Чи може відкат в блокчейні врятувати вкрадені активи?

Три випадки термінового зупинення публічних блокчейнів виявляють реальні обмеження надзвичайних повноважень у блокчейні.

Автор: Ліам 'Акіба' Райт

Переклад: Саорс, Foresight News

Протягом чотирьох днів три блокчейн-мережі зупинили видобуток блоків. Кожне зупинення мережі використовувало абсолютно різні надзвичайні повноваження, з яких лише Cronos переписав частину офіційної історії ланцюга.

Представники Cronos повідомили, що після атаки на протокол Tectonic, валідатори зупинили мережу через механізм консенсусу, відновивши ланцюг до стану до атаки, і перезапустили видобуток з висоти блоку 90,896,189. Ця операція не лише зупинила видобуток, але й безпосередньо переписала стан ланцюга. Транзакції та зміни стану, що виникли після точки відновлення, більше не належать до офіційного основного ланцюга після перезапуску.

Ontology та ICON застосували інший набір надзвичайних заходів. Ontology зупинила видобуток блоків ще до підтвердження зловмисної атаки; оновлення від 1 вересня зазначає, що ця зловмисна діяльність не призвела до втрати активів користувачів. ICON спочатку зупинила атакований контракт, а потім закрила всю мережу; фонд заявив, що під час міграції мережа контролюється ними, і більшість вкрадених ICX вже була переведена на рахунки бірж.

Зупинка блокчейну є лише першим рівнем контролю. Глибша проблема полягає в тому: хто має право віддавати накази про зупинку мережі? Чи можуть вони переписувати вже підтверджений стан ланцюга? Які втрати стануть незворотними, коли кошти переходять між ланцюгами або потрапляють до централізованих сховищ?

Відомості про права, розкриті в надзвичайних заходах, вже відомі, відновлювальні ризики, атака на CronosTectonic зупинила мережу та відновила стан ланцюга до моменту атаки; оголошення про перезапуск не розкриває дані про голосування та всі дії на ланцюзі після контрольних точок скасовані; кошти, що переходять до Ethereum, не підлягають контролю Cronos; остаточна статистика втрат протоколу Tectonic ще не завершена; щоденна перевірка Ontology виявила потенційні ризики, подальше підтвердження зловмисної діяльності призвело до профілактичної зупинки видобутку блоків, без проведення відкату; команда розробників, технічна команда та валідатори брали участь; не розкрито порогові значення для надзвичайних заходів та неможливість виконання транзакцій під час оновлення мережі; не виявлено втрат активів користувачів; у контракті ICON виявлено вразливість повторного використання, спочатку зупинили контракт, потім зупинили всю мережу; під час міграції мережа контролюється фондом, кількість основних валідаторів зменшена, втрати покриває фонд; можливість повернення ICX, що зберігаються на біржі, залежить від сховища, юридичних процесів та правоохоронних органів.

Порівняння способів надзвичайного реагування трьох публічних блокчейнів: Cronos, Ontology, ICON

Cronos: від зупинки до переписування стану ланцюга

Cronos називає цю подію «терміновими діями консенсусу валідаторів». Оголошення про перезапуск від 31 серпня показує, що о 23:49:01 за всесвітнім координованим часом 30 серпня мережа відновила видобуток з висоти блоку 90,896,189, а стан ланцюга повернувся до моменту атаки на Tectonic.

Операція зупинки Cronos означає ухвалення рішення щодо розподілу вигод від точки відновлення. Після контрольної точки, стан ланцюга, пов'язаний з вразливістю, разом з усіма несуттєвими транзакціями за цей період, були стерті з офіційного ланцюга. Оголошення про перезапуск не супроводжується списком транзакцій, статистикою валідаторів, порогами голосування та списком учасників. Cronos обіцяє опублікувати звіт про події, який повинен повністю пояснити процес реагування та технічний вплив.

Навіть масштаб активів, які фактично були захищені під час цього втручання, ще не визначено. TRM Labs оцінює, що після маніпуляцій з ціною токена TONIC близько 75 мільйонів доларів активів було позичено; з них близько 6 мільйонів доларів потрапило до Ethereum, а близько 68,7 мільйонів доларів було повернуто на ланцюг Cronos. Статистика Bitquery надає ще вищу загальну суму виведених активів, близько 8,3 мільйона доларів активів потрапило до Ethereum, усього 10,961 блоку було скасовано.

