#GIWA #跨链安全 Am einfachsten lässt sich ein falscher Verdacht mit einer einzigen Zahl in die Irre führen: DYORSWAP behauptet, es seien bereits mehr als 200 ETH ausgezahlt worden – also fragt man sich: Ist der Schaden damit schon fast ausgeglichen? Ich finde, jetzt ist nicht die wichtigste Frage, zuerst eine hübsche Auszahlungsquote auszurechnen, sondern herauszufinden, welche Vermögenswerte zu welcher Gruppe von Geschädigten gehören – und ob jede einzelne Auszahlung wirklich auch bei den Betroffenen angekommen ist.
Der Zeitablauf entscheidet darüber, warum man diese beiden Punkte nicht vermischen darf. Laut einer neuen Offenlegung des Projekts wurde das Netzwerk sowie die Brücke, die die GIWA-Chain-ID 9134 missbrauchen, am 27. September um 02:10 Uhr Beijing-Zeit bereitgestellt; dieses Netzwerk konnte laufen, konnte Transaktions-Batches in Ethereum schreiben und Nutzer konnten dort auch handeln. Es handelt sich also nicht nur um eine gefälschte Webseite. Etwa 1.335 Adressen überwiesen rund 767,65 ETH an die Brücke; das Projekt sagt, dass davon später etwa 766,25 ETH weitertransferiert wurden. Diese beiden Zahlen sind Größenordnungen für das Gesamtvolumen der Brücke und entsprechen nicht automatisch dem netto ermittelten Schaden pro Geschädigtem.
Zuvor blieben die Meldungen bei „es wird kompensiert“ und bei den Kompensationsregeln: Betroffene Bridge-Adressen mit weniger als 5 ETH werden mit 40% der Brücken-Beträge behandelt, größere Beträge müssen separat verifiziert werden. Dieser längere Text heute bringt die Sache einen Schritt weiter: DYORSWAP sagt, es seien an Nutzer mehr als 200 ETH verteilt worden, und es gibt einen überprüfbaren Einstieg für die On-Chain-Kompensation. Doch „das Projekt behauptet, es sei verteilt“ und „die tatsächliche Lücke je Opfer sei bestätigt“ sind weiterhin zwei unterschiedliche Dinge. Auch 200 durch 766,25 kann man nicht einfach als Gesamt-Auszahlungsquote bezeichnen – Zähler und Nenner beziehen sich möglicherweise nicht auf dieselben Objekte und Berechnungsgrundlagen.
Achtenswert ist außerdem: Das Team behauptet, die mit der falschen Chain zuvor veröffentlichten Transaktions-Batches auf Ethereum hätten den Status von Brücken, Handel und Fonds-Pools rekonstruiert, und vor dem Stopp des Betriebs rund zwei Minuten lang ausgeführte Transaktionen seien nicht on-chain gegangen, wodurch eine Datendifferenz entstanden sei. Meine Einschätzung: Der entscheidende Punkt in der nächsten Phase dieses Vorfalls ist nicht, erneut zu wiederholen, wie überzeugend die Fake-Chain war, sondern ob die Auszahlungsübersicht von extern Schritt für Schritt gegengeprüft werden kann – nämlich ob sich damit die Menge der Opferadressen, die Ausschlussgründe, die Ergebnisse bei größeren Einsprüchen und die tatsächlich eingegangenen Transaktionen zu einer konsistenten, überprüfbaren Buchführung zusammenführen lassen.
Das hat auch Grenzen. Was das Projekt derzeit nennt – 1335, 767,65, 766,25 und „mehr als 200 ETH ausgezahlt“ – sollte zunächst als dessen eigene Veröffentlichungsgrundlage betrachtet werden. Wallet-Verhalten kann Hinweise liefern, aber man darf nicht allein anhand der frühesten Einzahlung oder einer großen Bridge-Überweisung entscheiden, dass eine Adresse der Angreifer ist. Wenn spätere öffentlich gemachte, konkrete Transaktionen sich mit einer vollständigen Opferliste abgleichen lassen, würde ich die Einschätzung zum Fortschritt der Umsetzung erhöhen. Wenn die Liste dagegen langfristig nicht abgeglichen werden kann, lässt sich auch ein weiter steigender Auszahlungsbetrag nur schwer als fair und vollständig abgeschlossen belegen.
Wenn du zu den Betroffenen gehörst: Glaubst du, es ist wichtiger, zuerst eine anonymisierte Methode zur Berechnung pro Adresse zu veröffentlichen – oder zuerst die Auszahlung schneller abzuwickeln? Vor allem, wenn in den letzten zwei Minuten Daten fehlen: Welchen Standard für zusätzlichen Nachweis würdest du akzeptieren?