Блокчейн безопасность事件引发行业信仰危机:Децентрализация底线能否守住

Кризис веры в индустрии Блокчейн: размышления, вызванные хакерским инцидентом Cetus

Введение

Недавние события знаменуют победу капитала, а не интересов пользователей, что может стать шагом назад для развития отрасли.

Развитие Биткойна и Sui совершенно различно, и каждый раз, когда происходят действия в индустрии, подрывающие децентрализацию, это вызывает у людей еще более твердую веру в Биткойн.

Миру нужна не только более совершенная глобальная финансовая инфраструктура, но и пространство для людей, стремящихся к свободе.

Ранее консорциумные блокчейны были более популярны, так как они соответствовали требованиям регулирования того времени. Сегодня упадок консорциумных блокчейнов также означает, что простое соблюдение требований регулирования не может удовлетворить реальные потребности пользователей. Что стоит за инструментами регулирования, если теряются регулируемые пользователи?

1、Фон события

22 мая 2025 года крупнейшая децентрализованная биржа в экосистеме одного публичного Блокчейн подверглась атаке Хакера, что привело к резкому снижению ликвидности, обрушению цен на несколько торговых пар и убыткам более 220 миллионов долларов.

Основная временная линия событий выглядит следующим образом:

22 мая утром хакер атаковал биржу и похитил 230 миллионов долларов, биржа экстренно приостановила контракты и выпустила公告.

22 мая в послеобеденное время хакер перевел около 60 миллионов долларов через цепочку, оставив 162 миллиона долларов на адресе оригинальной цепочки. Узлы проверки быстро предприняли действия, добавив адрес хакера в "черный список отказа в обслуживании", заморозив средства.

22 мая вечером один из высокопоставленных сотрудников подтвердил в социальных сетях: средства были заморожены, работа по возврату скоро начнется.

23 мая биржа начала устранять уязвимости и обновлять контракты.

24 мая, определённый Блокчейн опубликовал исходный код и объяснил, что возврат средств будет осуществляться через механизм псевдонимов и белый список.

26 мая данная Блокчейн запустила голосование по управлению на цепочке, чтобы узнать мнение о том, следует ли выполнять обновление протокола и переводить активы Хакера на хранящий адрес.

29 мая были опубликованы результаты голосования, более 2/3 весов узлов проверки поддержали это предложение.

С 30 мая по начало июня вступает в силу обновление протокола, выполняется назначенный хэш-транзакции, активы Хакера «законно переведены».

2、Принцип атаки

Атакующий сначала использует флеш-займ для заимствования большого количества токенов, что приводит к падению цены на 99,90% в торговом пуле. Затем атакующий создает ликвидные позиции в крайне узком ценовом диапазоне, что усиливает влияние последующих вычислительных ошибок на необходимое количество токенов.

Атака заключается в том, что в функции, используемой биржей для расчета необходимого количества токенов, существует уязвимость переполнения целого числа. Атакующий утверждает, что добавит огромную ликвидность, но на самом деле вкладывает лишь небольшое количество токенов. Из-за ошибки в условиях проверки переполнения система сильно недооценивает необходимое количество токенов, что позволяет атакующему получить большое количество ликвидности по крайне низкой цене.

С технической точки зрения, этот漏洞 возник из-за использования неправильной маски и условий проверки в смарт-контракте, что позволяет большинству значений обходить проверку. После обрезки старших данных система считает, что она получила огромную ликвидность, получая лишь незначительное количество токенов.

После происшествия официальные лица предприняли действия в два этапа: "заморозка" и "возврат".

Этап заморозки осуществляется с помощью черного списка и консенсуса узлов; На этапе возврата требуется обновление протокола на блокчейне, голосование сообщества и выполнение определенных транзакций для обхода черного списка.

3、Специальный механизм заморозки

Внутри определенного публичного блокчейна существует специальный механизм списка отказов, который реализовал заморозку средств данного хакера. Стандарт токенов этого блокчейна также включает режим "регулируемых токенов" с встроенной функцией заморозки.

Данная экстренная заморозка использовала эту особенность: валидатор узлы быстро добавили адреса, связанные с украденными средствами, в локальные конфигурационные файлы. Теоретически каждый оператор узла может самостоятельно изменять конфигурацию для обновления черного списка, но для обеспечения согласованности сети один фонд, как первоначальный издатель конфигурации, провел централизованную координацию.

Фонд сначала официально выпустил обновление конфигурации с адресом хакера, валидаторы по умолчанию синхронизируют изменения, что позволяет временно "запечатать" средства хакера в Блокчейн, за этим на самом деле стоит высокая степень централизации.

Чтобы освободить жертв из замороженных средств, команда этой публичной цепи затем внедрила патч механизма белого списка. Это позволяет заранее добавлять определенные транзакции в "список без проверки", позволяя этим транзакциям пропускать все проверки безопасности, включая подписи, права, черные списки и так далее.

