yang telah direbut kembali, serta utang tersisa lainnya.
Progress in restoring various infrastructure components is not synchronized with the restart of chain consensus. Cronos reminds that protocols, cross-chain bridges, block explorers, and RPC services will require more time to recover. Alchemy's status page also separately documents this outage and subsequent recovery. While the chain network can be declared officially restarted, dependent services may not yet be ready.
Ontology: Pemadaman dilakukan hanya untuk mendapatkan waktu penanganan, bukan untuk membatalkan transaksi
Tindakan penanganan Ontology terjadi sebelum konfirmasi aktivitas jahat. Jaringan menyatakan bahwa tim pengembang inti menemukan potensi kerentanan keamanan selama pemeriksaan harian, segera menghentikan produksi blok, dan menyerahkan kepada tim teknis serta node verifikasi untuk melakukan tinjauan sistem.
Pengumuman pembaruan pada 1 September menyatakan bahwa tinjauan mengonfirmasi adanya serangan jahat, jaringan utama akan tetap tidak aktif untuk memperbaiki kerentanan dan melakukan pembaruan jaringan; serangan tersebut tidak merugikan aset pengguna. Ontology bertujuan untuk kembali normal dalam waktu 24 jam, dengan syarat deteksi keamanan, perbaikan kerentanan, pembaruan, dan pengujian semuanya selesai dengan sukses.
Ontology menghentikan operasi sambil mempertahankan seluruh status on-chain yang telah dikonfirmasi, hanya menghentikan konfirmasi dan penyelesaian transaksi baru. Pengumuman tidak menentukan titik pemulihan, juga tidak mengumumkan kumpulan transaksi yang perlu dibatalkan.
Informasi otoritas yang diungkapkan secara publik tidak lengkap. Pengumuman menyebutkan bahwa tim pengembang inti, tim teknis, dan node verifikasi jaringan terlibat dalam penanganan, tetapi tidak menjelaskan siapa yang memiliki keputusan akhir yang mengikat, maupun nilai ambang penanganan darurat dalam bentuk digital. Dokumen VBFT Ontology menggambarkan mekanisme konsensus biasa, termasuk node yang menghasilkan blok konfirmasi dan mengelola konsensus untuk pembaruan kontrak, tetapi dokumen tersebut hanya mencakup skenario operasional normal, dan aturan penangguhan darurat yang digunakan pada 31 Agustus tidak diumumkan secara publik.
Meskipun tidak menyebabkan kerugian aset, downtime tetap menimbulkan biaya nyata. Ontology memberi tahu pengguna bahwa transaksi di rantai tidak akan diproses, dan menyarankan untuk tidak melakukan operasi yang sensitif terhadap waktu; selanjutnya menyatakan bahwa restart jaringan bergantung pada perbaikan kerentanan, pembaruan, dan pengujian. Pengguna tidak dapat menyesuaikan posisi atau melakukan transfer penyelesaian di rantai, dan semua layanan eksternal yang terhubung ke rantai ini hanya dapat menunggu sinyal jaringan.
Kriteria penilaian untuk pemulihan operasi berorientasi pada keamanan, tetapi detail spesifiknya terbatas. Ontology menyatakan bahwa mereka berusaha memulihkan layanan dalam 24 jam setelah perbaikan, pembaruan, pengujian, dan verifikasi selesai, tetapi tidak mengungkapkan siapa yang menilai pencapaian kondisi tersebut atau berapa ambang batas pemicunya.
Ini menimbulkan ketidakpastian di tingkat tata kelola: pengumuman menyebutkan pihak-pihak yang terlibat dalam tinjauan, tetapi pihak yang memiliki wewenang akhir untuk memutuskan pemulihan layanan tidak dijelaskan secara jelas. Bagi pengguna, risiko saat ini berasal dari gangguan layanan, bukan kerugian aset yang pasti atau rollback rantai.
ICON: Mengapa downtime blockchain sudah terlambat
Acara ICON secara lengkap menunjukkan seluruh proses peringatan, penanganan, dan pelepasan aset dari kendali rantai.
Berdasarkan laporan pasca-insiden dari yayasan, penyerang melakukan replay terhadap dua pesan penarikan tanda tangan historis yang sah sebanyak 1.492 kali antara 02:01:02 hingga 02:21:12 UTC pada 27 Agustus. Kesalahan presisi menyebabkan 1.490 panggilan berhasil, mentransfer 119.866.000 ICX dan 531.600 bnUSD dari aset pool yayasan.
