Спасёт ли ончейн-откат украденные активы?

Автор: Liam 'Akiba' Wright

Перевод: Saoirse, Foresight News

В течение четырех дней три блокчейн-сети последовательно прекратили генерацию блоков. Каждый случай простоя требовал применения совершенно разных чрезвычайных полномочий, и лишь сеть Cronos частично изменила историю своей основной цепи.

По заявлению Cronos, после того как протокол Tectonic подвергся атаке из-за уязвимости, валидаторы посредством консенсус-механизма остановили сеть, вернув цепь в состояние до атаки, и возобновили генерацию блоков с высоты 90 896 189. Данная операция не только прекратила выпуск блоков, но и напрямую изменила состояние цепи. Все транзакции и изменения состояния, произошедшие после точки восстановления, более не входят в историю новой основной сети.

Сети Ontology и ICON применили иной подход к действиям в чрезвычайных ситуациях. Ontology приостановила генерацию блоков еще до подтверждения факта злонамеренной атаки; согласно обновлению от 1 сентября, эта активность не привела к потере пользовательских активов. ICON сначала приостановил работу контракта, подвергшегося атаке, а затем уже полностью остановил сеть; по словам фонда, во время фазы миграции контроль над сетью находился в его руках, и на тот момент большая часть украденных ICX уже была переведена на счета custody-оператора биржи.

Простой блокчейна — это лишь первый уровень контроля. Более глубокие вопросы заключаются в следующем: кто имеет право отдавать приказ о блокировке сети? Могут ли они изменить уже подтвержденное состояние цепи? Когда средства переходят между цепями или попадают в централизованную систему хранения custody, какие потери становятся необратимыми?

Информация о раскрытых полномочиях для реагирования на события в сети; известные риски восстановления. Cronos: атака из-за уязвимости протокола Tectonic привела к остановке сети и восстановлению состояния цепи до момента атаки посредством консенсуса валидаторов; в анонсе перезапуска не раскрываются данные подсчета голосов и пороговые значения; вся активность в сети после контрольной точки аннулируется; средства, перемещенные в Ethereum, находятся вне юрисдикции Cronos; окончательный подсчет убытков по протоколу Tectonic еще не завершен. Ontology: при регулярном мониторинге выявлен потенциальный риск, позднее подтверждены вредоносные действия; превентивная приостановка генерации блоков без отката истории; задействованы основная команда разработки, техническая команда и валидаторы; пороговое значение для активации экстренных мер не раскрывается; транзакции не обрабатываются в период исправления ошибок и обновления сети; ущерб активам пользователей не выявлен. ICON: в контракте миграции обнаружена уязвимость replay-атаки; сначала приостановлен контракт, затем полностью остановлена сеть; в период миграции контроль над сетью осуществляет фонд, число основных валидаторов сокращено; убытки берет на себя фонд; возврат ICX, оставшихся на биржах, зависит от custody-оператора, судебных процедур и правоохранительных органов

Сравнение методов реагирования на чрезвычайные ситуации трех публичных блокчейнов: Cronos, Ontology и ICON

Cronos: от остановки сети к изменению состояния цепи

Cronos назвала реакцию на данный инцидент «экстренной операцией на основе консенсуса валидаторов». Согласно объявлению о перезапуске от 31 августа, сеть возобновила генерацию блоков с высоты 90 896 189 в 23:49:01 UTC 30 августа, вернув состояние цепи к отметке до начала атаки из-за уязвимости в Tectonic.

Остановка сети Cronos подразумевает принятие решений о распределении интересов по точке восстановления. Вся связанная с уязвимостью активность в цепи после контрольной точки, равно как и все прочие транзакции в этот период, стираются из официальной сети. Анонс перезапуска не сопровождался списком транзакций, статистикой по валидаторам, порогами веса голосов или реестром участвующих нод. Cronos обязались опубликовать постмортем-отчет, который должен дать полное объяснение процесса реагирования и масштаба технического воздействия.

Масштаб активов, фактически спасенных благодаря этому вмешательству, также остается предметом дискуссий. По оценке TRM Labs, после манипуляций с ценой токена TONIC было выдано займов на сумму около 75 млн долларов США; из них около 6 млн долларов перетекло в Ethereum, а примерно 68,7 млн долларов были откатны внутри сети Cronos. Статистика Bitquery демонстрирует более высокие общие объемы оттока: около 8,3 млн долларов перешли в Ethereum, в результате чего было дискредитировано 10 961 блок.

