Автор: Liam 'Akiba' Wright, Cryptoslate
Саоирш, Foresight News
В течение четырех дней три блокчейн-сети последовательно остановили создание блоков. Каждая остановка сети использовала совершенно разные экстренные полномочия, причем только Cronos изменил часть официальной истории цепочки.
Cronos сообщила, что после атаки на протокол Tectonic валидаторы через механизм консенсуса остановили сеть, восстановили цепочку до состояния до атаки и возобновили создание блоков с высоты блока 90,896,189. Эта операция не только остановила создание блоков, но и напрямую изменила состояние цепочки. Все транзакции и изменения состояния, созданные после точки восстановления, больше не относятся к официальной главной цепочке после перезапуска.
Ontology и ICON использовали другой набор аварийных мер. Ontology приостановила создание блоков до подтверждения вредоносной атаки; в обновлении от 1 сентября было указано, что эта вредоносная активность не привела к потере активов пользователей. ICON сначала приостановила скомпрометированный смарт-контракт, а затем отключила всю сеть; фонд заявил, что во время миграции сеть находилась под его контролем, и большая часть похищенных ICX уже была переведена на депозитные счета бирж.
Остановка блокчейна — это лишь первый уровень контроля. Более глубокая проблема заключается в том, кто имеет право приказывать остановить сеть? Могут ли они переписать уже подтвержденное состояние цепочки? Какие потери будут необратимы, когда средства перемещаются через цепочки или попадают в централизованные хранилища?
Информация о правах на раскрытие мер реагирования на сетевые события была восстановлена после риска компрометации; атака на уязвимость CronosTectonic привела к остановке сети и восстановлению состояния цепочки до возникновения уязвимости; консенсус валидаторов; объявление о перезапуске не раскрыло данные по подсчету голосов и пороги голосования; все действия в цепочке после контрольной точки аннулированы; средства, переведенные на Ethereum, не находятся под контролем Cronos; окончательная статистика потерь протокола Tectonic еще не завершена; во время обычной проверки Ontology были обнаружены потенциальные риски, позже подтвержденные как вредоносная активность — производство блоков было приостановлено профилактически, откат не выполнялся; в устранении и обновлении сети участвовали ключевая команда разработчиков, техническая команда и валидаторы; пороги активации экстренных мер не были раскрыты; во время устранения уязвимости и обновления сети транзакции не могли выполняться; не было обнаружено повреждения активов пользователей; контракт миграции ICON содержит уязвимость повторной передачи — сначала был приостановлен контракт, затем остановлена вся сеть; на этапе миграции сеть находилась под контролем фонда, количество ключевых валидаторов было сокращено; потери несет фонд; возможность возврата ICX, хранящихся на биржах, зависит от биржевых платформ, юридических процедур и правоохранительных органов.
Сравнение методов реагирования на чрезвычайные ситуации для блокчейнов Cronos, Ontology и ICON
Cronos: от остановки к перезаписи состояния цепочки
Cronos назвал это событие «экстренным действием по консенсусу валидаторов». В объявлении о возобновлении работы от 31 августа указано, что 30 августа в 23:49:01 по всемирному координированному времени сеть возобновила создание блоков с высоты блока 90 896 189, а состояние цепи было откатано до момента до атаки уязвимости Tectonic.
Остановка Cronos означает принятие решения о распределении выгод от точки восстановления. После контрольной точки состояние цепочки, связанное с уязвимостью, вместе со всеми несвязанными транзакциями за этот период, удаляется из официальной цепочки. Объявление о перезапуске не сопровождалось списком транзакций, статистикой валидаторов, порогом веса голосов и списком участвующих узлов. Cronos обязалась опубликовать отчет о последующем анализе, который должен полностью объяснить процесс реагирования и технический охват последствий.
Размер активов, фактически защищенных в ходе этой интервенции, также остается неопределенным. TRM Labs оценивает, что после манипуляций с ценой токена TONIC было заимствовано около 75 миллионов долларов США; из них около 6 миллионов долларов США поступило на Ethereum, а около 68,7 миллиона долларов США было откатано внутри цепочки Cronos. Статистика Bitquery показывает более высокий общий объем оттока: около 8,3 миллиона долларов США поступило на Ethereum, и было отменено в общей сложности 10 961 блок.
