Три блокчейн-сети остановили производство блоков в течение четырех дней. Каждая из остановок использовала разные экстренные полномочия, и только Cronos также заменил часть своей канонической истории.
Cronos сообщил, что валидаторы остановили сеть по консенсусу после эксплуатации уязвимости в протоколе Tectonic, восстановили цепочку до состояния до инцидента и возобновили производство с блока 90 896 189. Это действие заменило состояние, а также остановило производство. Транзакции и изменения состояния, существовавшие только после выбранной точки восстановления, больше не принадлежали перезапущенной канонической цепочке.
Ontology и ICON использовали другие экстренные рычаги. Ontology приостановил производство блоков до подтверждения вредоносной атаки, а в обновлении от 1 сентября говорилось, что эта активность не скомпрометировала активы пользователей. ICON сначала приостановил затронутый контракт, а затем остановил сеть, которая, по словам ICON Foundation, находилась под его контролем в период миграции, после того как большая часть затронутых ICX уже поступила на хранение бирж.
Остановка блокчейна раскрывает лишь первый уровень контроля. Более глубокие вопросы: кто может отдать приказ об остановке, могут ли они заменить принятое состояние и какие потери остаются, когда средства пересекают границу другой цепи или передаются централизованному хранителю.
| Сеть | Триггер | Экстренное действие | Раскрытые полномочия | Известный риск восстановления |
|---|---|---|---|---|
| Cronos | Эксплойт Tectonic | Остановка и восстановление состояния до эксплойта | Консенсус валидаторов; нет подсчета или порога голосов в уведомлении о перезапуске | Отброшенная пост-чекпоинт активность; средства на Ethereum вне досягаемости Cronos; окончательный учет Tectonic ожидается |
| Ontology | Потенциальная проблема, обнаруженная при ежедневной проверке; позже подтверждена вредоносная активность | Профилактическая пауза производства блоков; отсутствие отката | Основная команда разработчиков, техническая команда и валидаторы; порог экстренной ситуации не раскрыт | Транзакции недоступны во время исправления и обновления сети; компрометация активов пользователей не выявлена |
| ICON | Эксплойт повторного воспроизведения в контрактах миграции | Приостановка контракта, затем остановка всей сети | Контролируемая Фондом сеть миграции, работающая с сокращенным набором основных валидаторов | Потери на стороне Фонда; восстановление ICX, находящихся на биржах, зависит от хранителей, судебных процессов и правоохранительных органов |
Cronos перешел черту от остановки к замене состояния
Cronos описал реакцию на инцидент как «экстренное действие по консенсусу валидаторов». В уведомлении о перезапуске от 31 августа говорилось, что производство блоков возобновилось с 23:49:01 UTC 30 августа, начиная с блока 90 896 189, с использованием состояния цепочки, восстановленного до эксплойта Tectonic.
Остановка блокчейна Cronos сделала точку восстановления решением о распределении. Состояние, связанное с эксплойтом после точки восстановления, исчезло из канонической цепочки, вместе с любыми несвязанными транзакциями, существовавшими только в отброшенной истории. Уведомление о перезапуске не содержит перечня транзакций, подсчета валидаторов, порога голосов или списка участников. Обещанный постмортем Cronos должен будет объяснить как процедуру, так и технический объем.
Даже сумма, защищенная вмешательством, остается неопределенной. TRM Labs оценила, что было заимствовано примерно 75 миллионов долларов после манипуляции ценой TONIC, при этом около 6 миллионов долларов поступило в Ethereum, а около 68,7 миллиона долларов были отменены на Cronos. Bitquery сообщила о более крупном общем оттоке: около 8,3 миллиона долларов в Ethereum и 10 961 отброшенный блок.
Эти цифры измеряют разные объемы; окончательный официальный убыток Tectonic еще не объявлен. Более узкий вывод уже ясен: восстановление Cronos может отменить состояние, все еще находящееся в Cronos, в то время как состояние Ethereum осталось вне его досягаемости.
Последовательность восстановления Tectonic оставляет нерешенным баланс пользователей. Протокол заявил, что сначала возобновит вывод и погашение займов, оставив депозиты и новые заимствования приостановленными. Это создает путь выхода и снижения долговой нагрузки, в то время как возможность поставщиков полностью выкупить средства остается неподтвержденной. Ожидаемый постмортем Tectonic все еще должен объяснить механизм эксплойта, общий отток, безнадежные долги, восстановленные активы и любые остаточные обязательства.
Инфраструктура также возвращается по иному графику, чем консенсус. Cronos предупредил, что протоколы, мосты, эксплореры и RPC-провайдеры будут восстанавливаться дольше, в то время как страница статуса Alchemy отдельно зафиксировала остановку и последующее решение. Цепочка может объявить канонический перезапуск до того, как все зависимые от нее сервисы будут готовы.
Остановка блокчейна Ontology выиграла время, а не отменила транзакции
Действие Ontology произошло до того, как сеть подтвердила вредоносную активность. Сеть заявила, что ее основная команда разработчиков обнаружила потенциальную проблему безопасности во время ежедневной проверки и немедленно приостановила производство блоков, чтобы техническая команда и валидаторы могли проанализировать систему.
В обновлении от 1 сентября говорилось, что анализ выявил вредоносную атаку, основная сеть останется приостановленной для исправления и обновления, и что эта активность не скомпрометировала активы пользователей. Ontology планировал восстановить нормальную работу в течение 24 часов при условии успешных проверок безопасности, исправления, обновления и тестирования.