Эти два метода оценки опираются на разные выборки, и официальные итоговые данные об убытках по протоколу Tectonic еще предстоит опубликовать. Однако одно понятно абсолютно четко: откат Cronos способен восстановить лишь то состояние, которое осталось внутри его собственной сети; активы в блокчейне Ethereum находятся вне зоны его влияния.

План распоряжения активами Tectonic оставляет нерешенными вопросы учета на стороне пользователей. Протокол сообщил о приоритетном открытии функций вывода средств и погашения кредитов при одновременной паузе в приеме депозитов и выдаче новых займов. Данный путь дает пользователям возможности для выхода из системы и снятия рычагов кредитного плеча, однако вопрос полного возврата средств кредиторами пока не решен. Ожидаемый постмортем-отчет Tectonic должен прояснить механизм работы уязвимости, общие объемы оттока, размер просроченной задолженности, список возвращенных активов и остальные непогашенные обязательства.

Темпы восстановления различной инфраструктуры не синхронизированы с перезапуском консенсуса цепи. Cronos предупредил, что на восстановление различных протоколов, кроссчейн-мостов, блок-эксплореров и сервисов RPC потребуется больше времени. На странице статуса Alchemy также отдельно зафиксированы данный простой и последующие восстановительные работы. Само блокчейн-сетевое ядро может объявить о полноценном перезапуске, однако зависящие от него сервисы могут оказаться далеко не готовы к работе.

Ontology: остановка сети направлена лишь на получение времени для реагирования, откат транзакций не производится

Мероприятия по реагированию со стороны Ontology начались еще до подтверждения факта вредоносной активности. По информации сети, основная команда разработки обнаружила потенциальную угрозу безопасности в ходе плановой проверки, немедленно остановила генерацию блоков и передала ситуацию технической команде и валидаторам для проведения системного аудита.

Согласно обновлению от 1 сентября, в ходе проверки действительно подтвердился факт атаки; главная сеть продолжит простой для устранения уязвимостей и обновления протокола, при этом пострадавшие пользовательские активы отсутствуют. Цель Ontology — вернуться к штатной работе в течение 24 часов при условии успешного завершения всех этапов проверки безопасности, патчинга, обновления и тестирования.

При простое Ontology сохраняется вся уже подтвержденная активность в цепи, останавливается лишь констатация и расчет новых транзакций. В объявлении не указана точка восстановления, а также отсутствует перечень подлежащих аннулированию транзакций.

Общедоступная информация о полномочиях остается неполной. В сообщении упоминается участие основной команды разработки, технического подразделения и валидаторов сети, но не указано, кто именно обладает окончательным правом принятия решений, а цифровое пороговое значение для активации ЧС не разглашено. Документация Ontology по VBFT описывает стандартный консенсус-механизм, включающий генерацию подтверждающих блоков нодами и обновление набора узлов консенсуса через управляющие контракты, однако покрытие касается исключительно штатного режима; правила экстренной остановки, примененные 31 августа, остаются закрытыми.

Даже при отсутствии прямых финансовых потерь сам простой влечет реальные издержки. Ontology уведомила пользователей о невозможности обработки ончейн-транзакций, рекомендовав воздержаться от операций, чувствительных ко времени. Позднее было уточнено, что возобновление работы сети зависит от патчинга, обновлений и тестов. Пользователи теряют возможность корректировать позиции, переводить средства и проводить расчеты непосредственно в цепи; все внешние сервисы, интегрированные с этой сетью, вынуждены ожидать сигнала от нее.

Критерии готовности к возобновлению работы сфокусированы на безопасности, но детали остаются скудными. Ontology заявила о стремлении вернуть сервисы в строй в течение 24 часов после успешного завершения патчинга, обновления, тестирования и верификации, однако субъект, принимающий решение о выполнении условий, и точные триггерные значения не были озвучены публично.

Это создает неопределенность на уровне управления: хотя в уведомлении перечислены участники аудита, лицо или орган, обладающий финальным правом на перезапуск, не определен. Для конечных пользователей текущий риск заключается в перебоях обслуживания, а не в гарантированных потерях активов или ончейн-откате.

ICON: почему простая блокировка блокчейна оказалась запоздалой мерой

Инцидент в ICON наглядно демонстрирует весь цикл: срабатывание оповещения, принятие мер и вывод активов за пределы контроля блокчейна.

