Три блокчейн-сети приостановили работу из-за инцидентов безопасности

Автор: Лайам «Акиба» Райт

Перевод: Saoirse, Foresight News

В течение четырех дней три блокчейн-сети последовательно остановили создание блоков. Каждая остановка сети использовала совершенно разные экстренные полномочия, причем только Cronos изменил часть официальной истории цепочки.

Cronos сообщила, что после атаки на протокол Tectonic валидаторы через механизм консенсуса остановили сеть, восстановили цепочку до состояния до атаки и возобновили создание блоков с высоты блока 90 896 189. Эта операция не только остановила создание блоков, но и напрямую перезаписала состояние цепочки. Все транзакции и изменения состояния, созданные после точки восстановления, больше не относятся к официальной главной цепочке после перезапуска.

Ontology и ICON использовали другой набор аварийных мер. Ontology приостановила создание блоков до подтверждения вредоносной атаки; в обновлении от 1 сентября было указано, что эта вредоносная активность не привела к потере активов пользователей. ICON сначала приостановила скомпрометированный смарт-контракт, а затем отключила всю сеть; фонд заявил, что во время этапа миграции сеть находилась под его контролем, и большая часть похищенных ICX уже была переведена на депозитные счета бирж.

Остановка блокчейна — это лишь первый уровень контроля. Более глубокая проблема заключается в том, кто имеет право приказывать остановить сеть? Могут ли они переписать уже подтвержденное состояние цепочки? Какие потери станут необратимыми, когда средства перемещаются через цепочки или попадают в централизованные хранилища?

Информация о правах на принятие мер реагирования на сбои, вызванные сетевыми событиями: известно, что риск восстановления был устранен в результате атаки на уязвимость CronosTectonic, которая привела к остановке сети и восстановлению состояния цепочки до возникновения уязвимости; консенсус валидаторов; объявление о перезапуске не раскрыло данные по подсчету голосов и пороговые значения голосования; все сетевые активности после контрольной точки аннулированы; средства, переведенные на Ethereum, не находятся под контролем Cronos; окончательная статистика потерь протокола Tectonic еще не завершена. Во время повседневной проверки Ontology была обнаружена потенциальная угроза, позже подтвержденная как вредоносная активность — производство блоков было приостановлено профилактически, откат не выполнялся; участие ключевой команды разработчиков, технической команды и валидаторов; пороговые значения для запуска экстренных мер не были раскрыты; во время устранения уязвимости и обновления сети транзакции не могли выполняться; не было обнаружено повреждения активов пользователей. Контракт миграции ICON содержал уязвимость повторной передачи — сначала был приостановлен контракт, затем остановлена вся сеть; на этапе миграции сеть находилась под контролем фонда, количество ключевых валидаторов было сокращено; убытки несет фонд; возможность возврата ICX, хранящихся на биржах, зависит от управляющей стороны, юридических процедур и правоохранительных органов.

Сравнение методов реагирования на чрезвычайные ситуации для блокчейнов Cronos, Ontology и ICON

Cronos назвал это событие «экстренным действием по консенсусу валидаторов». В объявлении о возобновлении работы от 31 августа указано, что 30 августа в 23:49:01 по всемирному координированному времени сеть возобновила создание блоков с высоты блока 90 896 189, и состояние цепи было откатано до момента до атаки уязвимости Tectonic.

Остановка Cronos означает принятие решения о распределении выгод от точки восстановления. После контрольной точки он-чейн-состояния, связанные с уязвимостью, а также все несвязанные транзакции за этот период были удалены из официальной цепочки. Объявление о перезапуске не содержало списка транзакций, статистики валидаторов, порога веса голосов и списка участвовавших узлов. Cronos обязался опубликовать отчет о пост-инцидентном анализе, который должен полностью объяснить процесс реагирования и технический охват последствий.

Размер активов, фактически защищенных в ходе этой интервенции, также остается неопределенным. TRM Labs оценивает, что после манипуляций с ценой токена TONIC было заимствовано около 75 миллионов долларов США; из них примерно 6 миллионов долларов США поступили на Ethereum, а около 68,7 миллиона долларов США были отменены внутри цепочки Cronos. Статистика Bitquery показывает более высокий общий объем оттока: около 8,3 миллиона долларов США поступили на Ethereum, и было отменено в общей сложности 10 961 блок.

