Бухгалтерская ошибка, а не украденный ключ — и именно поэтому этот случай с Arcus стоит изучить.
Факты: Arcus, DEX, созданная командой, стоящей за dYdX, сообщила 10 ноября, что 9 ноября около 22:07 по нью-йоркскому времени новый аккаунт воспользовался уязвимостью в обработке биржей переводов между субаккаунтами. На счёте отобразился баланс, намного превышавший фактический, после чего с него вывели 2.234.391 USDG, прежде чем вывод средств остановили. Ещё около 3 миллионов долларов в запросах на вывод были задержаны ограничением скорости работы бриджа. Уязвимость устранили менее чем за час, а Arcus покрыла весь дефицит из средств компании — средства пользователей не пострадали. Адрес, с которого начал действовать злоумышленник, опубликовали, чтобы другие биржи могли пометить его. (Официальный отчёт Arcus об инциденте, 10 ноября; The Block, 11 ноября.)
Моё мнение: сумма невелика по сравнению с крупными взломами этого года, но важен сам тип уязвимости: утек не приватный ключ, а внутренняя система учёта неверно рассчитала баланс. Ситуацию спасли два фактора: ограничение скорости работы бриджа, задержавшее вывод 3 миллионов долларов, и средства компании, которыми покрыли дефицит, не перекладывая его на пользователей. На всё ещё оборонительном рынке это напоминание: иногда самый большой риск связан не с рынком, а с допущениями, заложенными в код.
За чем я слежу: удастся ли отследить украденные средства по опубликованному адресу и проверят ли другие DEX логику работы своих субаккаунтов.
Как вы считаете, что важнее для защиты DEX: аудит кода или такие ограничения на вывод средств?
Это мой анализ, а не финансовый совет — всегда проводите собственное исследование (DYOR).
#KeamananCrypto #DeFi
Факты: Arcus, DEX, созданная командой, стоящей за dYdX, сообщила 10 ноября, что 9 ноября около 22:07 по нью-йоркскому времени новый аккаунт воспользовался уязвимостью в обработке биржей переводов между субаккаунтами. На счёте отобразился баланс, намного превышавший фактический, после чего с него вывели 2.234.391 USDG, прежде чем вывод средств остановили. Ещё около 3 миллионов долларов в запросах на вывод были задержаны ограничением скорости работы бриджа. Уязвимость устранили менее чем за час, а Arcus покрыла весь дефицит из средств компании — средства пользователей не пострадали. Адрес, с которого начал действовать злоумышленник, опубликовали, чтобы другие биржи могли пометить его. (Официальный отчёт Arcus об инциденте, 10 ноября; The Block, 11 ноября.)
Моё мнение: сумма невелика по сравнению с крупными взломами этого года, но важен сам тип уязвимости: утек не приватный ключ, а внутренняя система учёта неверно рассчитала баланс. Ситуацию спасли два фактора: ограничение скорости работы бриджа, задержавшее вывод 3 миллионов долларов, и средства компании, которыми покрыли дефицит, не перекладывая его на пользователей. На всё ещё оборонительном рынке это напоминание: иногда самый большой риск связан не с рынком, а с допущениями, заложенными в код.
За чем я слежу: удастся ли отследить украденные средства по опубликованному адресу и проверят ли другие DEX логику работы своих субаккаунтов.
Как вы считаете, что важнее для защиты DEX: аудит кода или такие ограничения на вывод средств?
Это мой анализ, а не финансовый совет — всегда проводите собственное исследование (DYOR).
#KeamananCrypto #DeFi