On-Chain-Rollbacks können gestohlene Vermögenswerte nicht retten?

Drei öffentliche Blockchains haben den Betrieb kurzfristig eingestellt und zeigen die realen Einschränkungen der Notfallbefugnisse auf der Blockchain auf.

Verfasst von: Liam 'Akiba' Wright

Übersetzung: Saoirse, Foresight News

Innerhalb von vier Tagen haben drei Blockchain-Netzwerke nacheinander den Blockbetrieb eingestellt. Jede dieser Netzwerkausfälle nutzte völlig unterschiedliche Notfallbefugnisse, wobei nur Cronos einen Teil der offiziellen Kettenhistorie umschrieb.

Cronos gab an, dass das Tectonic-Protokoll aufgrund eines Sicherheitsvorfalls angegriffen wurde. Die Validierungs-Knoten schlossen das Netzwerk über einen Konsensmechanismus und stellten die Kette auf den Zustand vor dem Angriff zurück, indem sie den Blockbetrieb ab Blockhöhe 90.896.189 wieder aufnahmen. Diese Maßnahme stoppte nicht nur den Blockbetrieb, sondern änderte auch direkt den Kettenstatus. Transaktionen und Statusänderungen, die nach dem Wiederherstellungspunkt stattfanden, gehören nicht mehr zur offiziellen Hauptkette nach dem Neustart.

Ontology und ICON hingegen verwendeten ein anderes Notfallverfahren. Ontology stellte die Blockproduktion ein, bevor böswillige Angriffe bestätigt wurden. In ihrem Update vom 1. September wurde erklärt, dass diese böswilligen Aktivitäten keine Verluste für die Benutzer verursacht hätten. ICON pausierte zunächst den angegriffenen Vertrag und stellte dann das gesamte Netzwerk ein; die Stiftung erklärte, dass das Netzwerk während der Migrationsphase unter ihrer Kontrolle stand, zu diesem Zeitpunkt waren die meisten gestohlenen ICX bereits auf Treuhandkonten von Börsen transferiert worden.

Die Stilllegung der Blockchain ist nur die erste Kontrollmaßnahme. Das tiefere Problem ist: Wer hat das Recht, das Netzwerk abzuschalten? Können sie den bestätigten Kettenstatus ändern? Welche Verluste sind unwiderruflich, wenn Gelder über Ketten hinweg transferiert oder in zentralisierte Treuhandstellen gelangen?

Die Informationen über die Notfallmaßnahmen, die durch das Netzwerk ausgelöst wurden, zeigen die Risiken der Wiederherstellung auf. Cronos' Tectonic-Vulnerability-Angriff führte zur Schließung des Netzwerks und zur Wiederherstellung des Kettenstatus vor dem Vorfall; die Wiederherstellungsankündigung gab keine Abstimmungsdaten und Schwellenwerte für die Überprüfung der Kettenaktivitäten nach dem Checkpoint bekannt; Gelder, die auf Ethereum transferiert wurden, fallen nicht unter die Kontrolle von Cronos; die endgültige Verluststatistik des Tectonic-Protokolls ist noch nicht abgeschlossen. Ontology entdeckte potenzielle Risiken bei der täglichen Inspektion und pausierte präventiv die Blockproduktion, ohne einen Rollback durch das Kernentwicklungsteam, das technische Team und die Validierungs-Knoten durchzuführen; die Schwellenwerte für die Notfallmaßnahmen und die während der Netzwerkaktualisierung nicht ausführbaren Transaktionen wurden nicht offengelegt; es wurden keine Verluste für Benutzervermögen festgestellt. ICON stellte fest, dass der Migrationsvertrag eine Wiederholungsanfälligkeit aufwies, pausierte zunächst den Vertrag und stellte dann das gesamte Netzwerk ein. Während der Migrationsphase wurde das Netzwerk von der Stiftung kontrolliert, die Anzahl der Kernvalidierungsknoten wurde reduziert, und die Verluste wurden von der Stiftung getragen; ob die in Börsen gehaltenen ICX zurückgeholt werden können, hängt von den Treuhändern, dem rechtlichen Prozess und den Strafverfolgungsbehörden ab.

