Хакерам не обязательно взламывать смарт-контракт: достаточно получить контроль над управлением — и они могут распоряжаться средствами всего проекта!
Последний инцидент с X100 — тому пример.
Согласно предварительному анализу компании Blockaid, специализирующейся на безопасности блокчейнов, опубликованному 24 октября, механизм управления X100, предположительно, подвергся атаке. Она затронула активы на сумму около 4,85 млн долларов.
Ключевую роль в инциденте сыграла структура управления X100, называемая «Сенатом».
В ней предусмотрено три места, а полномочия, связанные с проектом, изначально осуществлялись на основе решений большинства.
Однако предполагается, что злоумышленники получили контроль над двумя местами и тем самым — достаточную власть для принятия решений по управлению.
Затем они воспользовались этими полномочиями, чтобы распорядиться токенами казначейства проекта и средствами в пуле ликвидности, в результате чего активы были выведены.
Позже Blockaid отследила ещё одну связанную с инцидентом транзакцию.
В этом случае стоит отметить три момента:
1. Точкой входа для атаки мог стать не код смарт-контракта, а контроль над управлением.
2. Если в структуре управления из трёх мест злоумышленники контролируют два, изначально предусмотренная система сдержек и противовесов может перестать работать.
3. Даже если транзакция соответствует правилам доступа, заданным в контракте, это ещё не означает, что она была законно авторизована.
Этот случай также напоминает DeFi-проектам, что наряду с аудитом смарт-контрактов важны защита полномочий управления и подписантов, а также контроль над казначейством.
На данный момент предварительная оценка затронутых средств составляет около 4,85 млн долларов. Фактический ущерб и полные детали атаки ещё предстоит установить.
Последний инцидент с X100 — тому пример.
Согласно предварительному анализу компании Blockaid, специализирующейся на безопасности блокчейнов, опубликованному 24 октября, механизм управления X100, предположительно, подвергся атаке. Она затронула активы на сумму около 4,85 млн долларов.
Ключевую роль в инциденте сыграла структура управления X100, называемая «Сенатом».
В ней предусмотрено три места, а полномочия, связанные с проектом, изначально осуществлялись на основе решений большинства.
Однако предполагается, что злоумышленники получили контроль над двумя местами и тем самым — достаточную власть для принятия решений по управлению.
Затем они воспользовались этими полномочиями, чтобы распорядиться токенами казначейства проекта и средствами в пуле ликвидности, в результате чего активы были выведены.
Позже Blockaid отследила ещё одну связанную с инцидентом транзакцию.
В этом случае стоит отметить три момента:
1. Точкой входа для атаки мог стать не код смарт-контракта, а контроль над управлением.
2. Если в структуре управления из трёх мест злоумышленники контролируют два, изначально предусмотренная система сдержек и противовесов может перестать работать.
3. Даже если транзакция соответствует правилам доступа, заданным в контракте, это ещё не означает, что она была законно авторизована.
Этот случай также напоминает DeFi-проектам, что наряду с аудитом смарт-контрактов важны защита полномочий управления и подписантов, а также контроль над казначейством.
На данный момент предварительная оценка затронутых средств составляет около 4,85 млн долларов. Фактический ущерб и полные детали атаки ещё предстоит установить.