Об'єкти статистики різні, остаточні дані про втрати від Tectonic ще не опубліковані. Але одне вже дуже ясно: відкат Cronos може лише відновити стан, що залишився в межах цього ланцюга, активи на ланцюзі Ethereum повністю не підлягають його контролю.

План управління активами Tectonic все ще залишає питання обліку користувачів. Протокол заявляє, що спочатку відкриє функції виведення та повернення позик, одночасно зупинивши депозити та нові позики. Цей план надає користувачам шлях для виходу та зменшення кредитного плеча, але чи зможуть постачальники коштів повернути всю суму, ще не підтверджено. Звіт про події, що має бути опублікований Tectonic, також повинен прояснити принцип вразливості, загальну суму виведених коштів, обсяги поганих боргів, повернуті активи та інші залишкові борги.

Прогрес відновлення різних інфраструктур не синхронізується з перезапуском консенсусу ланцюга. Cronos нагадує, що різні протоколи, крос-ланцюгові мости, блокчейн-браузери та RPC-сервіси потребують більше часу для відновлення. Стан сторінки Alchemy також окремо фіксує це зупинення та подальше відновлення. Мережева система може оголосити про офіційний перезапуск, але різні послуги, що залежать від неї, можуть ще не бути готовими.

Ontology: зупинка лише для виграшу часу для реагування, не скасовуючи транзакції

Дії Ontology відбулися до підтвердження зловмисної діяльності. Мережа повідомила, що основна команда розробників виявила потенційні ризики під час щоденних перевірок і негайно зупинила видобуток блоків, передавши справу технічній команді та валідаторам для проведення системної перевірки.

Оновлення від 1 вересня повідомляє, що перевірка підтвердила наявність зловмисної атаки, основна мережа продовжить зупинку для проведення виправлення вразливостей та оновлення мережі; ця атака не завдала шкоди активам користувачів. Мета Ontology полягає в тому, щоб відновити нормальну роботу протягом 24 годин, за умови, що всі перевірки безпеки, виправлення вразливостей, оновлення та тестування пройдуть успішно.

Зупинка Ontology зберігає всі підтверджені стани ланцюга, лише зупиняючи підтвердження нових транзакцій. Оголошення не вказує точку відновлення і не публікує набір транзакцій, які потрібно скасувати.

Опубліковані відомості про повноваження не є повними. Оголошення згадує, що основна команда розробників, технічна команда та валідатори беруть участь у реагуванні, але не вказує, хто має остаточне рішення. Документація VBFT Ontology описує звичайний механізм консенсусу, включаючи підтвердження блоків валідаторами, управління оновленнями контрактів, але документація охоплює лише нормальні сценарії роботи, а правила термінового зупинення, що використовувалися 31 серпня, не були опубліковані.

Навіть якщо не було завдано збитків активам, зупинка все ще призводить до фактичних витрат. Ontology повідомляє користувачам, що транзакції на ланцюзі не можуть бути оброблені, і рекомендує не виконувати операції, чутливі до часу; пізніше зазначає, що перезапуск мережі залежить від виправлення вразливостей, оновлення та тестування. Користувачі не можуть коригувати свої позиції на ланцюзі, здійснювати перекази, всі зовнішні сервіси, що підключаються до цього ланцюга, можуть лише чекати сигналу мережі.

Критерії для відновлення роботи орієнтовані на безпеку, але конкретні деталі обмежені. Ontology заявляє, що як тільки всі виправлення, оновлення, тестування та перевірки будуть завершені, вони прагнуть відновити послуги протягом 24 годин, але хто визначає, що умови виконані, і які порогові значення, не розкривається.

Це призводить до невизначеності на рівні управління: оголошення вказує на всіх учасників перевірки, але суб'єкт, що має остаточне право на рішення про перезапуск, не визначено. Для користувачів поточний ризик походить від перерви в обслуговуванні, а не від визначених втрат активів або відкату ланцюга.