Vergleich der Notfallmaßnahmen von Cronos, Ontology und ICON

Cronos: Vom Stillstand zur Änderung des Kettenstatus

Cronos bezeichnete die Behandlung dieses Vorfalls als „Notfallmaßnahmen durch Konsens der Validierer“. Die Wiederherstellungsankündigung vom 31. August zeigt, dass das Netzwerk am 30. August um 23:49:01 UTC den Blockbetrieb von Blockhöhe 90.896.189 wieder aufnahm und der Kettenstatus auf den Zustand vor dem Tectonic-Vulnerability-Angriff zurückgesetzt wurde.

Die Stilllegungsmaßnahmen von Cronos bedeuten, dass Entscheidungen über die Verteilung von Interessen am Wiederherstellungspunkt getroffen wurden. Nach dem Checkpoint wurden alle mit der Schwachstelle verbundenen Kettenstatus sowie alle irrelevanten Transaktionen aus der offiziellen Kette gelöscht. Die Wiederherstellungsankündigung enthielt keine Transaktionslisten, Statistiken zu Validierungsknoten, Abstimmungsgewichtungen oder Listen der teilnehmenden Knoten. Cronos versprach, einen Nachbericht zu veröffentlichen, der den Behandlungsprozess und den technischen Einflussbereich vollständig erklärt.

Sogar die tatsächliche Größe der Vermögenswerte, die durch diese Intervention geschützt wurden, ist noch unklar. TRM Labs schätzte, dass nach der Manipulation des TONIC-Token-Preises Vermögenswerte im Wert von etwa 75 Millionen USD ausgeliehen wurden; davon flossen etwa 6 Millionen USD nach Ethereum, während etwa 68,7 Millionen USD innerhalb der Cronos-Kette zurückgeholt wurden. Die Statistiken von Bitquery geben eine höhere Gesamtabflussgröße an, mit etwa 8,3 Millionen USD, die nach Ethereum flossen, und insgesamt 10.961 Blöcke, die ungültig gemacht wurden.

Die beiden statistischen Ansätze beziehen sich auf unterschiedliche Objekte, die endgültigen Verlustdaten des Tectonic-Teams stehen noch aus. Aber eines ist bereits sehr klar: Die Rückholung von Cronos kann nur den Status wiederherstellen, der noch innerhalb dieser Kette verbleibt; die Vermögenswerte auf der Ethereum-Kette unterliegen nicht ihrer Kontrolle.

Der Vermögensverwertungsplan von Tectonic lässt weiterhin Fragen zu den Benutzerkonten offen. Das Protokoll gab an, dass es die Funktionen für Abhebungen und Rückzahlungen von Krediten priorisieren werde, während Einzahlungen und neue Kredite pausiert werden. Dieser Plan bietet den Benutzern einen Ausstiegs- und Entschuldungsweg, aber ob die Kapitalgeber den vollen Betrag zurückerhalten können, ist noch nicht bestätigt. Der Nachbericht von Tectonic muss auch die Schwachstellenprinzipien, den Gesamtabfluss von Geldern, die Höhe der faulen Kredite, die zurückgeholten Vermögenswerte und die verbleibenden Schulden klären.

Der Fortschritt der Wiederherstellung verschiedener Infrastrukturen und der Neustart des Kettenkonsenses sind nicht synchron. Cronos weist darauf hin, dass verschiedene Protokolle, Brücken, Block-Explorer und RPC-Dienste länger für die Wiederherstellung benötigen. Die Statusseite von Alchemy dokumentiert ebenfalls separat diesen Stillstand und die anschließende Wiederherstellung. Das Kettennetzwerk kann offiziell neu gestartet werden, aber die verschiedenen Dienste, die darauf angewiesen sind, sind möglicherweise noch nicht bereit.

Ontology: Stillstand nur, um Zeit für die Behandlung zu gewinnen, keine Transaktionen werden zurückgezogen

Die Maßnahmen von Ontology wurden ergriffen, bevor böswillige Aktivitäten bestätigt wurden. Das Netzwerk gab an, dass das Kernentwicklungsteam bei täglichen Inspektionen potenzielle Sicherheitsrisiken entdeckte und sofort die Blockproduktion einstellte, um eine Systemprüfung durch das technische Team und die Validierungsknoten durchzuführen.

Das Update vom 1. September besagt, dass die Überprüfung böswillige Angriffe bestätigte, das Hauptnetz weiterhin stillgelegt wird, um Schwachstellen zu beheben und das Netzwerk zu aktualisieren; dieser Angriff hat keine Benutzervermögensverluste verursacht. Ontology hat das Ziel, innerhalb von 24 Stunden wieder normal zu laufen, vorausgesetzt, die Sicherheitsüberprüfungen, Schwachstellenbehebungen, Aktualisierungen und Tests verlaufen alle reibungslos.