Две системы статистики учитывают разные объекты, окончательные данные о потерях Tectonic официально еще не опубликованы. Однако одно уже совершенно ясно: откат Cronos может восстановить только состояние, оставшееся внутри этой цепочки, активы на цепочке Ethereum полностью находятся вне его контроля.
Схема распределения активов Tectonic по-прежнему оставляет проблемы с учетом средств пользователей. Протокол заявляет, что сначала будут восстановлены функции вывода и погашения кредитов, при этом депозиты и новые заимствования будут приостановлены. Эта схема предоставляет пользователям возможность выйти из системы и снизить плечо, однако не подтверждено, смогут ли стороны, предоставляющие средства, полностью вывести свои средства. Постфактум-отчет Tectonic, который еще предстоит опубликовать, должен прояснить природу уязвимости, общий объем вывода средств, масштаб просроченной задолженности, уже возвращенные активы и оставшиеся долги.
Восстановление различных инфраструктурных компонентов и возобновление консенсуса цепочки происходят несинхронно. Cronos напоминает, что протоколам, мостам, блокчейн-обозревателям и RPC-сервисам потребуется больше времени для восстановления. Статус-страница Alchemy также отдельно фиксирует эту остановку и последующее восстановление. Сеть цепочки может быть объявлена официально возобновленной, но зависящие от нее сервисы могут еще не быть готовы.
Ontology: Остановка необходима только для получения времени на обработку, а не для отмены транзакций
Действия по устранению Ontology были предприняты до подтверждения вредоносной активности. Сеть сообщила, что основная команда разработчиков обнаружила потенциальные уязвимости безопасности во время ежедневной проверки, немедленно приостановила создание блоков и передала систему на проверку технической команде и узлам валидации.
Обновление от 1 сентября сообщает, что проверка подтвердила наличие злонамеренной атаки; главная сеть останется отключенной для устранения уязвимостей и обновления сети; атака не затронула активы пользователей. Цель Ontology — восстановить нормальную работу в течение 24 часов при условии успешного завершения безопасностных проверок, устранения уязвимостей, обновления и тестирования.
Остановка Ontology сохраняет все подтвержденные состояния в цепочке, приостанавливая только подтверждение и расчет новых транзакций. В объявлении не указано время восстановления, а также не опубликован список транзакций, которые необходимо отменить.
Раскрытая информация о полномочиях неполна. В объявлении упоминается, что в реагировании участвовали ключевая команда разработчиков, техническая команда и узлы проверки сети, но не указано, кто является лицом, принимающим окончательные обязательные решения, а также не приведены цифровые пороговые значения для экстренного реагирования. Документ VBFT Ontology описывает обычный механизм консенсуса, включая генерацию узлами подтвержденных блоков и управление консенсусом обновлений набора узлов, однако документ охватывает только сценарии штатной работы, а экстренное правило приостановки, использовавшееся 31 августа, не было опубликовано.
Даже если не произошло потерь активов, простои все равно сопряжены с реальными расходами. Ontology уведомила пользователей, что транзакции в цепочке не будут обрабатываться, и рекомендовала не выполнять операции, чувствительные ко времени; позже было сообщено, что возобновление работы сети зависит от устранения уязвимости, обновления и тестирования. Пользователи не могут корректировать позиции или осуществлять переводы и расчеты в цепочке, все внешние сервисы, подключенные к этой цепочке, должны ждать сигнала от сети.
Критерии восстановления работы определяются с приоритетом безопасности, однако конкретные детали ограничены. Ontology заявила, что стремится восстановить сервис в течение 24 часов после завершения исправлений, обновлений, тестирования и верификации, однако не раскрыла, кто будет оценивать достижение условий и какие пороговые значения являются триггерами.
Это создает неопределенность на уровне управления: в объявлении указаны стороны, участвующие в проверке, но субъект, обладающий окончательным правом принятия решения о возобновлении работы, не указан. Для пользователей текущий риск связан с перерывом в обслуживании, а не с определенной потерей активов или откатом цепочки.
