Post-mortem rahasia telah dirilis. Kisah sebenarnya: orang-orang yang memodifikasi jembatan itu tidak memahami cara otentikasi miliknya sendiri. Tidak pernah ada auditor eksternal yang diminta untuk memeriksanya. Dan selama tiga tahun, tidak ada penyerang pun yang memahaminya. Jembatan itu bertahan hingga (tebakan saya) AI akhirnya membaca kontrak dan melihat apa yang semua manusia lewatkan. Kesalahan itu hampir terlihat bodoh jika dilihat kembali. Kontrak awalnya berfungsi sebagai jembatan escrow, seperti tempat penitipan mantel: ia hanya mengembalikan mantel yang sebelumnya disetorkan, sehingga pertanyaan "apakah setoran ini nyata?" dijawab secara gratis oleh logika tiket. Kemudian kontrak tersebut di-fork untuk mencetak token Axelar. Token yang dicetak tidak pernah disetorkan, sehingga logika tiket tidak lagi sesuai dan dihapus. Siapa pun yang melakukannya tidak menyadari bahwa fungsi-fungsi persis itu adalah satu-satunya hal yang memverifikasi dari rantai mana setoran berasal. Daftar Izin yang menggantikannya hanya memeriksa token mana yang bisa dicetak, bukan sumbernya. Jadi pintunya terbuka sejak Januari 2023. Kemudian seseorang menjalankan rantai palsu, menamai aset nyata seperti USDT, dan mencetak $4,67 juta dari ketiadaan. Pelajaran yang bisa diambil bukanlah tentang Secret. Selama tiga tahun, menemukan kesalahan ini membutuhkan manusia yang bersedia membaca seluruh kontrak, dan tidak ada yang melakukannya. Hambatan itu telah hilang. Sebuah AI membacanya seluruhnya, dengan cermat, dengan biaya sen. Jadi jika kontrak Anda bersifat publik dan belum melalui audit AI, asumsikan AI penyerang sudah membacanya. Audit milik Anda terlebih dahulu.