𝐂𝐡𝐚𝐢𝐧𝐟𝐥𝐢𝐩 𝐓𝐑𝐎𝐍 𝐔𝐒𝐃𝐓 𝐩𝐨𝐝𝐤𝐥𝐢𝐮𝐜𝐡𝐞𝐧 𝐢𝐧𝐜𝐢𝐝𝐞𝐧𝐭: 𝐂𝐡𝐭𝐨 𝐩𝐫𝐨𝐢𝐳𝐨𝐒𝐥𝐨?
Недавно Chainflip столкнулась с серьезным инцидентом безопасности, связанным с интеграцией TRON USDT. В результате было выведено 736 442,17 USDT посредством шести несанкционированных выплат. Chainflip заявила, что причина заключалась в том, как ее система обрабатывала memo транзакций в TRON, а не в компрометации блокчейна TRON или самого USDT.
Самое примечательное в инциденте — насколько простой выглядит уязвимость.
Chainflip использует transaction memos в TRON, чтобы считывать инструкции свопа. Злоумышленник нашел способ прикрепить собственную memo к транзакции, которая уже была подписана валидаторами Chainflip.
Затем система интерпретировала добавленную memo как еще один своп.
Когда этот своп оказался неуспешным, протокол выпустил возврат средств.
Проблема была в том, что исходная транзакция уже привела к выплате.
Таким образом, один и тот же базовый депозит мог фактически инициировать две выплаты.
Злоумышленник повторил этот процесс восемь раз примерно за 90 минут. Шесть попыток привели к несанкционированным выплатам, а общий итог составил 736 442,17 USDT.
Chainflip отреагировала тем, что приостановила работу сети, пока команда разбиралась в проблеме и готовила исправление.
С тех пор уязвимость была устранена, и позже Chainflip восстановила работу протокола через сетевое обновление. Теперь на ее странице статуса инцидент с TRON USDT указан как решенный.
Что здесь бросается в глаза, так это то, что кроссчейн-инфраструктура состоит из множества движущихся частей.
Блокчейн может продолжать работать в обычном режиме, даже если приложение, построенное вокруг него, все еще содержит уязвимость в том, как оно интерпретирует транзакции.
Эта разница важна.
Инцидент был связан с собственной интеграцией Chainflip для TRON и логикой обработки memo. Chainflip сообщила, что другие средства не пострадали, а затронутые LP будут полностью компенсированы. Позже ее предложение Proposal 008 прошло: 91 из 128 валидаторов поддержали использование избыточных протокольных средств для покрытия затронутых LP по TRON USDT.
@Justin Sun孙宇晨 @TRON DAO #TRONEcoStar
Недавно Chainflip столкнулась с серьезным инцидентом безопасности, связанным с интеграцией TRON USDT. В результате было выведено 736 442,17 USDT посредством шести несанкционированных выплат. Chainflip заявила, что причина заключалась в том, как ее система обрабатывала memo транзакций в TRON, а не в компрометации блокчейна TRON или самого USDT.
Самое примечательное в инциденте — насколько простой выглядит уязвимость.
Chainflip использует transaction memos в TRON, чтобы считывать инструкции свопа. Злоумышленник нашел способ прикрепить собственную memo к транзакции, которая уже была подписана валидаторами Chainflip.
Затем система интерпретировала добавленную memo как еще один своп.
Когда этот своп оказался неуспешным, протокол выпустил возврат средств.
Проблема была в том, что исходная транзакция уже привела к выплате.
Таким образом, один и тот же базовый депозит мог фактически инициировать две выплаты.
Злоумышленник повторил этот процесс восемь раз примерно за 90 минут. Шесть попыток привели к несанкционированным выплатам, а общий итог составил 736 442,17 USDT.
Chainflip отреагировала тем, что приостановила работу сети, пока команда разбиралась в проблеме и готовила исправление.
С тех пор уязвимость была устранена, и позже Chainflip восстановила работу протокола через сетевое обновление. Теперь на ее странице статуса инцидент с TRON USDT указан как решенный.
Что здесь бросается в глаза, так это то, что кроссчейн-инфраструктура состоит из множества движущихся частей.
Блокчейн может продолжать работать в обычном режиме, даже если приложение, построенное вокруг него, все еще содержит уязвимость в том, как оно интерпретирует транзакции.
Эта разница важна.
Инцидент был связан с собственной интеграцией Chainflip для TRON и логикой обработки memo. Chainflip сообщила, что другие средства не пострадали, а затронутые LP будут полностью компенсированы. Позже ее предложение Proposal 008 прошло: 91 из 128 валидаторов поддержали использование избыточных протокольных средств для покрытия затронутых LP по TRON USDT.
@Justin Sun孙宇晨 @TRON DAO #TRONEcoStar
