Kelemahan tata kelola X100 memicu kerugian $6 juta akibat pinjaman kilat

Seorang penyerang berhasil memperoleh dua kursi tata kelola di X100, sebuah proyek token dengan perbendaharaan yang dikelola oleh Senat, dan menyetujui transaksi perbendaharaan serta melunasi pinjaman kilat dalam satu transaksi blockchain pada 24 Oktober.

Di Arkadiko, sebuah protokol pinjaman di mana pengguna meminjam dengan jaminan vault, pemungutan suara yang berlangsung sekitar lima hari berakhir dua hari lebih awal, memberikan kontrak jahat wewenang atas aset vault. Orang-orang membeli token suara tepat sebelum pemungutan suara yang menentukan, dan proposal tersebut mulai berlaku saat pemungutan suara ditutup.

Insiden ini mengungkapkan berbagai celah antara menginvestasikan uang, memenuhi syarat untuk memilih, dan melaksanakan tindakan yang disetujui. Token X100 seharusnya terkunci selama satu tahun, sehingga kunci token yang panjang dapat membebankan biaya tanpa menunda wewenang.

Sementara itu, pemungutan suara yang panjang dapat memberikan pemberitahuan sambil tetap mengizinkan pembelian terlambat. Keduanya tidak secara otomatis menciptakan waktu untuk merespons setelah keputusan dapat dilaksanakan.

Staking terkunci X100 membeli wewenang segera

Kontrak Freezer X100 menyimpan token X yang dibekukan dan menyediakan staking yang digunakan untuk meranking kandidat untuk Senatnya. Ketentuan kuncinya berlangsung selama satu, tiga, atau lima tahun, tetapi kelayakan Senat menggunakan jumlah yang saat ini dibekukan, tanpa usia staking minimum.

Dalam serangan pertama pada 24 Oktober, dua kontrak pembantu masing-masing membekukan 19.000.000001 X di bawah ketentuan satu tahun. Mereka mendaftar, masuk ke dalam peringkat, dan memberikan dua suara pendukung yang melaksanakan proposal 7. Mereka menyelesaikan staking, suara, dan pelaksanaan dalam satu transaksi.

Batas waktu tata kelola tidak menawarkan periode tunggu yang wajib. Selama proposal tetap terbuka, mayoritas kursi Senat yang saat ini terperingkat dapat mengotorisasi pelaksanaan. Memegang dua dari tiga kursi memberikan kekuatan yang cukup kepada para pembantu untuk bertindak segera.

Pertukaran yang disetujui mengirim 400.000 X perbendaharaan ke dalam pool yang dibuat oleh penyerang. Freezer hanya menerima 35.675313 USDT, dan penyerang kemudian mengekstrak token dari pool tersebut dan menjual X untuk mendapatkan uang tunai yang digunakan untuk pelunasan.

Staking tetap dibekukan sementara uang tunai dari ekstraksi perbendaharaan dan penjualan token mendanai pelunasan, sehingga penyerang tidak perlu memulihkan staking yang dibeli terlebih dahulu.

Serangan tersebut meminjam sekitar 1,94 juta USDT dan melunasi pokok ditambah premi. Setelah pelunasan, sekitar 4,75 juta USDT mencapai penerima akhir pertama.

Kontributor ChainBounty Philippark mencocokkan 4,848 juta USDT yang dibayarkan kepada tiga penerima terpilih. Subtotal tersebut tidak termasuk X yang tidak terjual dan nilai yang berubah, mengukur pembayaran yang dipilih.

Freezer juga mempertahankan batasan yang berarti: setelah pelaksanaan, saldo X-nya harus menutupi total jumlah yang telah dibekukan oleh pengguna. Melindungi jumlah pokok yang terkunci tersebut tidak melindungi likuiditas pool eksternal atau nilai pasar token.

Pemungutan suara Arkadiko mengizinkan uang terlambat

Proposal 12 Arkadiko diajukan pada 20:35 UTC pada 17 Oktober dan dilaksanakan pada 16:04 UTC pada 22 Oktober. Kontrak tata kelolanya memberikan proposan luar interval pemungutan suara selama 720 blok Bitcoin, yang umumnya digambarkan sebagai lima hari.

Aturan mengharuskan 0,25% dari pasokan DIKO yang memenuhi syarat untuk mengajukan, 5% partisipasi untuk mencapai kuorum, dan lebih banyak suara ya daripada tidak. Perhitungan pasokan mengurangi DIKO yang dipegang dalam kontrak alokasi awal.

Ambang batas dan aturan pemungutan suara tersebut tidak mengharuskan pemilik token untuk telah memegang token sebelum proposal. Dompet yang mengajukan melakukan pertukaran pada 15:03:46 UTC pada 22 Oktober dan memberikan suara pada 15:06:47. Ia menginvestasikan sekitar 4,573 juta DIKO. Proposal ditutup dengan total suara ya yang sama dan nol suara tidak.