Остановка блокчейна Ontology оставила принятое состояние нетронутым и остановила новые расчеты. В объявлении не было указано ни точки восстановления, ни опубликованного набора транзакций для аннулирования.
Публичное описание полномочий остается неполным. В объявлении упоминаются основная команда разработчиков, техническая команда и валидаторы сети, но при этом не указан ни ответственный за принятие решений, ни числовой порог экстренной ситуации. Документация VBFT Ontology объясняет нормальные механизмы консенсуса, включая то, как узлы генерируют и подтверждают блоки и как управляющий контракт обновляет набор консенсуса. Эти документы охватывают нормальные механизмы консенсуса; правило экстренной паузы, использованное 31 августа, остается нераскрытым.
Пауза все еще может повлечь материальные издержки без создания дефицита активов. Ontology сообщил пользователям, что ончейн-транзакции обрабатываться не будут, посоветовал избегать чувствительной ко времени активности, а позже заявил, что возобновление последует за исправлением, обновлением сети и тестированием. Позиции не могли быть скорректированы в цепочке, переводы не могли быть завершены, а подключенные сервисы должны были ждать следующего сигнала сети.
Стандарт возобновления остается основанным на безопасности, но теперь стал более конкретным. Ontology заявил, что планирует восстановить нормальную работу в течение 24 часов при условии успешного завершения исправления, обновления сети, тестирования и валидации. Полномочия или порог, которые объявят эти условия выполненными, остаются нераскрытыми.
Неопределенность в управлении поэтому конкретна. Сеть раскрыла, кто участвует в анализе, в то время как уполномоченный орган, принимающий решение о возобновлении, остается неидентифицированным. Для пользователей текущий риск — это операционная задержка, а не подтвержденная потеря активов или откат.
ICON показывает, почему остановка блокчейна может запоздать
Инцидент с ICON дает наиболее четкую хронологию обнаружения, локализации и расхождения с хранением.
Согласно постмортему Фонда, злоумышленник воспроизвел два ранее действительных подписанных сообщения о выводе средств 1 492 раза в период с 02:01:02 по 02:21:12 UTC 27 августа. Дефект точности позволил 1 490 вызовам завершиться успешно, высвободив 119 866 000 ICX и 531 600 bnUSD из активов Фонда.
Мониторинг сработал в 02:08 UTC. Технический персонал начал расследование позже, а затронутый контракт был приостановлен в 03:53. Биржи начали приостанавливать депозиты и вывод ICX в 05:54, в то время как остановка всей сети вступила в силу в 06:18:54. ICON перезапустился около 07:51 28 августа, примерно через 25 часов, с исправлением базового дефекта.
Постмортем связывает задержку с реагированием на инцидент, а не с отсутствием обнаружения. Первый сигнал сработал в течение семи минут, но его серьезность не вызвала вызов дежурной команды, поскольку подобные сигналы часто сопровождали несвязанные проблемы с RPC. Техническое расследование началось около 03:40, незадолго до приостановки контракта.
К моменту остановки цепочки биржи уже перевели большую часть затронутых ICX в свое собственное хранение. Контроль на стороне ICON не мог помешать бирже перемещать или конвертировать уже находящиеся у нее активы. Фонд был вынужден полагаться на заморозки бирж, уведомления о сохранении, юристов и правоохранительные органы.
Эта граница хранения определила распределение убытков. ICON заявил, что все затронутые активы принадлежали Фонду, и никакие депозиты, балансы или позиции пользователей не были затронуты. Сообщалось о полном восстановлении 531 600 bnUSD и 1,366 млн SODA, а также 82 430 из 113 634 заимствованных USDC. Подтвержденный чистый убыток составил примерно 150,2 ETH плюс 31 204 USDC, в то время как большая часть затронутых ICX оставалась замороженной или отслеживаемой на биржах, а не восстановленной.
Структура управления ICON также отличалась от двух других случаев. В постмортеме говорилось, что Фонд контролировал сеть во время миграции токенов, а в более раннем руководстве по миграции говорилось, что консенсус работал в режиме обслуживания с семью основными узлами. Поэтому его остановка произошла через особую, явно контролируемую Фондом операционную структуру.
Экстренные полномочия — это также полномочия над балансом
Каждая остановка блокчейна переместила риск в другое место.
Cronos заменил каноническое состояние. Восстановление могло защитить стоимость, все еще находящуюся в юрисдикции цепочки, аннулируя активность за пределами самого эксплойта и оставляя активы в Ethereum нетронутыми.
Ontology переместил риск во время, доступность и невозможность совершать транзакции, пока расследовалась нераскрытая проблема. В его уведомлении не сообщалось о каких-либо известных потерях баланса.
ICON локализовал уязвимый контракт, а затем и цепочку, после того как хранение было перемещено. Его подтвержденный убыток остался на Фонде, в то время как восстановление замороженных ICX стало зависеть от бирж и юридических полномочий.
Один показатель децентрализации скрыл бы эти результаты. Практический тест более конкретен: является ли правило экстренной ситуации публичным? Какой порог его активирует? Останавливает ли оно новые блоки или заменяет принятое состояние? Кому принадлежат активы за пределами цепочки, когда происходит вмешательство? Кто обещал покрыть оставшиеся убытки?
Cronos и Tectonic все еще должны дать ответы в своих постмортемах. Ontology все еще предстоит раскрыть детали атаки и экстренные полномочия, а затем подтвердить, были ли выполнены его целевые критерии обновления и возобновления. Полезным сравнением является граница, которую каждая сеть провела вокруг того, чьи история, время и деньги могут быть поставлены под риск.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Liam 'Akiba' Wright
