Hackers não precisam necessariamente invadir contratos inteligentes. Basta assumir o controle dos poderes de governança para possivelmente controlar os fundos de todo o projeto!
O recente incidente de segurança envolvendo a X100 é um exemplo.
De acordo com uma análise preliminar publicada em 24 de outubro pela empresa de segurança blockchain Blockaid, o mecanismo de governança da X100 foi alvo de um possível ataque, envolvendo cerca de US$ 4,85 milhões em ativos.
O ponto central do incidente foi a estrutura de governança da X100, chamada de «Senado».
O mecanismo tem três assentos e, originalmente, gerenciava os poderes relacionados ao projeto por meio de decisões tomadas por maioria.
Mas o invasor teria assumido o controle de dois dos assentos, obtendo poder suficiente para aprovar propostas de governança.
Em seguida, o invasor usou esses poderes para movimentar tokens do tesouro do projeto e sua liquidez, o que levou à transferência de ativos.
Depois, a Blockaid também rastreou uma terceira transação relacionada.
Há três aspectos importantes a observar neste incidente:
1. O ponto de entrada do ataque pode não ter sido o código do contrato inteligente, mas sim o controle da governança.
2. Em uma estrutura de governança com três assentos, o controle de apenas dois pode comprometer o sistema de contrapesos originalmente previsto.
3. Mesmo que uma transação esteja de acordo com as regras de permissões definidas no contrato, isso não significa que ela tenha sido devidamente autorizada.
O incidente também serve de alerta para projetos DeFi: além da auditoria de contratos inteligentes, a segurança dos poderes de governança, dos signatários e da gestão do tesouro é igualmente importante.
O valor de cerca de US$ 4,85 milhões é uma estimativa preliminar do montante envolvido. As perdas reais e os detalhes completos do ataque ainda precisam ser confirmados.
O recente incidente de segurança envolvendo a X100 é um exemplo.
De acordo com uma análise preliminar publicada em 24 de outubro pela empresa de segurança blockchain Blockaid, o mecanismo de governança da X100 foi alvo de um possível ataque, envolvendo cerca de US$ 4,85 milhões em ativos.
O ponto central do incidente foi a estrutura de governança da X100, chamada de «Senado».
O mecanismo tem três assentos e, originalmente, gerenciava os poderes relacionados ao projeto por meio de decisões tomadas por maioria.
Mas o invasor teria assumido o controle de dois dos assentos, obtendo poder suficiente para aprovar propostas de governança.
Em seguida, o invasor usou esses poderes para movimentar tokens do tesouro do projeto e sua liquidez, o que levou à transferência de ativos.
Depois, a Blockaid também rastreou uma terceira transação relacionada.
Há três aspectos importantes a observar neste incidente:
1. O ponto de entrada do ataque pode não ter sido o código do contrato inteligente, mas sim o controle da governança.
2. Em uma estrutura de governança com três assentos, o controle de apenas dois pode comprometer o sistema de contrapesos originalmente previsto.
3. Mesmo que uma transação esteja de acordo com as regras de permissões definidas no contrato, isso não significa que ela tenha sido devidamente autorizada.
O incidente também serve de alerta para projetos DeFi: além da auditoria de contratos inteligentes, a segurança dos poderes de governança, dos signatários e da gestão do tesouro é igualmente importante.
O valor de cerca de US$ 4,85 milhões é uma estimativa preliminar do montante envolvido. As perdas reais e os detalhes completos do ataque ainda precisam ser confirmados.