Bitquery memperkirakan pembelian token suara sekitar $51.000. Penelusurannya juga menunjukkan bahwa 77% dari STX yang dikirim ke dompet pemungutan suara berasal dari hasil StackSwap sebelumnya.

Penyerang menginvestasikan dana melalui beberapa transaksi dan tanggal, sehingga kasus Arkadiko berbeda secara material dari pinjaman dan pelunasan satu transaksi X100. Pembelian terlambat adalah kunci karena menjadi kekuatan suara yang dapat digunakan selama pemungutan suara yang sudah dibuka.

Ketika pemungutan suara ditutup, perubahan dilaksanakan. Tidak ada periode tunggu terpisah antara keputusan itu dan kontrak yang menerima otoritasnya.

Kontrak berbahaya yang disetujui tidak memiliki otorisasi pemanggil dalam fungsi penarikan dan pencetakan USDA. Proposal 12 mendaftarkannya sebagai kontrak operasi vault dengan izin pencetakan. Panggilan yang berhasil menghapus sBTC pada pukul 16:06 UTC dan stSTX pada pukul 16:09, beberapa menit setelah aktivasi.

Bitquery memperkirakan kerugian Arkadiko sekitar $1,09 juta: sekitar $780.000 dari stSTX, $135.000 dari sBTC, dan $173.000 dari STX yang diperoleh dengan menjual USDA yang tidak didukung. Penyerang X100 bertindak dalam satu transaksi meskipun ada penguncian token selama setahun, sementara Arkadiko dieksekusi setelah pemungutan suara tanpa penundaan terpisah.

Dalam utas tanggapan 22 Oktober, Arkadiko mengatakan telah menonaktifkan kontrak berbahaya dan menghentikan tata kelola, penebusan vault, dan likuidasi. Mereka mengatakan vault stSTX dan sBTC yang terkena dampak tidak dapat dimodifikasi karena jaminan mereka tidak tersedia.

Pada pukul 07:57 UTC pada 27 Oktober, proposal 14, "AIP 32.2 -- Kembalikan Operasi Vault," dilaksanakan, mengatur entri operasi vault ke kontrak v1-3 yang sah milik Arkadiko.

Jendela keluar membutuhkan keluar

Memerlukan stake yang lebih lama atau menggunakan kekuatan suara dari snapshot sebelumnya dapat mencegah token yang baru diperoleh memenuhi syarat segera, sementara penundaan eksekusi akan memisahkan persetujuan dari pergerakan aset.

Jika setiap tindakan relevan harus melewati penundaan itu, urutan tepat X100 tidak dapat membiayai dirinya sendiri dan membayar kembali pinjamannya dalam satu transaksi.

Seorang penyerang yang menggunakan modal jangka panjang dapat menunggu, tetapi batasan pada apa yang dapat dilakukan kontrak yang disetujui tetap menjadi pertanyaan terpisah.

Dokumentasi tata kelola OpenZeppelin menggambarkan kekuatan suara historis dan penundaan eksekusi sebagai mekanisme yang berbeda.

Menerapkan perbedaan itu pada insiden ini menjadikan ujian sebagai pertanyaan kapan modal yang baru diperoleh mendapatkan otoritas, apa yang dapat dipindahkan oleh otoritas itu, dan berapa banyak waktu yang dapat digunakan sebelum eksekusi.

X100 yang dibekukan tidak dapat biasanya dibekukan sebelum kuncinya matang, jadi penundaan eksekusi tidak akan menghapus pembatasan penarikan itu.

Fungsi tutup-vault yang sah dari Arkadiko memberikan keluar bersyarat: pemilik aktif membayar kembali utang, membayar biaya stabilitas, dan menarik jaminan ketika operasi diaktifkan. Itu memerlukan dana yang diperlukan dan jaminan yang tersedia.

Jendela proposal yang berlangsung sekitar lima hari menawarkan pemberitahuan sebelumnya tentang perubahan yang diusulkan. Suara final datang jauh kemudian, dan penutupan segera mengaktifkan kontrak. Menganggap seluruh pemungutan suara sebagai jendela penarikan pasca-persetujuan yang dijamin akan mengaburkan kapan bahaya menjadi dapat dieksekusi.

Konten ini disediakan hanya untuk tujuan informasi umum dan bukan merupakan nasihat keuangan, investasi, hukum, atau pajak. Setiap acara, reward, promosi online, atau informasi terkait yang disebutkan di sini tidak boleh dianggap sebagai rekomendasi, ajakan, atau undangan untuk membeli, menjual, memperdagangkan, atau melakukan transaksi aset kripto apa pun. Aset kripto sangat fluktuatif dan dapat mengakibatkan kerugian. Ketersediaan layanan, produk, dan acara terkait WEEX dapat berbeda-beda di setiap wilayah. Anda bertanggung jawab untuk memastikan bahwa partisipasi Anda sesuai dengan hukum dan peraturan setempat yang berlaku.