02:08 sistem pemantauan mengeluarkan peringatan, teknisi baru mulai menyelidiki setelahnya; kontrak yang terdampak dihentikan pada 03:53. Berbagai bursa mulai menutup penarikan dan setoran ICX pada 05:54, dan停机 seluruh jaringan secara resmi berlaku pada 06:18:54. ICON selesai dijalankan ulang sekitar 07:51 pada 28 Agustus, dengan jangka waktu sekitar 25 jam, sekaligus memperbaiki kerentanan dasar.
Laporan tinjauan menyimpulkan bahwa akar masalah terletak pada proses respons insiden, bukan karena kurangnya kemampuan deteksi. Peringatan terpicu dalam waktu 7 menit, tetapi peringatan semacam ini sering kali bingung dengan anomali RPC yang tidak terkait, dan sistem tidak memberi tahu petugas jaga. Penyelidikan teknis baru dimulai sekitar pukul 03:40, dan segera setelah itu kontrak dihentikan.
Pada saat jaringan secara resmi dihentikan, sebagian besar ICX yang terdampak telah dimasukkan ke dalam sistem penitipan oleh bursa. Langkah-langkah pengendalian di sisi jaringan ICON tidak dapat mencegah bursa memindahkan atau mengonversi aset yang mereka pegang. Yayasan hanya dapat mengandalkan pembekuan aset bursa, pemberitahuan pelestarian, pengacara, dan lembaga penegak hukum untuk menangani masalah ini.
Batas penyimpanan secara langsung menentukan siapa yang bertanggung jawab atas kerugian. ICON menyatakan bahwa seluruh aset yang terdampak merupakan milik yayasan, dan setoran, saldo, serta posisi pengguna biasa tidak tersentuh. Laporan menunjukkan bahwa 531.600 bnUSD dan 1,366 juta SODA telah sepenuhnya dipulihkan; dari 113.634 USDC yang dipinjamkan, 82.430 telah berhasil direcovery. Kerugian bersih yang dikonfirmasi sekitar 150,2 ETH, ditambah 31.204 USDC. Sebagian besar ICX yang terlibat hanya dibekukan atau dilacak di bursa, dan tidak benar-benar dipulihkan.
Struktur tata kelola ICON juga berbeda dari dua kasus lainnya. Laporan tinjauan menyatakan bahwa jaringan dikuasai oleh yayasan selama migrasi token; dokumen panduan migrasi menyebutkan bahwa konsensus berjalan dalam mode pemeliharaan, hanya dengan 7 node inti. Oleh karena itu, downtime kali ini didasarkan pada arsitektur operasional khusus yang secara jelas dikuasai oleh yayasan.
Hak akses darurat pada dasarnya juga merupakan wewenang di tingkat neraca.
Setiap gangguan blockchain pada dasarnya memindahkan risiko ke tempat lain.
- Cronos memodifikasi sejarah rantai resmi: dapat melindungi aset yang masih berada di bawah yurisdiksi rantai, tetapi juga membatalkan aktivitas rantai normal di luar kerentanan, tanpa daya atas aset di Ethereum.
- Ontology mengubah risiko menjadi biaya waktu dan kerugian ketersediaan layanan, selama penyelidikan transaksi tidak dapat diselesaikan, tidak ada konfirmasi kerugian buku aset.
- ICON baru menyelesaikan isolasi kontrak dan jaringan setelah aset telah keluar dari cakupan penitipan rantai; konfirmasi kerugian ditanggung oleh yayasan, dan pemulihan ICX yang dibekukan bergantung pada pertukaran dan otoritas yudisial.
Sebuah skor desentralisasi semata akan menyembunyikan hasil-hasil yang sangat berbeda ini. Kriteria penilaian yang lebih pragmatis adalah: apakah aturan penanganan darurat bersifat terbuka? Berapa ambang batas yang memicu penanganan? Apakah hanya menghentikan blok baru, atau mengubah status rantai yang sudah dikonfirmasi? Ketika intervensi terjadi, aset yang keluar dari yurisdiksi rantai ini dikendalikan oleh siapa? Siapa yang berjanji menanggung kerugian sisa?
Cronos dan Tectonic masih menunggu laporan tinjauan lengkap. Ontology perlu mengungkapkan detail serangan dan aturan otorisasi darurat, serta selanjutnya memastikan apakah kriteria penilaian untuk pembaruan dan restart telah terpenuhi. Yang benar-benar patut dibandingkan adalah batas risiko yang ditetapkan setiap jaringan—histori, waktu, dan dana mana yang akan diletakkan pada risiko.