1,783 wstETH. ما يقارب 6 ملايين دولار. سُحبت من خزنة على Base في 4 أكتوبر، في وضح النهار، وعلى السلسلة.
الجانب الذي لا يتحدث عنه أحد هو مدى اعتيادية ما حدث. أُضيف عقد جديد إلى القائمة البيضاء لخزائن الإيداع. وأدّت المحفظة متعددة التوقيعات مهمتها: وافق ثلاثة من أصل سبعة موقّعين على التغيير. ثم استعار عقد المهاجمين aBaswstETH وغادر. ست عمليات سحب سليمة. عمل النظام تمامًا كما صُمّم.
وهذا هو الجانب المقلق. لم يتعطل أي شيء. عُدّلت قائمة الوصول عبر الباب الأمامي، وكان الفاصل بين التغييرين نحو دقيقة، وبدأت الأموال بالتحرك بعد ذلك بنحو 70 ثانية. لم تكن هناك فترة انتظار بين الموافقة والتنفيذ، لذا لم تتح لأحد فرصة لملاحظة الأمر أو إيقافه.
لم تُخترق Aave. ولم تُخترق Base. كانت منظومة الصلاحيات الخاصة بالخزائن نفسها هي الثغرة.
يدقق الجميع في منطق العقود الذكية. لكن لا أحد تقريبًا يدقق في السؤالين اللذين يتسببان باستنزاف الخزائن باستمرار: من يحق له تغيير قائمة الوصول، وما السرعة التي يمكنه بها فعل ذلك؟
المحفظة متعددة التوقيعات ذات التنفيذ الفوري ليست أمانًا عميقًا، بل هي مسار موافقات سريع. فترات الانتظار بنية تحتية مملة لا يتباهى أحد بإضافتها، لكنها كانت ستمنع ما حدث.
$ETH #DeFi
الجانب الذي لا يتحدث عنه أحد هو مدى اعتيادية ما حدث. أُضيف عقد جديد إلى القائمة البيضاء لخزائن الإيداع. وأدّت المحفظة متعددة التوقيعات مهمتها: وافق ثلاثة من أصل سبعة موقّعين على التغيير. ثم استعار عقد المهاجمين aBaswstETH وغادر. ست عمليات سحب سليمة. عمل النظام تمامًا كما صُمّم.
وهذا هو الجانب المقلق. لم يتعطل أي شيء. عُدّلت قائمة الوصول عبر الباب الأمامي، وكان الفاصل بين التغييرين نحو دقيقة، وبدأت الأموال بالتحرك بعد ذلك بنحو 70 ثانية. لم تكن هناك فترة انتظار بين الموافقة والتنفيذ، لذا لم تتح لأحد فرصة لملاحظة الأمر أو إيقافه.
لم تُخترق Aave. ولم تُخترق Base. كانت منظومة الصلاحيات الخاصة بالخزائن نفسها هي الثغرة.
يدقق الجميع في منطق العقود الذكية. لكن لا أحد تقريبًا يدقق في السؤالين اللذين يتسببان باستنزاف الخزائن باستمرار: من يحق له تغيير قائمة الوصول، وما السرعة التي يمكنه بها فعل ذلك؟
المحفظة متعددة التوقيعات ذات التنفيذ الفوري ليست أمانًا عميقًا، بل هي مسار موافقات سريع. فترات الانتظار بنية تحتية مملة لا يتباهى أحد بإضافتها، لكنها كانت ستمنع ما حدث.
$ETH #DeFi
