515 mln. NIGHT tilto eksploatacijos uolų Kardano, bet ADA vis tiek šoktelėjo 8 % po žymaus kietojo šakės

Dėl didelio išnaudojimo, susijusio su tiltu, sujungtu su Cardano ekosistema, Midnight’s NIGHT žetonas liepos 20 d. pasiekė visų laikų žemumą, kai užpuolikas iš „Wanchain“ valdomos infrastruktūros nusausino maždaug 515 mln.

Žetonai buvo pašalinti iš Cardano pusės spynos adreso, palaikančio NIGHT, sujungtą su BNB grandine, paliekant tik dalį ankstesnių tilto atsargų.

NIGHT kritimo metu nukrito daugiau nei 30% ir pasiekė rekordinę žemumą, netoli 0,015 USD. Išpardavimo metu kainomis pavogtas turtas buvo vertas maždaug 9–10 mln.

Wanchain sustabdė paveiktą Cardano-BNB Chain tiltą ir pradėjo tirti incidentą.

Kas sukėlė Cardano vidurnakčio tilto išnaudojimą?

„Blockchain“ saugos įmonė „BlockSec“ teigė, kad jos preliminari analizė parodė galimą „TreasuryCheck“ patvirtinimo programos pasirašyto pranešimo kodavimo problemą, kuri galėjo leisti pakartotinai panaudoti anksčiau galiojusį parašą su skirtingais sandorių duomenimis.

Tačiau įmonė pabrėžė, kad tyrimas tebėra preliminarus.

Vidurnakčio fondas teigė, kad pažeidimas apsiribojo trečiosios šalies tilto infrastruktūra ir nesutrikdė Midnight protokolo, tikrinimo tinklo, konsensuso sistemos ar pagrindinės infrastruktūros. NIGHT išmanioji sutartis, veikianti Cardano, taip pat toliau veikė.

Vėliau vidurnaktis pranešė, kad Binance, Kraken, KuCoin, Bybit, OKX, Gate ir MEXC sujungė pastangas apriboti pavogto turto judėjimą. Priemonės apėmė sąskaitų ir adresų, susijusių su incidentu, įšaldymą arba apribojimą, su užpuolikais susietų piniginių įtraukimą į juodąjį sąrašą ir, jei reikia, NAKTINIŲ indėlių ir išėmimų sustabdymą.

Šis atsakas susiaurino užpuoliko prieigą prie pagrindinių centralizuotų prekybos vietų po to, kai šimtai milijonų NIGHT pajudėjo iš tilto iždo.

Cardano įkūrėjas Charlesas Hoskinsonas sakė, kad organizacijos visoje ekosistemoje sudarė „karo kambarį“, kad galėtų stebėti situaciją, kai ji klostėsi, suburdama „Midnight“, „Input Output“, „Insect“ ir kitas grupes, dalyvaujančias atsakant.

Hoskinsonas teigė, kad reikės atlikti auditą, kad būtų nustatyta „pagrindinė tiesa“ apie gedimą ir atsakomybę už incidentą.

Hoskinsonas sako, kad tilto rizika išlieka už Cardano pagrindinės gynybos ribų

Ataka nukreipė dėmesį į dalį kriptovaliutų krūvos, kurią, anot Hoskinsono, ypač sunku apsaugoti net tada, kai pagrindinė blokų grandinė ir toliau veikia normaliai.

„Tiltai yra labiausiai pažeidžiami iš visų šių atakų kriptovaliutų erdvėje”, – sakė Hoskinsonas, teigdamas, kad kryžminės grandinės sistemos paprastai priklauso nuo patikrinimo ar pasitikėjimo šaltinių už tinklų, prie kurių jos jungiasi.

Skirtingai nuo sandorių, kurie lieka vienoje blokų grandinėje, tiltai turi koordinuoti veiklą atskiruose tinkluose. Tam gali prireikti išorinių perdavėjų, tikrintuvų, kelių parašų susitarimų arba išmaniųjų sutarčių, kurios nustato, ar turtas turėtų būti išleistas paskirties grandinėje.

Dėl to šios platformos tapo kenkėjiškų užpuolikų, kurie iš šių infrastruktūrų pavogė daugiau nei 2 milijardus dolerių vertės kriptovaliutų, taikiniais.

Tuo tarpu Hoskinsonas pasinaudojo incidentu, norėdamas apginti Cardano ilgalaikį dėmesį formaliems metodams, tarpusavio peržiūrai ir protokolo dizainui, o tai, jo teigimu, sumažina galimų atakų vektorių, prieinamų piktybiniams veikėjams, skaičių.

Tačiau jis nustojo apibūdinti šią praktiką kaip visišką apsaugą nuo užpuolikų.

Vietoj to, Hoskinsonas palygino požiūrį su 90% atsparumu mirtinai ligai: žalos tikimybė gali būti žymiai sumažinta, o nesėkmės galimybė išlieka. Jis pasakė:

„90% atsparumas mirtinai ligai nereiškia, kad esate atsparus mirtinai ligai. Tai tiesiog reiškia, kad dažniausiai mažai tikėtina, kad ja susirgsite.”

Šis skirtumas tapo vis aktualesnis, nes Cardano ekosistema plečiasi už bazinio tinklo saugumo ribų.

Vidurnaktis laikinai sustabdė „Glacier Drop“ išpirkimą birželio pabaigoje, kai atskiras saugumo incidentas paveikė kai kurias „Cardano“ pinigines, susijusias su „SecondFi“. Fondas atnaujino išpirkimą liepos 9 d., kai padarė išvadą, kad jo paties išpirkimo infrastruktūra ir sistemos nebuvo atskleistos.

„Wanchain“ išnaudojimas yra kitoks pažeidžiamumas, bet dar kartą parodo, kaip nuostoliai, susiję su „Cardano“ sukurtomis paslaugomis, gali atsirasti be „Cardano“ sutarimo protokolo gedimo.

Hoskinsonas teigė, kad atsakymas reikalauja papildomų apsaugos sluoksnių, o ne pasikliauti tik pagrindinės blokų grandinės saugumo savybėmis.

Jis atkreipė dėmesį į būsimus tiltų projektus, kuriuose būtų rekursiniai arba sulankstyti nulinių žinių įrodymai, kurie galėtų sumažinti priklausomybę nuo išorinių patvirtinimo šaltinių.

Šios sistemos galėtų būti derinamos su tokiomis priemonėmis kaip patikima vykdymo aplinka ir kelių parašų kontrolė, siekiant sukurti papildomų kliūčių nuo neteisėto perdavimo.

Jis taip pat pabrėžė Midnight Passport – tapatybės ir atrankinio atskleidimo sistemą, kuri leistų vartotojams nustatyti piniginių nuosavybę viešai neatskleidžiant visos savo asmeninės informacijos.

Ši galimybė gali tapti naudinga po įsilaužimų, kurių metu susigrąžintos lėšos galiausiai turi būti grąžintos teisėtiems savininkams. Kripto atkūrimo procesai gali tapti sunkūs, kai vartotojai prarado kredencialus arba kai neįmanoma lengvai nustatyti nuosavybės teisės neprarandant privatumo.