Следует обратить внимание, что патч белого списка не может напрямую забрать активы хакера; он просто предоставляет некоторым транзакциям возможность обойти заморозку, а реальный перенос активов по-прежнему требует законной подписи или дополнительного модуля системных прав.

В отличие от этого, основные решения по заморозке в отрасли обычно происходят на уровне контрактов токенов и контролируются многоподписчиками со стороны эмитента. Например, в контракте известной стейблкоина встроена функция черного списка, которая позволяет эмитенту замораживать нарушающие адреса, препятствуя им в перемещении активов. Это решение требует инициирования запроса на заморозку через многоподписку на блокчейне, и только после достижения согласия многоподписчиков оно действительно исполняется, что приводит к задержкам в исполнении.

Хотя этот механизм заморозки эффективен, статистика показывает, что в процессе многофакторной аутентификации часто возникают "периоды окна", которые оставляют преступникам возможность для действий.

В отличие от этого, заморозка в одной из публичных блокчейнов происходит на уровне базового протокола, с коллективными действиями узлов-валидаторов, выполняя операции гораздо быстрее, чем обычные вызовы контрактов. Эта модель должна работать достаточно быстро, что означает, что управление этими узлами-валидаторами должно быть высоко унифицированным.

4、"Принцип реализации "переводного сбора"

Более удивительно то, что одна из публичных блокчейнов не только заморозила активы хакера, но и планирует через обновление на блокчейне "переместить возврат" украденные средства.

27 мая пострадавшая сторона предложила план голосования сообщества, требуя обновления протокола и отправки замороженных средств в кошелек с многофакторной подписью. Некоторый фонд немедленно инициировал голосование по управлению в блокчейне.

29 мая были опубликованы результаты голосования, около 90,9% валидаторов поддержали данное предложение. Официально объявлено, что как только предложение будет одобрено, "все средства, замороженные на двух хакерских счетах, будут возвращены в мультиподписной кошелек без необходимости подписи хакеров".

Не требуется подпись хакера, это революционная особенность, которой никогда не было в блокчейн-индустрии.

С официального кода видно, что протокол вводит механизм псевдонимов адресов. В содержание обновления входит: предварительное указание правил псевдонимов в конфигурации протокола, что позволяет определенным разрешенным транзакциям рассматривать законные подписи как отправленные с аккаунта хакера.

Конкретно говоря, список хешей спасительных транзакций, которые будут выполнены, связывается с целевым адресом (то есть адресом хакера). Любой исполнитель, который подписывает и публикует эти фиксированные сводки транзакций, считается действительным владельцем адреса хакера, инициировавшим транзакцию. Для этих конкретных транзакций система узлов-валидаторов обходила проверку черного списка.

С точки зрения кода, эта Блокчейн добавила новую проверку в логику валидации транзакций: когда транзакция блокируется черным списком, система проходит по ее подписантам и проверяет, соответствуют ли они правилам псевдонимов. Если хотя бы один из подписантов соответствует правилам псевдонимов, эта транзакция помечается как разрешенная, игнорируя предыдущую ошибку блокировки, и продолжает нормальную упаковку и выполнение.

5. Точка зрения

Огромные средства разрывают самые глубокие верования отрасли

Этот инцидент, возможно, скоро утихнет, но используемая модель не будет забыта, так как она подрывает основы отрасли и разрушает традиционный консенсус о неизменности Блокчейн в одной и той же книге учета.

В дизайне Блокчейн контракты являются законом, а код — судьей. Но в этом инциденте код не сработал, вмешательство управления, власть преобладает, сформировав модель "результат кода по решению голосования".

Именно поэтому практика прямого присвоения транзакций этой публичной цепи существенно отличается от того, как основные Блокчейн-системы решают проблемы с Хакерами.

Это не первый раз "изменения консенсуса", но это самый тихий раз.

С исторической точки зрения:

Одна известная блокчейн-сеть в 2016 году попыталась компенсировать убытки путём жесткого форка для отката транзакций, но это решение привело к расколу сети, а процесс вызывал много споров, в итоге разные группы сформировали разные консенсусные взгляды.

Сообщество Биткойна также столкнулось с подобными техническими проблемами: уязвимость переполнения значения 2010 года была срочно исправлена разработчиками и обновлены правила консенсуса, что полностью уничтожило около 18,4 миллиарда незаконно сгенерированных биткойнов.

Все они используют модель жесткого форка, откатывая книгу учетов к моменту возникновения проблемы, после чего пользователи могут самостоятельно решить, в какой системе учета продолжать использовать.

В отличие от упомянутого хард-форка, одна публичная цепочка не выбрала разделение цепи, а вместо этого точно нацелилась на это событие с помощью обновления протокола и настройки псевдонимов. Такой подход сохраняет непрерывность блока и большинство правил консенсуса без изменений, но также указывает на то, что основной протокол может быть использован для реализации целевых "спасательных операций".

Проблема в том, что исторический "форк-обратный откат" был выбором пользователя, а нынешняя "протокольная корректировка" - это решение, принятое цепочкой за пользователя.

