Я ещё раз разобрал тот обзор кроссчейн-моста про @Dusk этого года и понял: самое важное — не слово «украдено», а то, на каком именно уровне произошёл сбой. Проблема 16 января возникла в кошельке для подписи, который использовал мост-сервис: после того как злоумышленник получил право на выпуск средств, он вывел активы со стороны Dusk, а затем часть перевёл в BSC. Официально было прямо сказано, что это не отказ консенсуса и не взлом протокола L1.
Но это не значит, что с базовым блокчейном всё в порядке и что пользователям можно игнорировать риски моста. В старой архитектуре приём событий, подпись и выпуск средств были сведены в один путь: это быстро, но если сторона подписи скомпрометирована, власть становится слишком централизованной. Позднее переработка как раз разделила эти три части: событие сначала попадает в задачу, worker обрабатывает его по конечному автомату; подписанные исходные транзакции сначала сохраняются, и если что-то не удалось, повторно воспроизводится та же транзакция; в горячем кошельке оставляют только баланс, нужный на ближайшее время, а если он падает ниже порога — операции приостанавливаются, и холодный кошелёк пополняют вручную.
Раньше и я легко воспринимал фразу «мост — это не протокол» как форму снятия ответственности, а теперь мне больше хочется смотреть на это наоборот: как только пользователь воспринимает мост как точку входа ликвидности, он уже входит в $DUSK реальную зону безопасности. Безопасность консенсуса в цепи и безопасность входа-выхода активов — это два экзамена, которые нужно сдавать одновременно.
Направление исправления на этот раз правильное, но риск никуда не исчез: нужно и дальше следить, действительно ли долго соблюдается изоляция ключей, насколько разумны пороговые значения, и можно ли аудитировать остановку сервиса и ручное пополнение. #dusk Сообществу важнее спрашивать не «взломали ли цепь», а «какой ключ всё ещё обладает властью, выходящей за пределы необходимого». Когда вы смотрите на кроссчейн-мост, вы сначала смотрите на аудит кода или сначала на то, как разделены операционные полномочия?
$TREE $ETH
Но это не значит, что с базовым блокчейном всё в порядке и что пользователям можно игнорировать риски моста. В старой архитектуре приём событий, подпись и выпуск средств были сведены в один путь: это быстро, но если сторона подписи скомпрометирована, власть становится слишком централизованной. Позднее переработка как раз разделила эти три части: событие сначала попадает в задачу, worker обрабатывает его по конечному автомату; подписанные исходные транзакции сначала сохраняются, и если что-то не удалось, повторно воспроизводится та же транзакция; в горячем кошельке оставляют только баланс, нужный на ближайшее время, а если он падает ниже порога — операции приостанавливаются, и холодный кошелёк пополняют вручную.
Раньше и я легко воспринимал фразу «мост — это не протокол» как форму снятия ответственности, а теперь мне больше хочется смотреть на это наоборот: как только пользователь воспринимает мост как точку входа ликвидности, он уже входит в $DUSK реальную зону безопасности. Безопасность консенсуса в цепи и безопасность входа-выхода активов — это два экзамена, которые нужно сдавать одновременно.
Направление исправления на этот раз правильное, но риск никуда не исчез: нужно и дальше следить, действительно ли долго соблюдается изоляция ключей, насколько разумны пороговые значения, и можно ли аудитировать остановку сервиса и ручное пополнение. #dusk Сообществу важнее спрашивать не «взломали ли цепь», а «какой ключ всё ещё обладает властью, выходящей за пределы необходимого». Когда вы смотрите на кроссчейн-мост, вы сначала смотрите на аудит кода или сначала на то, как разделены операционные полномочия?
$TREE $ETH