Две системы статистики учитывают разные объекты, окончательные данные о потерях Tectonic официально еще не опубликованы. Однако одно уже совершенно ясно: откат Cronos может восстановить только состояние, оставшееся внутри этой цепочки, активы на цепочке Ethereum полностью находятся вне его контроля.

Схема распределения активов Tectonic по-прежнему оставляет проблемы с учетом пользовательских счетов. Протокол заявляет, что сначала будут восстановлены функции вывода средств и погашения кредитов, при этом депозиты и новые заимствования будут приостановлены. Эта схема предоставляет пользователям возможность выйти из системы и снизить плечо, однако остается неопределенным, смогут ли поставщики капитала полностью вывести свои средства. Планируемый отчет Tectonic после инцидента должен прояснить природу уязвимости, общий объем вывода средств, масштаб просроченной задолженности, восстановленные активы и оставшиеся долги.

Восстановление различных инфраструктурных компонентов и возобновление консенсуса цепочки происходят не синхронно. Cronos напоминает, что протоколам, мостам, блокчейн-обозревателям и RPC-сервисам потребуется больше времени для восстановления. Статус-страница Alchemy также отдельно фиксирует эту остановку и последующее восстановление. Сеть цепочки может быть объявлена официально возобновленной, но зависимые от нее сервисы могут еще не быть готовы.

Действия по устранению угрозы Ontology были предприняты до подтверждения вредоносной активности. Сеть сообщила, что основная команда разработчиков обнаружила потенциальные уязвимости во время ежедневной проверки, немедленно приостановила создание блоков и передала систему на проверку технической команде и валидаторам.

Обновление от 1 сентября сообщает, что проверка подтвердила наличие злонамеренной атаки; основная сеть останется отключенной для устранения уязвимостей и обновления сети; атака не затронула активы пользователей. Цель Ontology — восстановить нормальную работу в течение 24 часов при условии успешного завершения безопасностных проверок, устранения уязвимостей, обновления и тестирования.

Остановка Ontology сохраняет все подтвержденные состояния в цепочке, приостанавливая только подтверждение и расчет новых транзакций. В объявлении не указано время восстановления, а также не опубликован список транзакций, которые необходимо отменить.

Информация о правах доступа, раскрытая публично, неполна. В объявлении упоминается, что в процессе реагирования участвуют ключевая команда разработчиков, техническая команда и узлы проверки сети, однако не указано, кто является лицом, принимающим окончательные обязательные решения, а также не приведены цифровые пороговые значения для экстренного реагирования. Документ VBFT Ontology описывает обычный механизм консенсуса, включая генерацию узлами подтвержденных блоков и управление консенсусом обновлений набора узлов, однако документ охватывает только сценарии штатной работы; правила экстренной приостановки, использовавшиеся 31 августа, не были опубликованы.

Даже если не произошло потерь активов, простои все равно сопряжены с реальными затратами. Ontology уведомила пользователей, что транзакции в цепочке не будут обрабатываться, и рекомендовала не выполнять операции, чувствительные ко времени; позже было сообщено, что возобновление работы сети зависит от устранения уязвимости, обновления и тестирования. Пользователи не могут корректировать позиции или осуществлять переводы и расчеты в цепочке, все внешние сервисы, подключенные к этой цепочке, должны ждать сигнала от сети.

Критерии восстановления работы определяются с приоритетом безопасности, однако конкретные детали ограничены. Ontology заявила, что стремится восстановить сервис в течение 24 часов после завершения исправлений, обновлений, тестирования и верификации, однако не раскрыла, кто будет оценивать достижение условий и какие пороговые значения являются триггерами.

Это создает неопределенность на уровне управления: в объявлении указаны стороны, участвующие в проверке, но субъект, обладающий окончательным правом принятия решения о возобновлении работы, не определен. Для пользователей текущий риск связан с перерывом в обслуживании, а не с определенной потерей активов или откатом цепочки.

