Auditoriyadan kənar baş verən hücumlar nəticəsində 885 milyon dollar itirən auditi keçmiş DeFi protokolları

Mərkəzləşdirilməmiş maliyyə (DeFi) sahəsində "auditoriyadan keçmiş" tez-tez bir layihənin tamamilə qiymətləndirilməsi kimi təqdim olunur. Praktikada, audit adətən müəyyən bir vaxtda adlandırılmış kod, komponentlər və versiyalarla məhdudlaşır. O sərhəddən əlavə edilən, istisna edilən və ya işlənən hər şey fərqli bir təminat səviyyəsi daşıya bilər.

Yeni bir ön çap bu boşluğu rəqəmlərlə göstərir. Təhlükəsizlik şirkəti ack3 və Praqadakı Çex Texniki Universiteti ilə əlaqəli tədqiqatçılar 2026-cı ilin birinci yarısında baş vermiş 135 hadisəni araşdırdılar, bunların nəticəsində 939.86 milyon dollar itki olduğu bildirildi. Onlar 68 hadisə üçün tanınan ictimai ön auditləri müəyyən etdilər.

Bu 68 hadisə alt qrupunda, müəlliflər 46 hücum yolunu müəyyən edə bildikləri hər bir audit çərçivəsindən kənarda, 20-ni isə ən azı bir çərçivə daxilində, iki hadisəni isə həll edilməmiş olaraq təsnif etdilər. Kənar çərçivə qrupu hadisələrin 67.6%-ni, lakin bildirilen itkilərin 94.4%-ni təşkil edirdi.

Bu diqqət çəkici faiz, auditin effektivliyinin bir qiymətləndirməsi və ya auditin sərhədlərinin itkiyə səbəb olduğunu sübut etmir. Bu, seçilmiş bir hadisə dəstində itkilərin paylanmasını təsvir edir. İki böyük hadisə də burada dominantdır: Kelp DAO-dan 292 milyon dollar və Drift Protocol-dan 285 milyon dollar çıxarıldıqdan sonra, kənar çərçivə payı eyni audit edilmiş hadisə alt qrupunda itkilərin 72.1%-ə düşür.

Bu məhdudiyyətlərə baxmayaraq, tədqiqat əsas bir təminat problemini ortaya qoyur. Bir layihə, istifadəçilərin canlı sistemin, onların fondlarını saxlayan yolun və onun ətrafındakı nəzarətlərin yoxlanılıb-yoxlanılmadığını bilmək imkanını itirərək, dürüstcə audit edildiyini söyləyə bilər.

Məlumatın əslində nəyi göstərdiyi

ack3 məlumat dəsti 1 yanvar - 29 iyun tarixləri arasındakı hadisələri əhatə edir. Müəlliflər 122 hadisəni təsdiqlənmiş, 13-ünü isə ehtimal olunan olaraq qiymətləndirdilər. Tam dəstdən 35 hadisənin müəyyən edilmiş auditi yox idi və 32 hadisənin audit tarixi məlum deyildi, buna görə də hər iki qrup 68 hadisə çərçivəsi hesablamasında görünmür.

Bu 68 hadisə qrupu üçün, kənar çərçivə hadisələri 721.24 milyon dolların 680.97 milyon dollarını təşkil edirdi, bu da 94.4% rəqəmini ortaya qoyur. Kelp DAO və Drift Protocol çıxarıldıqdan sonra 144.24 milyon dolların 103.97 milyon dolları kənar çərçivədə qaldı, yəni 72.1%. Maşın oxuna bilən kitabça sayım və itki cəmlərini təkrarlayır.

Daxil və ya xaric etiketləri tədqiqatçıların ictimai sübutlar haqqında verdiyi qiymətləndirmələrdir. Onlar layihə və auditor arxivlərini araşdırdılar, ön hadisə hesabatlarını tapdılar və son hücum yollarını yoxlanılan kod, versiyalar və istisnalarla müqayisə etdilər. İş, məlumat dəsti nəşri ilə hazırlanmış altı səhifəlik bir ön çapdır və iki müəllif ack3 ilə əlaqəlidir, bu da təhlükəsizlik icmalları satır.

Tədqiqat həmçinin istismar edilməmiş müqayisə qrupunun və hər sistemin nə qədər müddətə açıq qaldığını ölçən bir göstəricinin olmaması ilə də çatışmır. Audit edilmiş protokolların ümumilikdə daha təhlükəsiz olub-olmadığını, hadisə ehtimalını qiymətləndirmək və ya kənar çərçivədən düşmənin hər bir itkiyə səbəb olub-olmadığını müəyyən edə bilmir. Məlum olmayan auditlər və özəl hadisələr itkin ola bilər, eyni zamanda bildirilen itki rəqəmləri mükəmməl müqayisə edilə bilən deyil.

