Jdscarlett27

Давайте розберемося, що насправді сталося, адже заголовки заплутаніші за сам механізм
Токен SAND від Sandbox використовує архітектуру взаємозамінного токена для омнічейну через LayerZero
Це дає змогу переміщати SAND між Ethereum, Base, BNB Chain і Polygon
У кожному ланцюзі є роль делегата, яка контролює дозволи на мінтинг

Blockaid уперше виявив це приблизно о 04:14 за UTC
Зловмисник перехопив роль делегата в Base і використав approveandcall, щоб намінтити SAND без забезпечення ETH
Номінальна вартість намінчених токенів сягнула приблизно $49b у понад 400 транзакціях
Peckshield окремо відстежив намінчені 14.9b SAND на двох адресах о 05:40 за UTC

Ось деталь, якої бракує більшості дописів
Blockaid уточнила, що це не помилка LayerZero
Недолік міститься у власному oft-контракті sandbox у мережі base
approveandcall дозволяв зловмиснику викликати setdelegate і здійснювати mint через підроблений lzreceive
Власні контракти LayerZero працювали саме так, як було задумано
Знайте різницю між ризиком протоколу та ризиком конфігурації на рівні застосунку
Це змінює розуміння того, кому що потрібно виправити

Sandbox підтверджено о 07:22 utc
Вразливість виявлено та повністю локалізовано
Реальний вплив становить менше 0.01% від загальної пропозиції SAND
SAND на Eth і Polygon не постраждав
Гаманці користувачів не були скомпрометовані
Заблоковане забезпечення в Eth для всього bridged SAND повністю збережене

Негайне реагування
Мости до Base і BNB Chain та з них вимкнено
SAND в обох мережах ізольовано, його неможливо переміщувати або погашати
Користувачам чітко повідомлено: не купувати, не продавати й не торгувати SAND у Base або BSC
Було зроблено попередній знімок стану
Готується план компенсації для відповідних власників LP
Повний технічний звіт за підсумками розслідування буде опубліковано пізніше

Це та сама категорія збою, що й інцидент із токеном ONE у Harmony та виведення XRP із Coreum на початку цього місяця
Не збій консенсусу
Не помилка смартконтракту, яку всі вже перевіряють під час аудиту
Дозвіл в одному ланцюзі, який ніхто не перевірив двічі

Моя особиста думка?
Не панікуйте й не продавайте через лякаючу цифру мінту
Перевірте, що насправді забезпечено, що насправді переміщено і наскільки швидко команда локалізувала проблему
Sandbox локалізував збитки за лічені години й зберіг основний актив неушкодженим
Ось у чому різниця між інцидентом і крахом

Це також не поодинока історія
THORChain, протокол, від якого відгалузився Maya, втратив близько 10.8 мільйона трьома місяцями раніше
Та сама спадковість, той самий клас ризиків, але інші конкретні помилки

Шість окремо невеликих уразливостей самі по собі не здаються небезпечними
Об’єднайте їх у правильному порядку в межах однієї транзакції — і вони перетворяться на одні великі вихідні двері
Ось який тут насправді урок

Аудити перевіряють відомі шаблони
Вони не завжди виявляють, що відбувається, коли кілька перевірок, які окремо пройшли успішно, комбінуються в послідовності, яку ніхто не тестував разом
Більшість людей, можливо, ще не знає про це, але ризик композиції непомітно є однією з найбільш недооцінених категорій безпеки DeFi 🧘‍♂️

@walsxbt Доброго ранку, Wals

Усі продовжують сперечатися про те, чи досягла криптовалюта свого піку
Тим часом криптовалютою володіють лише близько 6.8% населення світу
Це приблизно 562M людей із глобального населення понад 8B
Тож більш ніж 90% людства досі не має жодного доступу до криптовалюти
Це змінює мій погляд на ринок
Найгучніша частина криптосфери не обов’язково є найбільш поширеною
Нігерія, Індія, Пакистан, В’єтнам і Філіппіни продовжують демонструвати сильне масове прийняття, тоді як багато ринків, що домінують у розмовах CT, залишаються відносно недостатньо охопленими
Наступна хвиля не обов’язково має надходити