Событие ICON полностью демонстрирует процесс оповещения, реагирования и вывода активов из контроля блокчейна.

Согласно отчету о постфактум-анализе фонда, злоумышленник повторно использовал 1492 раза две исторически действительные подписанные сообщения о выводе средств в период с 02:01:02 по 02:21:12 по всемирному координированному времени. Из-за ошибки точности 1490 вызовов прошли успешно, в результате чего из активов фонда было переведено 119 866 000 ICX и 531 600 bnUSD.

02:08 система мониторинга отправила оповещение, после чего технические специалисты начали расследование; контракт, подвергшийся воздействию, был приостановлен в 03:53. Крупные биржи начали отключать пополнение и вывод ICX в 05:54, а полная остановка сети вступила в силу в 06:18:54. ICON был перезапущен примерно в 07:51 28 августа, через примерно 25 часов, одновременно был устранен базовый уязвимость.

Отчет о анализе инцидента указывает, что корневой причиной стали процессы реагирования, а не недостаточная способность обнаружения. Предупреждение было сгенерировано в течение 7 минут, но такие предупреждения часто путаются с несвязанными RPC-исключениями, и система не уведомляла дежурный персонал. Техническое расследование началось примерно в 03:40, и вскоре после этого контракт был приостановлен.

К моменту официальной остановки блокчейна, большая часть затронутых ICX уже была принята биржами в свою систему хранения. Средства контроля на стороне блокчейна ICON не могут препятствовать переводу или конверсии активов, находящихся в распоряжении бирж. Фонду остается полагаться на заморозку активов биржами, уведомления о сохранении активов, адвокатов и правоохранительные органы.

Границы хранения напрямую определяют, кому принадлежит ущерб. ICON указывает, что все затронутые активы принадлежат фонду; депозиты, балансы и позиции обычных пользователей не были затронуты. Отчет сообщает, что 531 600 bnUSD и 1,366 млн SODA были полностью возвращены; из выданных 113 634 USDC возвращено 82 430. Подтвержденный чистый ущерб составляет около 150,2 ETH и 31 204 USDC. Большинство затронутых ICX были лишь заморожены или отслежены на бирже, но не были фактически возвращены.

Архитектура управления ICON также отличается от двух других случаев. Отчет о анализе указывает, что во время миграции токенов сеть находилась под контролем фонда; в руководстве по миграции упоминается, что консенсус работал в режиме обслуживания, с участием только 7 основных узлов. Таким образом, эта остановка основывалась на четко определенной специальной архитектуре работы, находящейся под контролем фонда.

Каждая остановка блокчейна по сути переносит риски в другое место.

• Cronos изменяет историю основной цепочки: это может защитить активы, остающиеся под юрисдикцией цепочки, но одновременно аннулирует нормальную деятельность в цепочке, не связанную с уязвимостью, и не может повлиять на активы на Ethereum.
• Ontology превращает риск в временные затраты и потери доступности сервиса; в течение периода расследования сделки не могли быть рассчитаны, подтверждения убытков по активам не было.
• ICON завершил изоляцию контракта и сети только после того, как активы были переведены за пределы цепочки управления; подтверждено, что убытки несет фонд, а возврат замороженных ICX зависит от биржи и судебных органов.

Просто децентрализованная оценка может скрыть эти совершенно разные исходы. Более практичным критерием оценки является: являются ли правила экстренного вмешательства открытыми? Каков порог срабатывания вмешательства? Останавливается ли только создание новых блоков или переписывается ли уже подтвержденное состояние цепочки? Кто контролирует активы, выходящие за пределы юрисдикции этой цепочки, при вмешательстве? Кто берет на себя ответственность за оставшиеся убытки?

Полные отчеты о инцидентах для Cronos и Tectonic еще не опубликованы. Ontology должна раскрыть детали атаки и правила срочного уполномочивания, а также подтвердить, были ли выполнены критерии для обновления и перезапуска. То, что действительно стоит сравнить, — это границы риска, установленные для каждой сети: какие исторические данные, временные рамки и средства оказываются под угрозой.