Penulis asal: Shenchao TechFlow
Minggu lepas, KelpDAO dirampas oleh perompak sebanyak hampir $300 juta, menjadikannya insiden keselamatan negatif terbesar dalam DeFi tahun ini sehingga kini.
ETH yang dicuri kini tersebar di beberapa rantai, dengan sekitar 30.765 tetap berada di alamat di rantai Arbitrum, bernilai lebih dari US$70 juta.
Cerita ini sepatutnya dianggap sudah selesai, tetapi hari ini muncul sambungannya.
Berdasarkan pemantauan oleh agensi keselamatan rantai PeckShield, dana daripada alamat perompak di rantai Arbitrum telah dipindahkan beberapa jam yang lalu, tetapi secara anehnya, dana tersebut dipindahkan ke alamat aneh 0x00000... yang hampir semuanya sifar.
Semua orang ketika itu menebak, adakah peretas sendiri membakar semua wangnya di alamat black hole, atau mendadak berasa bersalah atau ditawarkan pengampunan?
Bukan sama sekali.
Beberapa jam yang lalu, forum rasmi Arbitrum memuatkan pengumuman tindakan segera untuk menjelaskan situasi tersebut. Dana perompak telah dipindahkan oleh Majlis Keselamatan Arbitrum.
Namun, secara ajaib, tanpa mengetahui kunci peribadi alamat perompak, Jawatankuasa Arbitrum tidak membekukan dana perompak atau mempunyai kuasa untuk mentransfer dana, tetapi terus mengeluarkan arahan transfer "atas nama perompak".
Pencuri cyber tidak mengetahui apa-apa, kunci peribadi tidak bocor, dan rekod di rantai kelihatan seolah-olah dilakukan oleh pencuri cyber sendiri.
Prinsip di sebalik operasi ini ialah semua pesan lintas rantai antara Arbitrum dan Ethereum mesti melalui kontrak jambatan bernama Inbox. Majlis Keselamatan menggunakan kuasa kecemasan untuk meningkatkan sementara kontrak ini, menambah fungsi baru:
Menghantar transaksi lintas rantai atas nama sebarang alamat dompet, tetapi tidak memerlukan kunci peribadi dompet tersebut.
Kemudian mereka menggunakan fungsi ini untuk memalsukan satu pesan, di mana pengirim ditulis sebagai dompet perompak, dengan kandungan: "Pindahkan semua ETH saya ke alamat dibekukan." Selepas rantai Arbitrum menerima pesan tersebut, ia melaksanakan seperti biasa, sehingga menghasilkan kejadian aneh yang terlihat dalam tangkapan skrin transaksi rantai di atas.
Selepas duit perompak ditransfer, kontrak ini segera diturunkan semula ke versi asal. Peningkatan, pemalsuan, pemindahan, dan pemulihan semuanya dikemas dalam satu transaksi Ethereum. Pengguna dan aplikasi lain tidak terjejas sama sekali.
Operasi ini tidak pernah berlaku sebelumnya dalam sejarah Arbitrum.
Berdasarkan pengumuman forum, Majlis Keselamatan telah mengesahkan identiti peretas dengan pihak penegak undang-undang sebelum bertindak, yang menunjuk kepada Lazarus Group dari Korea Utara, organisasi peretas berskala negara yang paling aktif di bidang DeFi tahun ini. Majlis telah melakukan penilaian teknikal untuk memastikan tiada kesan terhadap pengguna lain sebelum bertindak.
Kerana hacker yang salah terlebih dahulu, tindakan ini agak bermaksud "jangan salahkan orang lain tidak mengikuti peraturan". Mengenai bagaimana ETH yang dibekukan akan ditangani seterusnya, ia perlu melalui pengundian tata pentadbiran DAO Arbitrum dan berkoordinasi dengan pihak berkuasa penegak undang-undang.
