6.8 milyard dollar xəbərdarlığı: DeFi hücumlarının əksəriyyəti audit sahəsindən kənardadır

Müəllif: Liam 'Akiba' Wright, cryptoslate

Tərcümə: Chopper, Foresight News

Mərkəzləşdirilməmiş maliyyə sahəsində, "audit edilmiş" tez-tez bir layihənin təhlükəsizliyinə dair bir zəmanət kimi qəbul edilir. Lakin əslində, audit adətən yalnız müəyyən bir vaxt, təyin olunmuş kod, komponentlər və versiyalarla məhdudlaşır. Bu çərçivədən kənarda əlavə edilən, silinən və ya əməliyyat edilən hər hansı bir məzmunun audit nəticələri tamamilə fərqli ola bilər.

Yeni bir ön çap məqaləsi bu fərqin konkret rəqəmlərini təqdim edir. Təhlükəsizlik şirkəti ack3 və Praqa Çex Texniki Universitetinin müvafiq tədqiqatçıları 2026-cı ilin ilk yarısında baş vermiş 135 təhlükəsizlik hadisəsini analiz edərək, bu hadisələrin səbəb olduğu ziyanın 9.3986 milyard dollar olduğunu aşkar ediblər. Onlar bu hadisələrdən 68-nin tanınan açıq əvvəlki audit qeydlərinə malik olduğunu tapıblar.

Bu 68 hadisə nümunəsində, tədqiqatçılar 46 hücum yolunu tamamilə heç bir audit çərçivəsində olmadığını təsnif etdilər; 20 hadisə ən azı bir audit çərçivəsində idi; qalan 2 hadisə isə müəyyən edilə bilmədi. Audit çərçivəsindən kənar hadisələr ümumi hadisələrin 67.6%-ni təşkil edir, lakin bu hadisələrin səbəb olduğu ziyan, hesabat ziyanın 94.4%-ni təşkil edir.

Bu heyrətamiz nisbət auditin effektivliyinin qiymətləndirilməsi deyil, eyni zamanda audit çərçivəsinin məhdudiyyətlərinin ziyana səbəb olduğu sübut deyil. Bu yalnız seçilmiş açıq təhlükəsizlik hadisələri nümunəsindəki ziyan bölgüsünü təmsil edir. İki böyük hadisə verilənlərə böyük təsir göstərir: Kelp DAO-nun 2.92 milyard dollar ziyanını və Drift Protocol-un 2.85 milyard dollar ziyanını çıxardıqdan sonra, eyni qrupda audit edilmiş nümunələrdə audit çərçivəsindən kənar hücumların səbəb olduğu ziyan nisbəti 72.1%-ə düşür.

Yuxarıda qeyd olunan məhdudiyyətlərə baxmayaraq, bu tədqiqat bir əsas təhlükəsizlik etimad problemini ortaya qoyur: bir layihə audit edilmiş olduğunu iddia edir, lakin istifadəçilər faktiki işləyən sistemin, maliyyə axınının və müvafiq nəzarət tədbirlərinin yoxlanılıb-yoxlanılmadığını bilmək imkanına malik deyillər.

Verilənlərin həqiqi mənası

ack3-ün bu tədqiqatı 2026-cı ilin 1 yanvarından 29 iyununa qədər 122 təsdiqlənmiş hücum hadisəsi, 13 şübhəli hadisəni əhatə edir. Bütün nümunələrdə 35 hadisə üçün audit qeydi tapılmadı, 32 hadisənin audit tarixi məlum deyil, bu iki kateqoriya yuxarıda qeyd olunan 68 hadisənin statistik çərçivəsinə daxil edilmir.

68 hadisə nümunəsində, audit çərçivəsindən kənar hadisələrin səbəb olduğu ziyan 6.8097 milyard dollar, ümumi ziyan isə 7.2124 milyard dollar təşkil edir, bu da 94.4% bu rəqəmi ortaya qoyur. Kelp DAO və Drift Protocol-u çıxardıqdan sonra, audit çərçivəsindən kənar ziyan 1.0397 milyard dollar, ümumi ziyan 1.4424 milyard dollar, nisbət isə 72.1%-dir. Verilənlər toplusunun json faylı hadisələrin təsnifat sayı və ziyan məbləğini təkrarlaya bilər.

