$HEMI - Wenn Nutzer Geld verlieren, aber die Blockchain selbst nie ausfällt, war das Protokoll dann wirklich sicher?
Mehr als 10,9 Mio. DUSK wurden gestohlen, nachdem ein Angreifer am 16. Januar Zugriff auf eine Brücken-Signing-Wallet erlangt hatte. Das Unangenehme daran ist, dass Dusk’s Konsens nie versagt hat. Blöcke arbeiteten weiterhin ganz normal, während Nutzer weiterhin Geld verlieren konnten – über einen Dienst, der oberhalb des Protokolls sitzt.
Dusk’s Post-Mortem beschreibt die alte Brücke als einen leichtgewichtigen Betriebsweg, bei dem Signierung, Ereignisverarbeitung und Netzwerk-Konnektivität zu eng miteinander verbunden waren. Sobald der Signer kompromittiert war, musste der Angreifer weder Succinct Attestation, Phoenix noch Dusk L1 brechen. Die Kontrolle über genau diese eine vertrauenswürdige Komponente reichte aus.
Was mich mehr interessiert, ist, wie Dusk darauf reagierte. Das Redesign trennt Signierung von der Ereignisaufnahme, Checkpoints bestätigen Ereignisse, bevor sie freigegeben werden, und es begrenzt den verfügbaren Kontostand für den Signer. Der Punkt ist nicht stärkere Kryptografie. Es geht darum, zu reduzieren, wie viel Schaden eine einzige kompromittierte Komponente verursachen kann.
Das wirft eine Sicherheitsfrage auf, die meiner Meinung nach über diesen Vorfall hinaus relevant ist. Wir trennen normalerweise „Protokoll-Exploit“ von „operativer Kompromittierung“, und technisch ist diese Unterscheidung korrekt. Aber ein Nutzer, der Vermögenswerte verliert, interessiert sich möglicherweise nicht dafür, welche Ebene fehlgeschlagen ist.
Eine Blockchain kann einen sicheren Konsens haben und trotzdem einen unsicheren Asset-Pfad. Für Finanzinfrastrukturen: Sollten die operativen Dienste rund um das Protokoll ebenfalls als Teil des Sicherheitsmodells behandelt werden?
#dusk $DUSK @Dusk
$H