Может ли откат в блокчейне спасти украденные активы?

Три случая экстренной остановки публичных блокчейнов показывают реальные ограничения экстренных полномочий в блокчейне.

Автор: Лиам 'Акиба' Райт

Перевод: Саорша, Foresight News

За четыре дня три блокчейн-сети прекратили создание блоков. Каждая остановка сети использовала совершенно разные экстренные полномочия, и только Cronos переписал часть официальной истории цепочки.

Представители Cronos сообщили, что после атаки на протокол Tectonic валидаторы остановили сеть через механизм консенсуса, восстановив цепочку до состояния до атаки и перезапустив создание блоков с высоты блока 90,896,189. Эта операция не только остановила создание блоков, но и напрямую изменила состояние цепочки. Все транзакции и изменения состояния, произошедшие после точки восстановления, больше не относятся к официальной основной цепочке после перезапуска.

Ontology и ICON использовали другой набор экстренных мер. Ontology приостановила создание блоков до подтверждения злонамеренной атаки, а в обновлении от 1 сентября сообщила, что данная злонамеренная деятельность не привела к потерям активов пользователей. ICON сначала приостановила атакованный контракт, а затем остановила всю сеть; при этом фонд заявил, что сеть контролируется в процессе миграции, и в это время большая часть украденного ICX уже была переведена на счета хранения бирж.

Остановка блокчейна — это лишь первый уровень контрольных мер. Более глубокая проблема заключается в том: кто имеет право приказывать о остановке сети? Могут ли они переписывать уже подтвержденное состояние цепочки? Какие потери окажутся невосполнимыми, когда средства переходят между цепочками или попадают в централизованные хранилища?

Информация о полномочиях, раскрытых в экстренных мерах, известна: восстановление рисков, остановка сети из-за уязвимости CronosTectonic и восстановление до состояния до уязвимости; объявление о перезапуске не раскрывает данные о голосовании и все действия на цепочке после контрольной точки аннулированы; средства, переведенные на Ethereum, не находятся под контролем Cronos; окончательная статистика потерь протокола Tectonic еще не завершена; Ontology обнаружила потенциальные риски во время регулярной проверки, после чего была подтверждена злонамеренная деятельность, и блоки были приостановлены в профилактических целях, без отката; не раскрыты пороги активации экстренных мер и невозможность выполнения транзакций во время обновления сети; не обнаружено ущерба активам пользователей; у контракта ICON была уязвимость повторного воспроизведения, сначала приостановили контракт, затем остановили всю сеть; сеть контролировалась фондом в процессе миграции, количество основных валидаторов сократилось, потери несет фонд; возможность возврата ICX, находящихся на бирже, зависит от хранителей, юридических процессов и правоохранительных органов.

Сравнение экстренных мер трех публичных блокчейнов: Cronos, Ontology, ICON

Cronos: от остановки к переписыванию состояния цепочки

Cronos назвал действия по устранению инцидента «экстренными действиями консенсуса валидаторов». Объявление о перезапуске от 31 августа показывает, что в 23:49:01 по всемирному координированному времени 30 августа сеть восстановила создание блоков с высоты блока 90,896,189, а состояние цепочки вернулось к моменту до атаки на Tectonic.

Операция остановки Cronos означает принятие решения о распределении выгод от точки восстановления. Все состояния на цепочке, связанные с уязвимостью, а также все не относящиеся к этому транзакции за этот период были стерты из официальной цепочки. Объявление о перезапуске не содержит списка транзакций, статистики валидаторов, порогов голосования и списка участвующих узлов. Cronos пообещал выпустить отчет о последующем анализе, который должен полностью объяснить процесс устранения и технические последствия.

Даже масштаб активов, которые были фактически защищены в ходе этого вмешательства, еще не определен. TRM Labs оценивает, что после манипуляции ценой токена TONIC было выдано около 75 миллионов долларов активов; из них около 6 миллионов долларов ушли на Ethereum, а около 68,7 миллионов долларов были возвращены на цепочку Cronos. Статистика Bitquery показывает еще более высокий общий объем оттока, около 8,3 миллиона долларов активов ушли на Ethereum, всего было аннулировано 10,961 блока.

