#dusk $DUSK @Dusk
Beim Lesen über Dusk' Chainlink-CCIP-Integration diese Woche hat mich das direkt zurück an den Empfangstresen gebracht, bei dem ich vor Jahren als Aushilfe gearbeitet habe – mit einem Badge-Scanner an der Laderampe. Kuriersbadge: grünes Piepen, Tür geht auf, niemand vergleicht das Foto mit der Person, die den Badge in der Hand hält. Nur das Piepen.
In einer Woche ging jemand mit einer ausgehenden Sendung raus – Badge-Piepen grün unter einem Namen, der nicht der eigene war. Sicherheitsaufnahmen haben es irgendwann aufgefangen. Der Scanner hatte genau das getan, wofür er gebaut wurde: dem Piepton zu vertrauen, nicht der Person.
Nenn es das „vertrauenswürdige Piepen“: ein System, das das Signal überprüft, das sagt, etwas sei wahr – niemals das Ding selbst. Die meisten Cross-Chain-Bridges laufen mit derselben Grundform, und es ist die Lücke, die Dusk nicht offen lassen will. Eine Chain sendet eine Nachricht, in der behauptet wird, die Gelder seien gesperrt, die andere zahlt genau im Moment aus, wenn sie hört, dass diese Nachricht sauber bei ihr ankommt.
Am 9. August hat jemand ungefähr 199.916 XRP – etwa 200.000 US-Dollar – aus der Bridge abgezogen, die die $XRP Ledger mit der tx-Chain verbindet. Kein privater Schlüssel wurde angefasst, kein Vertragsfehler auf irgendeinem der beiden Ledgers. Der Angreifer hat eine Deposit-Verifizierungsnachricht in der Relayer-Software gefälscht, und sie wurde über 94 Withdrawals in 97 Minuten ausgezahlt – alles nur, weil die Nachricht grün gepiept hat.
Das ist das Single-Relayer-Setup, das Dusk mit der Chainlink-CCIP-Integration überspringt, die es zusammen mit NPEX aufbaut. Mehrere unabhängige Oracle-Netzwerke kommen zu einer Übereinstimmung, bevor eine Cross-Chain-Aktion ausgeführt wird – untermauert durch ein separates Risk-Management-Network, das nach einem Muster wie 94 schnellen Withdrawals sucht. Für $DUSK selbst verbrennt der CCT-Standard das Token auf der sendenden Chain und mintet es auf der empfangenden, sodass dort kein gesperrter Liquiditätspool als Badge-Scanner-Lücke herumsitzt, die man spoofen könnte.
Was sich trotz Dusk' Setup nicht auflöst: dass mehr Parteien es prüfen nicht dasselbe ist wie „niemand kann es fälschen“. Es verlagert das Risiko vom Code eines einzelnen Relayers darauf, ob jemals genug von diesen Netzwerken kompromittiert werden könnten oder ob sie sich gleichzeitig verschwören – eine andere Form derselben Vertrauensfrage.
Ich denke immer noch an dieses Badge, das grün gepiepst hat – für ein Gesicht, das es nie angesehen hat. @Dusk
Beim Lesen über Dusk' Chainlink-CCIP-Integration diese Woche hat mich das direkt zurück an den Empfangstresen gebracht, bei dem ich vor Jahren als Aushilfe gearbeitet habe – mit einem Badge-Scanner an der Laderampe. Kuriersbadge: grünes Piepen, Tür geht auf, niemand vergleicht das Foto mit der Person, die den Badge in der Hand hält. Nur das Piepen.
In einer Woche ging jemand mit einer ausgehenden Sendung raus – Badge-Piepen grün unter einem Namen, der nicht der eigene war. Sicherheitsaufnahmen haben es irgendwann aufgefangen. Der Scanner hatte genau das getan, wofür er gebaut wurde: dem Piepton zu vertrauen, nicht der Person.
Nenn es das „vertrauenswürdige Piepen“: ein System, das das Signal überprüft, das sagt, etwas sei wahr – niemals das Ding selbst. Die meisten Cross-Chain-Bridges laufen mit derselben Grundform, und es ist die Lücke, die Dusk nicht offen lassen will. Eine Chain sendet eine Nachricht, in der behauptet wird, die Gelder seien gesperrt, die andere zahlt genau im Moment aus, wenn sie hört, dass diese Nachricht sauber bei ihr ankommt.
Am 9. August hat jemand ungefähr 199.916 XRP – etwa 200.000 US-Dollar – aus der Bridge abgezogen, die die $XRP Ledger mit der tx-Chain verbindet. Kein privater Schlüssel wurde angefasst, kein Vertragsfehler auf irgendeinem der beiden Ledgers. Der Angreifer hat eine Deposit-Verifizierungsnachricht in der Relayer-Software gefälscht, und sie wurde über 94 Withdrawals in 97 Minuten ausgezahlt – alles nur, weil die Nachricht grün gepiept hat.
Das ist das Single-Relayer-Setup, das Dusk mit der Chainlink-CCIP-Integration überspringt, die es zusammen mit NPEX aufbaut. Mehrere unabhängige Oracle-Netzwerke kommen zu einer Übereinstimmung, bevor eine Cross-Chain-Aktion ausgeführt wird – untermauert durch ein separates Risk-Management-Network, das nach einem Muster wie 94 schnellen Withdrawals sucht. Für $DUSK selbst verbrennt der CCT-Standard das Token auf der sendenden Chain und mintet es auf der empfangenden, sodass dort kein gesperrter Liquiditätspool als Badge-Scanner-Lücke herumsitzt, die man spoofen könnte.
Was sich trotz Dusk' Setup nicht auflöst: dass mehr Parteien es prüfen nicht dasselbe ist wie „niemand kann es fälschen“. Es verlagert das Risiko vom Code eines einzelnen Relayers darauf, ob jemals genug von diesen Netzwerken kompromittiert werden könnten oder ob sie sich gleichzeitig verschwören – eine andere Form derselben Vertrauensfrage.
Ich denke immer noch an dieses Badge, das grün gepiepst hat – für ein Gesicht, das es nie angesehen hat. @Dusk