"Audit çərçivəsində / kənarda" etiketi, tədqiqatçıların açıq sübutlara əsaslanaraq verdiyi qərardır. Tədqiqat qrupu layihə və audit təşkilatlarının arxivlərini araşdıraraq, hücumdan əvvəlki audit hesabatlarını tapmış, son hücum yolunu yoxlanılan kod, versiya və auditin istisna etdiyi maddələrlə müqayisə etmişdir. Bu tədqiqat 6 səhifəlik ön çap məqaləsidir və verilənlər toplusunun yayımlanması ilə birgə hazırlanmışdır, iki müəllif təhlükəsizlik audit şirkəti ack3-ə aiddir.

Bu tədqiqat, hücuma məruz qalmayan bir müqayisə qrupu olmadan, həmçinin müxtəlif sistemlərin riskə məruz qalma müddətini hesablamaqdan məhrumdur. Buna görə də, audit edilmiş protokolların ümumilikdə daha təhlükəsiz olduğunu sübut etmək mümkün deyil, hadisələrin baş vermə ehtimalını qiymətləndirmək mümkün deyil, həmçinin "audit çərçivəsindən kənar" hər bir ziyanın birbaşa səbəbi olduğunu təsdiqləmək mümkün deyil. Bəzi açıqlanmayan auditlər və xüsusi hadisələr itirilmiş ola bilər, həmçinin hesabat olunan ziyan məlumatları tam olaraq müqayisə edilə bilən deyil.

Buna görə də, bu tədqiqat yalnız məhdud nəticələr çıxara bilər: audit qeydləri və audit əhatə dairəsi iki müstəqil göstəricidir. Bir audit edilmiş ağıllı müqavilə, müqavilənin yenilənməsi, xüsusi açar, ön tərəf, relayer, oracle, bulud xidməti və ya təcili cavab prosesinin eyni təhlükəsizlik təminatını əldə etdiyini ifadə etmir.

Avqust ayında baş vermiş iki hadisə bu fərqi müxtəlif tərəflərdən təsdiqlədi. ICON Network hadisəsi, iki audit edilmiş kodun iki yoxlama mərhələsinin sərhədindəki uğursuzluğu açıq şəkildə nümayiş etdirir; avqust ayındakı aelf təhlükəsizlik hadisəsi isə başqa bir vəziyyətdir, mövcud audit sübutları hələ də hücumun icra yolu ilə əvvəlki audit çərçivəsini uyğunlaşdırmağa imkan vermir.

ICON Network: Audit sərhədindəki uğursuzluq nümunəsi

Avqustun 27-də ICON Network-un təkrarlama hücumunda, çıxarış zəncirinin iki modulu eyni mesajın şərhini fərqli şəkildə təqdim etdi.

ICON Fondunun sonrakı hesabatına görə: köçürmə müqaviləsi, çıxarış mesajı ardıcıllığının yüksək bitini mesajın unikal olub-olmadığını müəyyən etmək üçün istifadə edir; lakin kripto imzası yalnız ardıcıllığın aşağı 256 bitini əhatə edir. Hücum edən şəxs, imza yoxlamasına daxil edilməyən yüksək bitləri dəyişdirərək, təxminən 20 dəqiqə ərzində iki qanuni imzalanmış çıxarış mesajını 1492 dəfə təkrarladı, bunlardan 1490 dəfə icra uğurla başa çatdı.

Bu təkrarlama hücumu 1.19866 milyon ICX və 531600 bnUSD buraxdı. Hesabat yayımlandıqda, ICON təxminən 150.2 ETH və 31204 USDC itki təsdiqlədi. Fond, 531600 bnUSD və 136.6 min SODA aktivinin geri alındığını, istifadəçi depozitləri, hesab balansları və mövqelərin təsir görmədiyini bildirdi.