Mengembalikan lebih daripada 70 juta dolar yang dicuri memang perkara baik. Tetapi syarat untuk mencapai perkara ini perlu diperhatikan: sembilan daripada 12 ahli Majlis Keselamatan boleh menandatangani untuk melintasi semua undian tata tertib, dan meningkatkan sebarang kontrak inti atas rantai tanpa sebarang penundaan.
Pujian terhadap hasil, kebimbangan terhadap kemampuan?
Sekarang, tindakan komuniti terhadap perkara ini sangat berbeza.
Sebahagian orang merasa Arbitrum berbuat baik dengan melindungi aset pada masa kritikal, dan keyakinan terhadap L2 malah meningkat sedikit. Sebahagian lagi mempertanyakan satu soalan yang sangat langsung: jika sembilan orang perlu menandatangani untuk menggerakkan sebarang aset atas nama sesiapa sahaja, adakah ini masih dipanggil desentralisasi?
Saya berpendapat bahawa kedua-dua pihak tidak membicarakan perkara yang sama.
Yang pertama membincangkan hasil, manakala yang kedua membincangkan kemampuan. Hasil perkara ini pasti baik, dana sebanyak 70 juta yang dicuri telah dipulihkan. Namun, kemampuan Arbitrum untuk mengubah fungsi kontrak melalui tanda tangan ganda ini pada dasarnya bersifat neutral; apa yang akan dilakukan di masa depan, bolehkah dilakukan, dan bagaimana melakukannya, sebenarnya bergantung pada tata kelola komite.
Namun, bagi kebanyakan pengguna Arbitrum, perbincangan ini mungkin kurang praktikal berbanding fakta lain: Arbitrum tidaklah istimewa, hampir semua L2 utama kini mengekalkan kuasa peningkatan kecemasan yang serupa.
Rantaian yang anda gunakan kemungkinan besar juga mempunyai majlis keselamatan serupa dengan kemampuan yang serupa. Ini bukan pilihan unik Arbitrum; hampir semua L2 pada peringkat ini mempunyai reka bentuk am ini.
Dari sudut pandang lain, pertahanan dan serangan kali ini sebenarnya mendedahkan gambaran yang lebih besar.
Pihak serang ialah Lazarus Group dari Korea Utara, yang sejak awal tahun ini telah dikaitkan dengan sekurang-kurangnya 18 serangan DeFi. Tiga minggu yang lalu, mereka mencuri USD285 juta dari Drift Protocol dengan kaedah yang sama sekali berbeza.
Di satu sisi, peringkat negara hacker terus meningkatkan cara serangan, sementara di sisi lain, L2 mulai menggunakan kuasa asas untuk membalas. Perang keselamatan DeFi sedang memasuki peringkat baru, beralih dari "membekukan selepas kejadian, menyeru di rantai, berdoa agar penyerang putih terlibat".
Dalam keadaan darurat, seorang kunci serba guna telah dibuat untuk membuka alamat hacker, dan selepas selesai, kunci itu dilebur. Hanya dari perkara ini, kemampuan untuk menghadapi serangan hacker tidaklah buruk.
Namun, jika anda terpaksa membawa perkara ini ke perbincangan falsafah bahawa “ini sama sekali tidak terdesentralisasi”, maka ada banyak perkara yang boleh dibincangkan. Terdapat banyak operasi terpusat dalam industri kripto, dan kali ini sekurang-kurangnya ia berusaha menangani insiden negatif dan menyelesaikan masalah, bukan mencipta insiden negatif.
Dari sudut pandang yang lebih praktikal, KelpDAO telah dicuri sebanyak 292 juta, dan hanya 70 juta lebih telah dipulihkan, kurang daripada seperempat jumlah keseluruhan. ETH yang tersisa masih tersebar di rantai lain, dan lebih daripada 100 juta dolar AS hutang buruk di Aave masih belum terselesaikan, sehingga jumlah yang boleh dipulihkan oleh pemegang rsETH masih belum diketahui.
Walaupun Arbitrum menggunakan kuasa ilahi, pertarungan ini jelas belum selesai.