Bu səbəbdən, tədqiqat məhdud bir nəticəni dəstəkləyir: audit tarixi və audit çərçivəsi fərqli dəyişkənlərdir. Yoxlanılmış ağıllı müqavilə avtomatik olaraq bir yeniləməyə, imtiyazlı açara, ön tərəfə, relayerə, oracle-a, bulud xidmətinə və ya hadisə cavab prosesinə eyni təminatı vermir.

Avqustdan iki hadisə bu fərqi fərqli yollarla göstərir. ICON Network, iki yoxlama arasında sərhədin kəsilməsinin birbaşa nümunəsini təqdim edir. Avqust aelf hadisəsi, mövcud audit sübutlarının hələ də bildirilen işləmə yoluna bağlana bilmədiyi bir ziddiyyətli vəziyyətdir.

ICON Network-in 27 avqust tarixli təkrar istismarında, iki çıxarış yolunun eyni mesajı fərqli şəkildə şərh etdiyi baş verdi.

ICON Təşkilatının 30 avqust tarixli hesabatına görə, köçürmə müqaviləsi, unikal olub-olmamasını müəyyən etmək üçün bir çıxarış mesajının seriya nömrəsinin yüksək bitlərini istifadə edib. Kriptovalyuta imzası yalnız aşağıdakı 256 biti əhatə edirdi. Yüksək bitləri dəyişdirərək, bir hücumçu iki qanuni imzalanmış çıxarış mesajını 20 dəqiqə ərzində 1,492 dəfə yenidən təqdim etdi. ICON, 1,490 çağırışın müvəffəqiyyətlə başa çatdığını bildirdi.

ICON-un qaçırdığı auditi sərhədi

Yenidən təqdimatlar 119.866 milyon ICX və 531,600 bnUSD sərbəst buraxdı. Hesabatın hazırlandığı vaxtda, ICON təsdiqlənmiş xalis itkiyi təxminən 150.2 ETH və 31,204 USDC olaraq qiymətləndirdi. 531,600 bnUSD və 1.366 milyon SODA-nın bərpa edildiyini, istifadəçi depozitləri, balansları və mövqelərinin təsirlənmədiyini bildirdi.

ICON, köçürmə müqaviləsinin xarici auditdən keçdiyini və tövsiyələrin həyata keçirildiyini, o cümlədən eyni sahədə dəyişikliklərin edildiyini qeyd etdi. Eyni zamanda, müvafiq relay məntiqinin xüsusi bir nəzərdən keçirildiyini də bildirdi. SODAX audit arxivi, noyabr 2025 relay auditi də daxil olmaqla, müxtəlif komponentlər üzrə səkkiz hesabatı siyahıya alır.

Bununla belə, hesabatda unikal yoxlama ilə imzalanmış dəyər arasındakı dəqiq uyğunsuzluğun bu tapıntılardan kənarda qaldığı qeyd edildi. Layihə səviyyəsində bir nişan, istifadəçiyə çıxarış yolunun hər iki tərəfində mesajı unikal edən şeylərə razı olub-olmadığını bildirə bilməzdi.

Cavab zaman çizelgesi ikinci bir sərhəd əlavə edir. ICON-un ilk avtomatlaşdırılmış xəbərdarlığı UTC üzrə 02:08-də, istismar başladıqdan təxminən yeddi dəqiqə sonra işə düşdü. İşçilər 03:40-da araşdırma açdılar, 03:53-də təsirlənmiş müqaviləni dayandırdılar və 06:18:54-də şəbəkəni dayandırdılar.

ICON, ilk xəbərdarlıq ilə tam hadisə cavabı arasındakı təxminən 90 dəqiqəlik boşluğu xəbərdarlıq tənzimləməsinə bağladı. Xəbərdarlıq sinfi, əlaqəsiz bağlantı hadisələri zamanı yanlış müsbət nəticələr vermişdi və lazım olan ciddilikdə çağırış qrupunu xəbərdar etməmişdi. Təşkilat, avtomatik bağlanma tetikleyicisi, aşağı dövr qırıcı eşikləri və mesajın unikalığı və yenidən təqdimat qoruyucuları üzərində fokuslanmış bir təqib nəzərdən keçirməyi planlaşdırdığını bildirdi.

Bu nəzarətlər auditin yerini tutmur. Onlar fərqli bir sual üçün sübut təqdim edir: qarşısını almaq uğursuz olduqda, aşkar etmə nə qədər tez məhdudlaşdırmaya çevrilə bilər?

aelf, təminatın niyə aktual qalmalı olduğunu göstərir

aelf-in avqust hadisəsi, arqumenti başqa bir istiqamətdən test edir. Onun ictimai qeydi, bir iş vaxtı pozuntusunu və nəzarət olunan bərpanı təsvir edir, lakin hadisəni spesifik bir əvvəlki auditin içində və ya kənarında yerləşdirmək üçün kifayət qədər sübut təqdim etmir.