ICON, bu köçürmə müqaviləsinin xarici auditdən keçdiyini və audit tövsiyələrini həyata keçirdiyini, eyni modul bölgəsində müvafiq dəyişiklikləri həyata keçirdiyini bildirdi; müvafiq relayer məntiqi də ayrıca xüsusi yoxlamadan keçmişdir. Sodax inkişaf sənədləri audit siyahısında müxtəlif komponentləri əhatə edən 8 hesabat var, bunlardan biri 2025-ci ilin noyabrında Sodax relayer audit hesabatıdır.

Lakin hesabatda qeyd olunur ki, unikal yoxlama məntiqi ilə imza yoxlama dəyəri arasındakı dəqiq uyğunsuzluq, yuxarıda qeyd olunan auditin aşkar etdiyi sahəyə daxil deyil. Sadə bir "audit edilmiş" layihə etiketi, istifadəçilərə çıxarış zəncirinin iki ucunun "mesajın unikal olması" ilə bağlı qərar standartlarının eyni olub-olmadığını bildirmir.

Cavab vaxtı xətası başqa bir sərhəd problemini ortaya qoyur. ICON-un ilk avtomatlaşdırılmış xəbərdarlığı UTC vaxtı 02:08-də aktivləşdi, hücumun başlanmasından təxminən 7 dəqiqə sonra. İşçilər 03:40 civarında araşdırmaya başladılar, 03:53-də təsirə məruz qalmış müqaviləni dayandırdılar, 06:18:54-də isə bütün şəbəkəni dayandırdılar.

İlk xəbərdarlıqdan tam fövqəladə vəziyyətə qədər, arada təxminən 90 dəqiqəlik bir fasilə var. ICON, xəbərdarlıq mexanizminin tənzimlənməsinə səbəb olduğunu bildirir, bu xəbərdarlıq qaydası keçmiş şəbəkə əlaqə nasazlıqlarında çox sayda yanlış xəbərdarlıq yaratdığı üçün, növbədə olan işçilərə yüksək prioritetlə bildirilmir. Fond avtomatik dayandırma mexanizmini tətbiq etməyi, ərimə həddini azaltmağı və mesajın unikal olması ilə təkrarlama qorunması üzrə xüsusi bir yenidən yoxlama aparmağı planlaşdırır.

Bu cür risk idarəetmə mexanizmləri auditin yerini tuta bilmir, lakin bu, başqa bir əsas sualı cavablandırır: qarşısının alınması tədbirləri uğursuz olduqda, sistem riskləri sürətlə aşkar edə və izolyasiya edə bilirmi?

İstifadəçilərin hələ də aydın cavab verməli olduğu təhlükəsizlik sualları

aelf: Təhlükəsizlik təminatı davamlı yenilənməlidir

aelf-in avqust ayında baş vermiş təhlükəsizlik hadisəsi, yuxarıda qeyd olunan fikri başqa bir tərəfdən təsdiqləyir. Açıq məlumatlar, işləmə zamanı müdaxilə və nəzarət altında bərpa olunma baş verdiyini təsvir edir, lakin mövcud sübutlar hücum yolunun əvvəlki xüsusi audit çərçivəsində olub-olmadığını müəyyən etmək üçün kifayət deyil.

Layihənin rəsmi bəyanatında qeyd olunur: icazəsiz bir ağıllı müqavilə mövcuddur ki, bu da tranzaksiya parametrlərindən istifadə edərək, kodlaşdırılmış .NET proqramını və əmrləri düyün icra zəncirinə daxil edə bilir.

İlkin araşdırma hesabatı hadisəni işləmə zamanı əks etdirən və dinamik yükləmə yoxlamasında çatışmazlıqlar olduğunu bildirir, eyni zamanda müqavilə icra mühiti və həssas düyünlər, infrastruktur resursları arasında ayrılma çatışmazlığı var. aelf, 155 müvafiq tranzaksiyanı, 5 müstəqil yük proqramını müəyyən edib, bu yük proqramları əsas ev sahibi əmrlərini icra etmək, xarici əlaqə qurmağa çalışmaq, düyün açarlarına, infrastruktur kəşfiyyatına daxil olmaq kimi imkanlara malikdir.