ICON: Почему остановка блокчейна уже слишком поздно
Событие ICON полностью демонстрирует весь процесс оповещения, реагирования и вывода активов из управления цепочкой.
Согласно отчету о постфактум-анализе фонда, злоумышленник повторно использовал 1492 раза две исторически действительные подписанные сообщения о выводе средств в период с 02:01:02 по 02:21:12 по всемирному координированному времени 27 августа. Ошибка точности привела к успешному выполнению 1490 вызовов, в результате чего из активов фонда было переведено 119 866 000 ICX и 531 600 bnUSD.
02:08 система мониторинга выдала предупреждение, после чего технические специалисты начали расследование; контракт, подвергшийся воздействию, был приостановлен в 03:53. Крупные биржи начали отключать пополнение и вывод ICX в 05:54, а полная остановка сети вступила в силу в 06:18:54. ICON был перезапущен примерно в 07:51 28 августа, через примерно 25 часов, одновременно был устранен базовый уязвимость.
Отчет о анализе инцидента указывает, что корневой причиной стали процессы реагирования, а не недостаточная способность обнаружения. Предупреждение было сгенерировано в течение 7 минут, но такие предупреждения часто путают с несвязанными RPC-исключениями, и система не уведомляла дежурный персонал. Техническое расследование началось примерно в 03:40, и вскоре после этого контракт был приостановлен.
К моменту официальной остановки блокчейна, большая часть затронутых ICX уже была принята биржами в свою систему хранения. Средства контроля на стороне блокчейна ICON не могут препятствовать переводу или конверсии активов, находящихся у бирж. Фонду остается полагаться на заморозку активов биржами, уведомления о сохранении активов, адвокатов и правоохранительные органы.
Границы хранения напрямую определяют, кто несет убытки. ICON указывает, что все затронутые активы принадлежат фонду; депозиты, балансы и позиции обычных пользователей не были затронуты. Отчет показывает, что 531600 bnUSD и 1,366 млн SODA были полностью возвращены; из выданных 113634 USDC было восстановлено 82430. Подтвержденные чистые убытки составляют около 150,2 ETH и 31204 USDC. Большинство затронутых ICX были лишь заморожены или отслежены на бирже, но не были фактически возвращены.
Архитектура управления ICON также отличается от двух других случаев. Отчет о анализе указывает, что во время миграции токенов сеть находилась под контролем фонда; в руководстве по миграции упоминается, что консенсус работал в режиме обслуживания, с участием только 7 основных узлов. Таким образом, эта остановка основывалась на четко определенной специальной архитектуре работы, находящейся под полным контролем фонда.
Экстренные полномочия также являются полномочиями на уровне баланса
Каждая остановка блокчейна по сути переносит риски в другое место.
- Cronos изменяет историю основной цепочки: можно защитить активы, остающиеся под юрисдикцией цепочки, но при этом аннулируются и нормальные действия в цепочке, не связанные с уязвимостью; на активы на Ethereum это не распространяется.
- Ontology превращает риски в стоимость времени и потери доступности сервиса; в течение периода расследования транзакции не могли быть рассчитаны, подтверждения убытков по активам не было.
- ICON завершил изоляцию контракта и сети только после того, как активы были переведены за пределы цепочки управления; подтверждено, что убытки несет фонд, а возврат замороженных ICX зависит от биржи и судебных органов.
Просто децентрализованная оценка может скрыть эти совершенно разные исходы. Более практичным критерием оценки является: являются ли правила экстренного вмешательства открытыми? Каков порог для срабатывания вмешательства? Останавливается ли только создание новых блоков или переписывается ли уже подтвержденное состояние цепочки? Кто контролирует активы, выходящие за пределы юрисдикции этой цепочки, при вмешательстве? Кто обязуется покрыть оставшиеся убытки?
Cronos и Tectonic все еще ожидают публикации полного отчета об инциденте. Ontology должна раскрыть детали атаки и правила срочного уполномочивания, а также позже подтвердить, были ли выполнены условия для обновления и перезапуска. Настоящее сравнение следует проводить по границам риска, установленным для каждой сети — какие исторические данные, время и средства подвергаются риску.