"Разрушение" концепции "не твоё"

В долгосрочной перспективе это означает, что идея "не твой ключ, не твои монеты" рушится в этой цепочке: даже если у пользователя есть полный доступ к приватным ключам, сеть все равно может остановить движение активов и перенаправить их через изменения коллективного протокола.

Если это станет прецедентом для Блокчейн в будущем в ответ на крупные инциденты безопасности и будет считаться практикой, которую можно будет соблюдать снова, то "когда цепочка может нарушать правила ради справедливости, она также получает прецедент для нарушения любых правил."

Как только произойдет успешная "благотворительная атака", в следующий раз это может быть операция в "моральной серой зоне".

Потенциальное воздействие

Хакер действительно украл деньги пользователей, так может ли групповое голосование отобрать у него деньги?

На что опираться при голосовании: на количество денег или на количество людей? Если победит тот, у кого больше денег, то эпоха производительного человека быстро наступит; если победит тот, у кого больше людей, то толпа станет еще более шумной.

В традиционной системе нормально, что незаконные доходы не защищены, заморозка и перевод — это обычная практика традиционных банков. Но с технической точки зрения это невозможно, не является ли это основой развития Блокчейн-индустрии?

Сейчас давление на соблюдение норм в отрасли продолжает расти. Сегодня можно замораживать и изменять баланс аккаунтов из-за хакеров, а завтра можно ли будет произвольно вносить изменения из-за геополитических факторов или конфликтов? Если Блокчейн станет частью регионального инструмента, то ценность отрасли будет значительно сжата, в лучшем случае это будет просто еще одна более неудобная финансовая система.

Это также причина, по которой отрасль продолжает развиваться: "Блокчейн имеет ценность не потому, что его нельзя заморозить, а потому, что даже если ты его ненавидишь, он не изменится ради тебя."

В условиях тенденций регулирования, сможет ли цепочка сохранить свою душу?

Некогда консорциумные блокчейны были более популярны, чем публичные блокчейны, потому что они удовлетворяли требования регулирования того времени. Сегодня упадок консорциумных блокчейнов также означает, что простое соблюдение требований регулирования не является настоящими потребностями пользователей. Если пользователи, подлежащие регулированию, потеряны, то какова же польза от инструментов регулирования?

С точки зрения развития отрасли:

"Эффективная централизация" является необходимым этапом в развитии Блокчейн? Если конечная цель децентрализации заключается в защите интересов пользователей, можем ли мы терпеть централизацию как переходное средство?

Слово "демократия" в контексте управления на Блокчейне на самом деле рассчитывается на основе веса токенов. Так что если Хакер владеет большим количеством токенов (или в день, когда децентрализованная организация будет взломана, Хакер контролирует право голоса), может ли он также "легально проголосовать, чтобы отмыть себя"?

В конечном счете, ценность Блокчейн заключается не в том, можно ли его заморозить, а в том, что даже если у группы есть возможность заморозить, она выбирает этого не делать.

Будущее одной цепочки определяется не технологической архитектурой, а теми верованиями, которые она выбирает защищать.

BTC-2.13%
Посмотреть Оригинал
На этой странице может содержаться сторонний контент, который предоставляется исключительно в информационных целях (не в качестве заявлений/гарантий) и не должен рассматриваться как поддержка взглядов компании Gate или как финансовый или профессиональный совет. Подробности смотрите в разделе «Отказ от ответственности» .
  • Награда
  • 9
  • Репост
  • Поделиться
комментарий
0/400
AirdropHunterKingvip
· 08-09 09:52
команда проекта это просто чистые токены, Мошенничество рано или поздно произойдет
Посмотреть ОригиналОтветить0
HalfPositionRunnervip
· 08-06 23:15
Какой смысл в такой черноте и разрушенности, когда btc работает неплохо.
Посмотреть ОригиналОтветить0
NFTRegrettervip
· 08-06 16:25
Ещё один так называемый Децентрализация Мошенничество. Тьфу.
Посмотреть ОригиналОтветить0
wrekt_but_learningvip
· 08-06 10:59
В конце концов, все решает капитал.
Посмотреть ОригиналОтветить0
MetaMaskVictimvip
· 08-06 10:58
Какова польза от регулирования, если всё равно подвергаемся атакам?
Посмотреть ОригиналОтветить0
TokenStormvip
· 08-06 10:58
Эта волна Хакер разыгрывает людей как лохов данные выглядит хорошо, скрытая электронная платформа выполняла эту работу.
Посмотреть ОригиналОтветить0
DuskSurfervip
· 08-06 10:54
Конечная победа капитализма? Умереть от смеха.
Посмотреть ОригиналОтветить0
LiquidationSurvivorvip
· 08-06 10:53
падение до нуля都不怕 还慌这点小事?
Посмотреть ОригиналОтветить0
MercilessHalalvip
· 08-06 10:36
Играть – это одно, а шалить – другое, но я все равно верю в BTC.
Посмотреть ОригиналОтветить0
Подробнее
  • Закрепить