Die Stilllegung von Ontology bewahrt alle bestätigten Kettenstatus und stoppt lediglich die Bestätigung und Abwicklung neuer Transaktionen. Die Ankündigung gab keinen Wiederherstellungspunkt an und veröffentlichte keine Sammlung von Transaktionen, die ungültig gemacht werden müssen.

Die öffentlich zugänglichen Informationen über die Befugnisse sind nicht vollständig. Die Ankündigung erwähnt, dass das Kernentwicklungsteam, das technische Team und die Netzwerkvalidierungsknoten an der Behandlung beteiligt sind, aber es wird nicht angegeben, wer die endgültig bindende Entscheidung trifft, und es werden keine digitalen Schwellenwerte für Notfallmaßnahmen angegeben. Ontologys VBFT-Dokument beschreibt den regulären Konsensmechanismus, einschließlich der Bestätigung von Knoten zur Blockgenerierung und der Verwaltung von Vertragsaktualisierungen im Konsens der Knoten, aber das Dokument deckt nur reguläre Betriebsbedingungen ab, die Notfall-Pausenregel, die am 31. August verwendet wurde, wurde nicht öffentlich gemacht.

Selbst wenn keine Vermögensverluste entstanden sind, bringt die Stilllegung dennoch tatsächliche Kosten mit sich. Ontology informiert die Benutzer, dass Transaktionen auf der Kette nicht verarbeitet werden können, und empfiehlt, keine zeitkritischen Operationen durchzuführen; später wurde erklärt, dass der Neustart des Netzwerks von der Behebung von Schwachstellen, Aktualisierungen und Tests abhängt. Benutzer können ihre Bestände auf der Kette nicht anpassen oder Überweisungen abwickeln, alle externen Dienste, die mit dieser Kette verbunden sind, müssen auf ein Signal des Netzwerks warten.

Die Kriterien für die Wiederherstellung des Betriebs sind sicherheitsorientiert, aber die spezifischen Details sind begrenzt. Ontology erklärte, dass der Dienst innerhalb von 24 Stunden wiederhergestellt werden soll, sobald alle Behebungen, Aktualisierungen, Tests und Validierungen abgeschlossen sind, aber wer die Erfüllung der Bedingungen beurteilt und was die Schwellenwerte sind, wurde nicht öffentlich gemacht.

Dies führt zu Unsicherheiten auf der Governance-Ebene: Die Ankündigung nennt die beteiligten Parteien bei der Überprüfung, aber die Entität, die die endgültige Entscheidung über den Neustart trifft, ist nicht klar. Für die Benutzer besteht das aktuelle Risiko in der Unterbrechung des Dienstes und nicht in einem bestimmten Vermögensverlust oder einem Ketten-Rollback.

ICON: Warum die Stilllegung der Blockchain zu spät kommt

Der Vorfall bei ICON zeigt den gesamten Prozess von Alarmierung, Behandlung und dem Abziehen von Vermögenswerten aus der Kettenkontrolle.

Laut dem Nachbericht der Stiftung wiederholte der Angreifer zwischen 02:01:02 und 02:21:12 UTC am 27. August 1492 Mal zwei historisch gültige Signalauszahlungsnachrichten. Ein Präzisionsfehler führte dazu, dass 1490 dieser Aufrufe erfolgreich waren, wodurch 119.866.000 ICX und 531.600 bnUSD aus dem Vermögenspool der Stiftung transferiert wurden.

Um 02:08 gab das Überwachungssystem bereits Alarm, und die Techniker begannen anschließend mit der Untersuchung; der betroffene Vertrag wurde um 03:53 pausiert. Die großen Börsen stellten um 05:54 nacheinander die Ein- und Auszahlungen von ICX ein, und die Stilllegung des gesamten Netzwerks trat um 06:18:54 offiziell in Kraft. ICON vollzog den Neustart am 28. August um etwa 07:51, nach etwa 25 Stunden, und behob gleichzeitig die zugrunde liegende Schwachstelle.