Şirkət avqustun 18-də şəbəkəni dayandırdığını elan etdi. Avqustun 26-da irəliləyiş yeniləməsində, aelf, icazəsiz bir ağıllı müqavilənin tranzaksiya parametrlərini istifadə edərək kodlanmış .NET toplanmalarını və təlimatlarını düyün icra yolu ilə təqdim edə biləcəyini bildirdi.

Müvəqqəti hesab, hadisəni iş vaxtı əks etdirilməsi və dinamik yükləmə üçün yoxlamalardakı boşluqlarla, eləcə də müqavilə icrası ilə həssas düyün və infrastruktur resursları arasında zəif izolyasiya ilə əlaqələndirdi. aelf, ev sahibi komanda icrası, cəhd edilmiş xarici əlaqə, düyün açarı girişi və infrastruktur kəşfiyyatı da daxil olmaqla, 155 əlaqəli tranzaksiyanı və beş unikal yük toplanmasını müəyyən etdi.

İmkan təsdiqlənmiş icra ilə eyni deyil. aelf, yükün hər bir toplusunun işlədiyini, hədəflənmiş etimadnamələrin əldə edildiyini və ya həssas məlumatların sistemlərindən çıxdığını sübut etmədiyini bildirdi. Şirkət, potensial ifşa standartı altında imza açarlarını və infrastruktur etimadnamələrini dövriyyəyə alır.

İctimai status 11 sentyabrda müvəqqəti olaraq qaldı: aelf-in blog indeksi 26 avqustdan sonra dərc edilmiş heç bir hadisəyə aid maddə ehtiva etmir. 26 avqust tarixli bəyanat, başqa bir yeniləməyə və nəticədə son bir icmalın təqdim edilməsinə söz verdi.

aelf-in təhlükəsizlik sənədləri, onun blokçeyn və ELF token müqavilələrinin bir neçə auditdən keçdiyini və heç bir təhlükəsizlik problemi aşkar edilmədiyini bildirir. Lakin mövcud səhifələr, konkret bir hadisədən əvvəlki hesabatı avqustda təsvir edilən icra yolu ilə bağlamır. Hadisəni ya auditin qaçırılması, ya da xarici çərçivədən kənar bir uğursuzluq adlandırmaq, buna görə də sübutları aşar.

Bu qeyri-müəyyənlik özü də faydalıdır. Tarixli audit tarixi, bir sistemin cari kodu, asılılıqları və əməliyyat vəziyyətindən ayrılmış ola bilər. İstifadəçilər, bu dəyişiklikləri ortaya çıxarmaq üçün versiyalı və spesifik bir təminat qeydinə ehtiyac duyurlar.

Belə bir qeyd, nəzərdən keçirilmiş anbarı və öhdəliyi, yerləşdirilmiş ünvanları, istisna edilmiş komponentləri, imtiyazlı rolları və asılılıqları adlandırmalıdır. Eyni zamanda, nəzərdən keçirildikdən sonra yeniləmələri, açar mühafizəsini və dövriyyəsini, icra izolyasiyasını, xəbərdarlıq və dövrə qırıcı davranışını, təsdiqlənmiş itki ilə dondurulmuş və ya həll olunmamış ifşanı ayıran tarixli bərpa statusunu da qeyd etməlidir.

Bu, auditin dəyərini azaltmır. Bu, iddianı görülən işə nisbətən mütənasibləşdirir və bu işi indiki sistemlə bağlayır.

Bir audit nişanı, nəzərdən keçirilmiş artefaktın, yerləşdirilmiş sistemin və uğursuzluğa cavab verən mexanizmin hələ də eyni təhlükəsizlik sərhədini paylaşdığını söyləyə bilmir.

Bu məzmun yalnız ümumi məlumat məqsədilə təqdim olunur və maliyyə, investisiya, hüquqi və ya vergi məsləhəti hesab edilməməlidir. Burada qeyd olunan hər hansı tədbir, mükafat, onlayn kampaniya və ya əlaqəli məlumat hər hansı kriptoaktivin alınması, satılması, treydinqi və ya digər əməliyyatların aparılması üçün tövsiyə, təşviq və ya dəvət kimi qiymətləndirilməməlidir. Kriptoaktivlər yüksək dəyişkənliyə malikdir və maliyyə itkisinə səbəb ola bilər. WEEX-in xidmətləri, məhsulları və əlaqəli tədbirlərinin əlçatanlığı regiondan asılı olaraq dəyişə bilər. İştirakınızın yerli qanunvericilik və tənzimləyici tələblərə uyğun olmasını təmin etmək sizin məsuliyyətinizdir.