Ich habe mir das eigentlich eine Weile überlegt—nicht weil der Betrag so groß wäre, sondern weil die Formulierungen in zwei Ankündigungen so stark voneinander abweichen.
Am 17. Januar, als ich es zum ersten Mal sah, sagte Dusk: „Das Team-Wallet zeigt eine anormale Aktivität“ und „Die Nutzergelder wurden nicht beeinträchtigt“. Ich habe den Text gelesen und ihn erst mal zur Seite gelegt, weil ich dachte, das Problem sei nicht groß. Erst als am 10. März der detaillierte Bericht veröffentlicht wurde, merkte ich, dass die Sache viel komplexer war, als ich angenommen hatte.
Zehntausend DUSK wurden abgezogen, dann achtundneunzigtausend, zweihundertvierundsiebzigtausend, achtundsechshundertsechstausend—Betrag für Betrag, insgesamt über zehn Millionen DUSK. Der letzte Versuch mit achtundneunzigundneunzigtausend DUSK zur Brückenverknüpfung wurde nur dadurch gestoppt, dass die Brücke umgehend stillgelegt wurde.
Am meisten lohnt es sich meiner Meinung nach nicht zu fragen, „ob jemand angegriffen hat“, sondern welche Lücke zwischen der anfänglichen Reaktion des Teams und den später offengelegten Details besteht. Wenn man nur die erste Ankündigung betrachtet, entsteht der Eindruck „nur eine sehr geringfügige Anomalie, die bereits unter Kontrolle ist“. Erst nachdem man den späteren Bericht gesehen hat, wird klar: Das signierte Wallet wurde kompromittiert, die Gelder wurden abgezogen, und ein Teil wurde zudem über eine Cross-Chain-Verknüpfung nach BSC übertragen. Diese Informationen sind nicht widersprüchlich, aber der Eindruck ist völlig anders.
Das Team hat später Isolation und Härtungsmaßnahmen umgesetzt—Signatur, Vorfallbearbeitung und Netzwerkverbindung wurden getrennt, und der Transaktionsstatus wurde um ein klares Lebenszyklus-Management ergänzt. Diese Nacharbeiten zeigen, dass sie die Schwächen in der Architektur tatsächlich nachgezogen haben. Aber ich frage mich: Wenn in der ersten Ankündigung damals schon klar gewesen wäre, dass „der Angreifer Zugriff auf das signierte Wallet erhalten hat und mehrere Millionen Tokens übertragen wurden“—wie hätte der Markt reagiert? Die offizielle Entscheidung für zurückhaltendere Formulierungen könnte darauf abzielen, Panik zu vermeiden, oder darauf, die Lage zunächst zu stabilisieren und dann weiter zu ermitteln. Diese Entscheidung selbst ist eine Kommunikationsstrategie; eine Strategie hat nicht immer eindeutig richtig oder falsch. Für Menschen, die sich für Sicherheit interessieren, macht es jedoch mehr als nur einen kleinen Unterschied, ob man „es nicht erwähnt“ oder „es erwähnt“. Es geht um deutlich mehr als nur um die Kosten eines Gesprächs.
Ich beobachte aktuell noch zwei Punkte: Erstens, ob Dusk seitdem regelmäßig Fortschritte und Ergebnisse von Sicherheits-Audits offenlegt; zweitens, ob das Team in den nachfolgenden Vorfällen bei der Offenlegung von Risikoinformationen früher und transparenter vorgehen wird. Sicherheitsarchitektur kann man nachbessern, aber ob der Kommunikationsstil synchron angepasst werden kann—vielleicht ist das sogar schwieriger als ein paar Zeilen Code.
#dusk $DUSK @Dusk
Am 17. Januar, als ich es zum ersten Mal sah, sagte Dusk: „Das Team-Wallet zeigt eine anormale Aktivität“ und „Die Nutzergelder wurden nicht beeinträchtigt“. Ich habe den Text gelesen und ihn erst mal zur Seite gelegt, weil ich dachte, das Problem sei nicht groß. Erst als am 10. März der detaillierte Bericht veröffentlicht wurde, merkte ich, dass die Sache viel komplexer war, als ich angenommen hatte.
Zehntausend DUSK wurden abgezogen, dann achtundneunzigtausend, zweihundertvierundsiebzigtausend, achtundsechshundertsechstausend—Betrag für Betrag, insgesamt über zehn Millionen DUSK. Der letzte Versuch mit achtundneunzigundneunzigtausend DUSK zur Brückenverknüpfung wurde nur dadurch gestoppt, dass die Brücke umgehend stillgelegt wurde.
Am meisten lohnt es sich meiner Meinung nach nicht zu fragen, „ob jemand angegriffen hat“, sondern welche Lücke zwischen der anfänglichen Reaktion des Teams und den später offengelegten Details besteht. Wenn man nur die erste Ankündigung betrachtet, entsteht der Eindruck „nur eine sehr geringfügige Anomalie, die bereits unter Kontrolle ist“. Erst nachdem man den späteren Bericht gesehen hat, wird klar: Das signierte Wallet wurde kompromittiert, die Gelder wurden abgezogen, und ein Teil wurde zudem über eine Cross-Chain-Verknüpfung nach BSC übertragen. Diese Informationen sind nicht widersprüchlich, aber der Eindruck ist völlig anders.
Das Team hat später Isolation und Härtungsmaßnahmen umgesetzt—Signatur, Vorfallbearbeitung und Netzwerkverbindung wurden getrennt, und der Transaktionsstatus wurde um ein klares Lebenszyklus-Management ergänzt. Diese Nacharbeiten zeigen, dass sie die Schwächen in der Architektur tatsächlich nachgezogen haben. Aber ich frage mich: Wenn in der ersten Ankündigung damals schon klar gewesen wäre, dass „der Angreifer Zugriff auf das signierte Wallet erhalten hat und mehrere Millionen Tokens übertragen wurden“—wie hätte der Markt reagiert? Die offizielle Entscheidung für zurückhaltendere Formulierungen könnte darauf abzielen, Panik zu vermeiden, oder darauf, die Lage zunächst zu stabilisieren und dann weiter zu ermitteln. Diese Entscheidung selbst ist eine Kommunikationsstrategie; eine Strategie hat nicht immer eindeutig richtig oder falsch. Für Menschen, die sich für Sicherheit interessieren, macht es jedoch mehr als nur einen kleinen Unterschied, ob man „es nicht erwähnt“ oder „es erwähnt“. Es geht um deutlich mehr als nur um die Kosten eines Gesprächs.
Ich beobachte aktuell noch zwei Punkte: Erstens, ob Dusk seitdem regelmäßig Fortschritte und Ergebnisse von Sicherheits-Audits offenlegt; zweitens, ob das Team in den nachfolgenden Vorfällen bei der Offenlegung von Risikoinformationen früher und transparenter vorgehen wird. Sicherheitsarchitektur kann man nachbessern, aber ob der Kommunikationsstil synchron angepasst werden kann—vielleicht ist das sogar schwieriger als ein paar Zeilen Code.
#dusk $DUSK @Dusk