ICON: чому зупинка блокчейну запізно

Подія ICON повністю демонструє процес тривоги, реагування та виходу активів з-під контролю ланцюга.

Згідно з доповіддю фонду, зловмисник з 02:01:02 до 02:21:12 за всесвітнім координованим часом 27 серпня повторив 1492 рази дві історично дійсні підписані повідомлення про зняття. Помилка точності призвела до того, що 1490 з цих викликів були успішними, з фонду було переведено 119,866,000 ICX та 531,600 bnUSD.

О 02:08 система моніторингу вже надіслала тривогу, технічний персонал пізніше розпочав розслідування; постраждалий контракт був зупинений о 03:53. Основні біржі о 05:54 почали зупиняти депозити та зняття ICX, а повна зупинка мережі набула чинності о 06:18:54. ICON завершила перезапуск приблизно о 07:51 28 серпня, з інтервалом близько 25 годин, одночасно виправивши основну вразливість.

Доповідь вважає, що корінь проблеми полягає в процесі реагування на події, а не в недостатності можливостей виявлення. Тривога спрацювала протягом 7 хвилин, але такі тривоги часто плутаються з не пов'язаними RPC-аномаліями, система не сповістила чергових. Технічне розслідування було розпочато лише близько 03:40, і незабаром після цього контракт був зупинений.

Коли ланцюг офіційно зупинився, більшість постраждалих ICX вже були включені до системи управління біржі. Методи контролю з боку ICON не змогли зупинити біржі від переміщення або конвертації активів, які вони тримали. Фонд міг лише покладатися на заморожування активів біржі, повідомлення про збереження, юристів та правоохоронні органи для вирішення ситуації.

Кордони зберігання безпосередньо визначають, кому належать втрати. ICON заявляє, що всі постраждалі активи належать фонду, а депозити, залишки та позиції звичайних користувачів не були торкнуті. Доповідь показує, що 531,600 bnUSD та 1,366,000 SODA були повністю повернуті; з 113,634 USDC, що були позичені, 82,430 були повернуті. Підтверджені чисті втрати становлять приблизно 150.2 ETH, плюс 31,204 USDC. Переважна більшість залучених ICX лише були заморожені або відстежені на біржі, і їх не було насправді повернуто.

Структура контролю ICON також відрізняється від двох інших випадків. Доповідь зазначає, що під час міграції токенів мережа контролюється фондом; документ з інструкціями з міграції зазначає, що консенсус працює в режимі обслуговування, лише 7 основних вузлів. Тому ця зупинка залежить від чіткої спеціальної архітектури, контрольованої фондом.

Надзвичайні повноваження в основі також є правами на активи та зобов'язання

Кожна зупинка блокчейну по суті є перенесенням ризику в інші місця.

* Cronos змінює офіційну історію ланцюга: може захистити активи, які все ще знаходяться під юрисдикцією ланцюга, але скасовує всі нормальні дії на ланцюзі, пов'язані з вразливістю, і не може вплинути на активи на Ethereum. * Ontology перетворює ризик на витрати часу та втрати доступності послуг, під час розслідування транзакції не можуть бути завершені, активи не підтверджуються як втрачені. * ICON завершила ізоляцію контракту та мережі лише після того, як активи вже були переведені за межі контролю ланцюга; підтверджені втрати покриває фонд, повернення заморожених ICX покладається на біржі та судові органи.

Простий децентралізований рейтинг може приховати ці абсолютно різні результати. Більш практичні критерії оцінки: чи є правила термінового реагування публічними? Які порогові значення для їх активації? Чи лише зупиняються нові блоки, чи переписується вже підтверджений стан ланцюга? Коли втручання відбувається, кому належать активи, що виходять з-під контролю цього ланцюга? Хто обіцяє покрити залишкові втрати?

Cronos та Tectonic ще мають опублікувати повний звіт про події. Ontology повинна розкрити деталі атаки та правила термінового уповноваження, а також підтвердити, чи досягнуті умови для оновлення та перезапуску. Дійсно варто порівнювати, це межі ризику, які кожна мережа визначає ------ які історії, час та кошти будуть під ризиком.