3 yaşlı səhv 1.3 milyon dollar itkiyə səbəb oldu və 10 günlük blokçeyn dayandırılmasına səbəb oldu

Radix kodunun adi yenidən qurulması, təxminən 1.3 milyon dollar dəyərində oğurluğa imkan verən bir vault qüsuru yaratdı və daha sonra doğrulayıcıları blokçeyni dayandırmağa məcbur etdi.

Radix Fondu 17 sentyabrda bildirdi ki, RDX Works inkişaf komandası, Radix Engine-in, şəbəkə boyunca əməliyyatları icra edən və aktiv mülkiyyətini təmin edən proqram təbəqəsinin, 2023-cü ilin iyun ayında təmizlənməsi zamanı qüsuru təqdim etdi. Qüsur, 31 avqustda bir hücumçu tərəfindən istismar edilməzdən əvvəl üç ildən çox müddət ərzində aşkar edilmədi.

İcma tərəfindən hazırlanmış kitabda hücumçunun 26 əməliyyat vasitəsilə təxminən 458,915 USDC, 72,420 USDT, 61.08 ETH, 6.35 wrapped Bitcoin, 536.16 SOL və 32.91 BNB çıxardığı göstərilir. Aktivlərin 31 avqust bazar qiymətləri ilə təxminən 1.26 milyon dollar dəyərində olduğu, hücumçuların isə əməliyyat xərclərini ödəmək üçün bir vaultdan 13,000 XRD daha götürdüyü bildirildi. İki stabilcoin yalnız təxminən 531,335 dollar təşkil edirdi.

Oğurlanan aktivlər Hyperlane vasitəsilə Ethereum, BNB Chain və Solana-ya göndərildi, sonra isə ETH üçün satıldı, Radix bildirdi. Hyperlane öz dizaynına uyğun işləyirdi: hücumçu artıq Radix Engine vasitəsilə aktivləri əldə etmişdi, sonra onları başqa yerə köçürmək üçün körpüdən istifadə etdi. Heç bir şəxsi açar sındırılmamışdı.

Lakin, dərhal itki potensial açığı az göstərdi. Radix araşdırıcıları, qüsurun şəbəkədəki hər hansı bir vault-a qarşı istifadə oluna biləcəyini, hücumçunun hədəf aldığı köçürülmüş aktivlərin xaricindəki tokenlər və digər aktivlərin risk altında olduğunu müəyyən etdilər.

Nəticədə, şəbəkə doğrulayıcıları, konsensusa çatmağı və əlavə əməliyyatları dayandırmağı maneə törətmək üçün kifayət qədər payı offline vəziyyətə gətirdilər, inkişaf etdiricilər düzəliş üzərində işləyərkən.

Radix auditinin qaçırılması, baxım qüsurunu sistemik uğursuzluğa çevirdi

Qüsur, hücumçu onu tapmadan əvvəl artıq müstəqil təhlükəsizlik nəzərdən keçirməsindən sağ qalmışdı.

Zellic, 2024-cü ildə Radix protokolunu, qüsuru ehtiva edən mühərrik nüvəsini də daxil olmaqla, yoxladı. Nəzərdən keçirmə, müvafiq kodun keçən ilki yenidən qurulma zamanı təqdim edildiyi halda, səlahiyyət qüsurunu aşkar etmədi.

Qüsur, mühərrikin vault istinadlarını necə idarə etdiyini dəyişdirdi. Bir əməliyyat, başqa bir istifadəçinin vaultunu daxili ünvanı ilə tanıya bilərdi və bu istinadı məqsədli smart-kontrakt koduna ötürə bilərdi. Mühərrik, müvafiq mülkiyyət sərhədini düzgün şəkildə tətbiq etmədən adi çıxarış funksiyalarının çağırılmasına icazə verdi.

Bu, hücumçuya istifadəçi hesabları, tətbiqlər və likvidlik hovuzlarında saxlanılan aktivlərə sahib olma imkanı verdi, sahiblərin imzalarını əldə etmədən.

Fond, hücumçunun 31 avqustda UTC vaxtı ilə 16:02-dən 16:57-ə qədər 26 istismar əməliyyatı tamamladığını bildirdi. Araşdırıcılar qüsurun icra təbəqəsində, tək bir tətbiqdə deyil, mövcud olduğunu müəyyən etdikdən sonra, doğrulayıcılar əməliyyatların yekunlaşmasını dayandırmaq üçün koordinasiya etdilər.

Dayandırma 10 gündən çox davam etdi. Protokol düzəlişi, adi çıxarış üçün məhdudlaşdırılmış vault istinadının istifadə edilməsini maneə törədən yoxlamalar əlavə etdi və istifadəçi əməliyyatları 11 sentyabrda bərpa edildi, icma kitabının yenidən qurulmasına görə.

Hadisə, hücumçunun bir ticarət cütünün bir tərəfində köçürülmüş aktivləri çıxardıqdan sonra likvidlik hovuzlarında ikincil itkilərə də səbəb oldu. Distorsiya edilmiş qiymətlər, digər bir hesabın təsirə məruz qalmış hovuzlardan milyonlarla XRD çıxarmasına imkan verdi, bu da icra təbəqəsi uğursuzluğunun ilkin aktivlərin şəbəkədən çıxdıqdan sonra belə iqtisadi ziyan verməyə davam edə biləcəyini göstərdi.

Radix, geriyə dönük testlər əlavə etdiyini, təhlükəsizlik nəzərdən keçirmə prosesini gücləndirdiyini və doğrulayıcıların şəbəkə canlılığını pozmaq üçün istifadə etdiyi təcili proseduru rəsmi şəkildə tənzimlədiyini bildirdi.

Fond, gələcək təhlükəsizlik işlərinin, hücumçunun illərlə mövcud olan qüsuru müəyyən etməyə kömək edə biləcəyinə inandığı daha güclü AI dəstəyi ilə kod analizi alətlərini nəzərə alması lazım olduğunu da bildirdi.

İnkişaf etdiricilər və doğrulayıcılar üçün növbəti çağırış, oxşar adi baxım işlərinin xarici auditlərin qaçırdığı təhlükəsizlik fərziyyələrini səssizcə dəyişməsinin qarşısını almaqdır.

Bu vəzifə, istismar edilmiş kodu bərpa etməkdən daha genişdir. Radix, indi səlahiyyət məntiqinə edilən dəyişikliklər ətrafında nəzərdən keçirmə prosesini gücləndirməli, eyni zamanda, aktivlərinin bu sərhədləri düzgün tətbiq etməsinə bağlı olan istifadəçilər və likvidlik təminatçıları arasında etimadı bərpa etməlidir.

Bu məzmun yalnız ümumi məlumat məqsədilə təqdim olunur və maliyyə, investisiya, hüquqi və ya vergi məsləhəti hesab edilməməlidir. Burada qeyd olunan hər hansı tədbir, mükafat, onlayn kampaniya və ya əlaqəli məlumat hər hansı kriptoaktivin alınması, satılması, treydinqi və ya digər əməliyyatların aparılması üçün tövsiyə, təşviq və ya dəvət kimi qiymətləndirilməməlidir. Kriptoaktivlər yüksək dəyişkənliyə malikdir və maliyyə itkisinə səbəb ola bilər. WEEX-in xidmətləri, məhsulları və əlaqəli tədbirlərinin əlçatanlığı regiondan asılı olaraq dəyişə bilər. İştirakınızın yerli qanunvericilik və tənzimləyici tələblərə uyğun olmasını təmin etmək sizin məsuliyyətinizdir.