İmkanların olması, bütün yük proqramlarının icrasının uğurlu olduğunu təsdiqləmir, həmçinin hücum edən şəxsin bütün hədəf sübutlarını əldə etdiyini, həssas məlumatların sızdığını göstərmir. aelf, mümkün sızma standartlarına uyğun olaraq imza açarlarını və infrastruktur sübutlarını dəyişdirdiyini bildirir.

Sentabrın 11-nə qədər, bu nəticə hələ də mərhələli qiymətləndirmədir. aelf-in rəsmi bloqu avqustun 26-dan sonra bu hadisə ilə bağlı xüsusi yeniləmələr yayımlamayıb. Avqustun 26-da verilən bəyanatda, sonrakı yeniləmələr və sonrakı araşdırmaların yayımlanacağına söz verilib.

aelf-in texniki təhlükəsizlik sənədində, onun blokçeyninin və ELF token müqaviləsinin bir neçə dəfə audit edildiyi, təhlükəsizlik problemi aşkar edilmədiyi qeyd olunur. Lakin mövcud açıq səhifələr, avqust hücumunun icra yolunu əvvəlki audit hesabatı ilə uyğunlaşdırmağa imkan vermir. Buna görə də, hadisəni auditin çatışmazlığı və ya audit çərçivəsindən kənar bir uğursuzluq kimi təsnif etmək üçün kifayət qədər sübut yoxdur.

Bu qeyri-müəyyənlik özü də istinad dəyərinə malikdir. Bir zaman damğalı audit hesabatı, tədricən cari sistem kodu, asılı kitabxanalar, faktiki əməliyyat vəziyyəti ilə əlaqəsiz olacaq. İstifadəçilər bu fərqi əks etdirmək üçün versiyalı təhlükəsizlik qeydi tələb edirlər.

Bu təhlükəsizlik qeydi aşağıdakıları qeyd etməlidir: yoxlanılan anbar və kod təqdim versiyası, yerləşdirilmiş müqavilə ünvanı, istisna edilən komponentlər, xüsusi rollar, asılı kitabxanalar; eyni zamanda audit tamamlandıqdan sonra müqavilə yeniləmələri, açarların idarə edilməsi və dəyişdirilməsi mexanizmləri, icra zamanı ayrılma strategiyaları, xəbərdarlıq və ərimə mexanizmləri, həmçinin zaman damğalı aktivlərin bərpa vəziyyəti, təsdiqlənmiş ziyan, dondurulmuş aktivlər və hələ də həll olunmamış risk açığı arasında fərq qoyulmalıdır.

Bu, auditin dəyərini inkar etmir, əksinə auditin tanıtımını və faktiki iş məzmununu uyğunlaşdırır və cari işləyən sistemlə əlaqələndirir.

Bir audit nişanı, yoxlanılan komponentlərin, yerləşdirilmiş sistemlərin və nasazlıqlara cavab mexanizmlərinin eyni təhlükəsizlik sərhədində olub-olmadığını cavablandırmır.

Bu məzmun yalnız ümumi məlumat məqsədilə təqdim olunur və maliyyə, investisiya, hüquqi və ya vergi məsləhəti hesab edilməməlidir. Burada qeyd olunan hər hansı tədbir, mükafat, onlayn kampaniya və ya əlaqəli məlumat hər hansı kriptoaktivin alınması, satılması, treydinqi və ya digər əməliyyatların aparılması üçün tövsiyə, təşviq və ya dəvət kimi qiymətləndirilməməlidir. Kriptoaktivlər yüksək dəyişkənliyə malikdir və maliyyə itkisinə səbəb ola bilər. WEEX-in xidmətləri, məhsulları və əlaqəli tədbirlərinin əlçatanlığı regiondan asılı olaraq dəyişə bilər. İştirakınızın yerli qanunvericilik və tənzimləyici tələblərə uyğun olmasını təmin etmək sizin məsuliyyətinizdir.