Разные статистические подходы учитывают разные объекты, окончательные данные о потерях от Tectonic еще предстоит опубликовать. Но одно уже совершенно ясно: откат Cronos может восстановить только состояние, которое все еще находится в пределах этой цепочки, активы на Ethereum полностью не находятся под его контролем.

План по управлению активами Tectonic все еще оставляет вопросы по счетам пользователей. Протокол заявил, что приоритетом будет открытие функций вывода и погашения кредитов, одновременно приостановив депозиты и новые займы. Этот план предоставляет пользователям пути выхода и снижения кредитного плеча, но возможность полного выкупа со стороны поставщиков средств еще не подтверждена. Отчет о последующем анализе Tectonic также должен прояснить принципы уязвимости, общий отток средств, объем плохих долгов, возвращенные активы и остальные оставшиеся долги.

Темпы восстановления различных инфраструктур и перезапуск консенсуса цепочки не синхронизированы. Cronos напоминает, что различные протоколы, мосты между цепочками, обозреватели блоков и RPC-сервисы требуют больше времени для восстановления. Страница состояния Alchemy также отдельно фиксирует эту остановку и последующее восстановление. Сеть может официально объявить о перезапуске, но различные услуги, зависящие от нее, могут быть не готовы.

Ontology: остановка лишь для того, чтобы выиграть время для устранения, не отменяя транзакции

Действия Ontology произошли до подтверждения злонамеренной деятельности. Сеть сообщила, что основная команда разработчиков обнаружила потенциальные риски безопасности во время регулярной проверки и немедленно приостановила создание блоков, передав дело технической команде и валидаторам для системной проверки.

Обновление от 1 сентября сообщает, что проверка подтвердила наличие злонамеренной атаки, основная сеть продолжит оставаться в состоянии остановки для устранения уязвимости и обновления сети; эта атака не затронула активы пользователей. Цель Ontology — восстановить нормальную работу в течение 24 часов, при условии, что все проверки безопасности, устранение уязвимостей, обновления и тестирование пройдут успешно.

Остановка Ontology сохраняет все подтвержденные состояния на цепочке, при этом только приостанавливается подтверждение новых транзакций. Объявление не указывает точку восстановления и не публикует набор транзакций, которые необходимо аннулировать.

Открыто раскрытая информация о полномочиях не является полной. Объявление упоминает участие основной команды разработчиков, технической команды и валидаторов сети в устранении, но не указывает, кто является конечным принимающим решения. Документы VBFT Ontology описывают обычный механизм консенсуса, включая подтверждение блоков узлами, управление обновлениями контрактов и набором узлов консенсуса, но документы охватывают только нормальные рабочие сценарии, экстренные правила приостановки, использованные 31 августа, не были публично раскрыты.

Даже если не было причинения убытков активам, остановка все равно приводит к фактическим затратам. Ontology уведомила пользователей, что транзакции на цепочке не могут быть обработаны, и рекомендовала не выполнять операции, чувствительные к времени; позже было заявлено, что перезапуск сети зависит от устранения уязвимостей, обновления и тестирования. Пользователи не могут настраивать свои позиции на цепочке, проводить расчеты, все внешние услуги, подключенные к этой цепочке, могут только ждать сигнала сети.

Критерии для определения восстановления работы ориентированы на безопасность, но конкретные детали ограничены. Ontology заявляет, что как только все исправления, обновления, тестирования и проверки будут завершены, они стремятся восстановить услуги в течение 24 часов, но кто определяет, достигнуты ли условия, и каков порог активации, не было раскрыто.

Это создает неопределенность на уровне управления: в объявлении указаны стороны, участвующие в проверке, но субъект, обладающий окончательным правом на решение о перезапуске, не был четко обозначен. Для пользователей текущий риск исходит от прерывания услуг, а не от определенных убытков активов или отката цепочки.