Der Nachbericht stellt fest, dass die Wurzel des Problems im Reaktionsprozess auf den Vorfall liegt und nicht in unzureichenden Erkennungsfähigkeiten. Der Alarm wurde innerhalb von 7 Minuten ausgelöst, aber solche Alarme werden oft mit irrelevanten RPC-Ausnahmen verwechselt, und das System benachrichtigte die diensthabenden Mitarbeiter nicht. Die technische Untersuchung wurde erst gegen 03:40 eingeleitet, kurz nachdem der Vertrag pausiert wurde.

Als die Kette schließlich stillgelegt wurde, waren die meisten betroffenen ICX bereits in das Treuhandsystem der Börsen überführt worden. Die Kontrollmaßnahmen auf der ICON-Kette konnten nicht verhindern, dass die Börsen die Vermögenswerte transferierten oder umwandelten, die sie hielten. Die Stiftung konnte nur auf die Einfrierung der Vermögenswerte durch die Börsen, Benachrichtigungen zur Sicherung, Anwälte und Strafverfolgungsbehörden zurückgreifen.

Die Grenzen der Treuhand bestimmen direkt, wo die Verluste anfallen. ICON erklärte, dass alle betroffenen Vermögenswerte der Stiftung gehören und die Einlagen, Salden und Bestände der normalen Benutzer nicht berührt wurden. Der Bericht zeigt, dass 531.600 bnUSD und 1,366 Millionen SODA vollständig zurückgeholt wurden; von den ausgeliehenen 113.634 USDC wurden 82.430 zurückgeholt. Der bestätigte Nettoschaden beträgt etwa 150,2 ETH sowie 31.204 USDC. Der Großteil der betroffenen ICX wurde lediglich an den Börsen eingefroren oder verfolgt und nicht wirklich zurückgeholt.

Die Kontrollstruktur von ICON unterscheidet sich auch von den beiden anderen Fällen. Der Nachbericht stellt fest, dass das Netzwerk während der Token-Migration unter der Kontrolle der Stiftung stand; das Migrationshandbuch erwähnt, dass der Konsens im Wartungsmodus läuft, und nur 7 Kernknoten vorhanden sind. Daher basiert diese Stilllegung auf einer klaren, von der Stiftung kontrollierten speziellen Betriebsstruktur.

Notfallbefugnisse sind im Wesentlichen auch eine Macht auf der Ebene der Bilanz

Jede Stilllegung einer Blockchain bedeutet im Wesentlichen, dass Risiken an andere Orte verschoben werden.

* Cronos ändert die offizielle Kettenhistorie: kann Vermögenswerte schützen, die sich noch im Kettenbereich befinden, macht jedoch alle normalen Kettenaktivitäten, die nicht mit der Schwachstelle zusammenhängen, ungültig und hat keine Kontrolle über Vermögenswerte auf Ethereum. * Ontology wandelt Risiken in Zeitkosten und Verluste an der Dienstverfügbarkeit um; während der Untersuchung können Transaktionen nicht abgewickelt werden, und es wurden keine Vermögensverluste bestätigt. * ICON vollzog die Isolation von Verträgen und Netzwerken erst, nachdem die Vermögenswerte bereits aus dem Kettenkontrollbereich transferiert wurden; die bestätigten Verluste werden von der Stiftung getragen, und die Rückholung der eingefrorenen ICX hängt von den Börsen und den Justizbehörden ab.

Ein einfaches dezentrales Rating würde diese grundlegend unterschiedlichen Ergebnisse verschleiern. Ein pragmatischerer Bewertungsmaßstab ist: Sind die Notfallmaßnahmen öffentlich? Was sind die Schwellenwerte für die Auslösung der Maßnahmen? Stoppt es nur die Erstellung neuer Blöcke oder ändert es den bereits bestätigten Kettenstatus? Wer kontrolliert die Vermögenswerte, die von der Kettenkontrolle abgezogen werden, wenn die Intervention erfolgt? Wer verpflichtet sich, die verbleibenden Verluste zu tragen?

Cronos und Tectonic müssen noch vollständige Nachberichte veröffentlichen. Ontology muss die Angriffsdetails und die Regeln für die Notfallbefugnisse offenlegen und anschließend bestätigen, ob die Bedingungen für die Aktualisierung und den Neustart erfüllt sind. Was wirklich vergleichbar ist, sind die von jedem Netzwerk festgelegten Risikogrenzen ------ welche Geschichte, Zeit und Gelder unter Risiko gestellt werden.