Согласно постмортем-отчету фонда, в период с 02:01:02 до 02:21:12 UTC 27 августа злоумышленник использовал атаку повторного воспроизведения (replay) по двум исторически действительным подписанным сообщениям о выводе средств — 1 492 раза. Из-за дефекта точности 1 490 запросов успешно исполнились, выведя из пула активов фонда 119,866 млн токенов ICX и 531 600 bnUSD.

Система мониторинга выдала сигнал тревоги уже в 02:08, однако расследование началось лишь позже; затронутый контракт был заблокирован в 03:53. Крупнейшие биржи начали постепенно ограничивать депозиты и выводы ICX в 05:54, а глобальная остановка сети официально вступила в силу в 06:18:54. Перезапуск ICON произошел около 07:51 28 августа спустя примерно 25 часов, одновременно с этим был устранен уязвимость базового уровня.

Анализ указывает, что корень проблемы кроется в процессе реагирования на инциденты, а не в недостатках системы обнаружения. Тревога сработала в течение семи минут, однако подобные сигналы часто путают с посторонними ошибками RPC, вследствие чего оператор дежурной смены не получил уведомления. Техническое расследование стартовало лишь около 03:40, и лишь спустя непродолжительное время контракт был заморожен.

К моменту официальной остановки цепи значительная часть затрагиваемых ICX уже попала под внутренний custody-контроль бирж. Контрольные механизмы на стороне цепи ICON были бессильны предотвратить дальнейшее перемещение или конвертацию этих активов биржами. Фонду пришлось полагаться на заморозку средств биржей, судебные приказы, юридическое сопровождение и взаимодействие с правоохранительными органами.

Границы custody напрямую определяют распределение убытков. ICON заявил, что все затронутые активы принадлежат фонду; депозиты, балансы и портфели рядовых пользователей остались нетронутыми. Отчет свидетельствует о полном возврате 531 600 bnUSD и 1,366 млн SODA; из 113 634 выданных в долг USDC обратно получено 82 430. Подтвержденный чистый ущерб составляет порядка 150,2 ETH плюс 31 204 USDC. Подавляющее большинство ICX лишь оказалось замороженным или отслеживаемым биржами, но не было реально изъято.

Архитектура управления ICON также отличается от двух рассмотренных выше случаев. В отчете указано, что в период миграции токенов контроль над сетью осуществлял фонд; документация по руководству миграции уточняет, что консенсус работал в режиме обслуживания, обслуживаемый всего семью основными нодами. Таким образом, данная остановка опиралась на особую эксплуатационную конфигурацию, находившуюся под прямым контролем фонда.

Чрезвычайные полномочия по своей сути являются властью на уровне бухгалтерского баланса

Каждая остановка блокчейна по своей природе представляет собой перенос рисков в иное место.

• Cronos изменяет официальную историю цепи: можно защитить активы, остающиеся под юрисдикцией цепи, но параллельно аннулируется обычная активность в сети за пределами уязвимости, а на активы в Ethereum влияние отсутствует.
• Ontology трансформирует риск во временные затраты и падение доступности сервиса: транзакции не проходят settle в ходе расследования, подтвержденных бумажных потерь активов не зафиксировано.
• ICON осуществил изоляцию контракта и сети лишь после того, как активы вышли за пределы блокчейнного custody; подтвержденные убытки берет на себя фонд, а шансы на возврат замороженных ICX зависят от бирж и правоохранительных структур.

Сведение всего лишь к единому рейтингу децентрализации способно скрыть эти диаметрально противоположные результаты. Более прагматичными критериями оценки должны стать: публичны ли правила реагирования на ЧС? Каковы триггерные значения для активации мер? Ограничивается ли вмешательство остановкой новых блоков или допускается изменение уже подтвержденного состояния цепи? Кто контролирует активы, покинувшие юрисдикцию данной сети в момент вмешательства? Кто гарантирует покрытие остаточных убытков?

Cronos и Tectonic по-прежнему должны подготовить и опубликовать полный постмортем-отчет. Ontology необходимо раскрыть детали атаки и правила предоставления экстренных полномочий, а в дальнейшем подтвердить выполнение условий для обновления и перезапуска. Действительно достойным объектом сравнения служат границы рисков, очерченные каждой сетью: какая именно история, какое время и какие финансовые средства оказываются под угрозой.