A cofundadora da Monad publica uma lista de verificação de segurança de 10 protocolos, destacando riscos críticos na assinatura múltipla e na gestão de permissões

Notícias ME, 3 de abril (UTC+8), Keone Hon, cofundador da Monad, publicou na plataforma X uma lista de verificação de autoinspeção de segurança do protocolo, abordando questões centrais como permissões de gestão, segurança de fundos e design de mecanismos de múltiplas assinaturas, incluindo principalmente dez pontos:

1. Clarificar quais funções de administrador podem causar perdas de fundos;
2. Garantir que todas as operações relevantes tenham bloqueio de tempo configurado;
3. Estabelecer um mecanismo de monitoramento em tempo real;
4. Emitir alertas oportunos quando funções de administrador forem chamadas;
5. Organizar todas as contas privilegiadas e preferencialmente usar uma estrutura de múltiplas assinaturas (k-de-n);
6. Clarificar os parâmetros de limiar de assinatura;
7. Os signatários de múltiplas assinaturas devem usar dispositivos de armazenamento frio independentes apenas para assinaturas e seguir as melhores práticas (como verificar hashes de transações de forma independente);
8. Implementar limites de velocidade para retiradas e evitar que sejam controladas pelo mesmo conjunto de múltiplas assinaturas;
9. Garantir que os dispositivos dos funcionários tenham capacidade de detectar e gerenciar malware;
10. Antecipar cenários extremos em que os signatários de múltiplas assinaturas sejam comprometidos, retrocedendo pelas possíveis rotas de ataque do ponto de vista do atacante e otimizando o design do sistema para aumentar o custo e a complexidade do ataque.

Anteriormente, uma semana antes do ataque de hackers de 285 milhões de dólares à Drift Protocol, o mecanismo de múltiplas assinaturas foi ajustado para “2/5” (um signatário antigo + quatro novos signatários) sem configurar bloqueio de tempo (timelock), permitindo que o atacante obtivesse posteriormente permissões de administrador, falsificasse tokens CVT, manipulasse oráculos, desativasse mecanismos de segurança e transferisse ativos de alto valor do pool de fundos. (Fonte: PANews)