ICON: почему остановка блокчейна уже слишком поздно

Событие ICON полностью демонстрирует процесс предупреждения, устранения и выхода активов из-под контроля цепочки.

Согласно отчету фонда о последующем анализе, злоумышленник с 02:01:02 до 02:21:12 по всемирному координированному времени 27 августа повторил 1492 раза две исторически действительные подписи на вывод средств. Ошибка в точности привела к тому, что 1490 из этих вызовов были успешными, и из пула активов фонда было выведено 119,866,000 ICX и 531,600 bnUSD.

В 02:08 система мониторинга уже выдала предупреждение, технические специалисты начали расследование позже; затронутый контракт был приостановлен в 03:53. Крупные биржи начали закрывать вывод ICX в 05:54, а полная остановка сети официально вступила в силу в 06:18:54. ICON завершила перезапуск около 07:51 28 августа, спустя примерно 25 часов, одновременно устранив основную уязвимость.

Отчет о последующем анализе считает корень проблемы в процессе реагирования на инциденты, а не в недостаточной способности обнаружения. Предупреждение было вызвано в течение 7 минут, но такие предупреждения часто путаются с не относящимися к делу сбоями RPC, и система не уведомила дежурный персонал. Техническое расследование было запущено только около 03:40, и вскоре после этого контракт был приостановлен.

Когда сеть официально остановилась, большая часть затронутых ICX уже была включена в систему хранения биржи. Контрольные меры со стороны цепочки ICON не смогли остановить биржи от перемещения или преобразования активов, которые они держали. Фонд мог только полагаться на заморозку активов биржи, уведомления о сохранении, юристов и правоохранительные органы для решения проблемы.

Границы хранения напрямую определяют принадлежность потерь. ICON заявляет, что все затронутые активы принадлежат фонду, а депозиты, остатки и позиции обычных пользователей не были затронуты. Отчет показывает, что 531,600 bnUSD и 1,366,000 SODA были полностью возвращены; из 113,634 USDC, выданных в кредит, 82,430 были возвращены. Подтвержденные чистые потери составляют около 150.2 ETH, плюс 31,204 USDC. Большинство затронутых ICX просто были заморожены или отслежены на бирже, и их не удалось вернуть.

Структура контроля ICON также отличается от двух других случаев. Отчет о последующем анализе указывает, что во время миграции сеть контролировалась фондом; в документации по миграции упоминается, что консенсус работает в режиме обслуживания, и только 7 основных узлов. Таким образом, эта остановка опирается на четко контролируемую фондом специальную операционную структуру.

Экстренные полномочия по своей сути также являются правами на уровне активов и обязательств.

Каждая остановка блокчейна по сути является переносом риска в другое место.

• Cronos изменяет официальную историю цепочки: может защитить активы, которые все еще находятся под юрисдикцией цепочки, но аннулирует все нормальные действия на цепочке, не относящиеся к уязвимости, и не может повлиять на активы на Ethereum.
• Ontology превращает риск в временные затраты и потери доступности услуг, в течение расследования транзакции не могут быть завершены, не подтверждены убытки активов.
• ICON завершает разделение контракта и сети только после того, как активы уже были переведены за пределы контроля цепочки; подтвержденные потери несет фонд, возврат замороженных ICX зависит от бирж и судебных органов.

Простая децентрализованная оценка может скрыть эти совершенно разные результаты. Более практическими критериями оценки являются: опубликованы ли правила экстренного реагирования? Каков порог активации мер? Это просто остановка новых блоков или переписывание уже подтвержденного состояния цепочки? Когда вмешательство происходит, кому принадлежат активы, вышедшие из-под юрисдикции этой цепочки? Кто обещает взять на себя оставшиеся потери?

Cronos и Tectonic все еще должны выпустить полный отчет о последующем анализе. Ontology необходимо раскрыть детали атаки и правила экстренного уполномочивания, а затем подтвердить, достигнуты ли условия для обновления и перезапуска. Действительно стоит сравнивать границы рисков, установленные каждой сетью — какие истории, время и средства будут подвергнуты риску.