טכנולוגיהמאיה פרוטוקול השבית את הרשת לאחר ניצול פרצה בהיקף מוערך של 1.7 מיליון דולר
שרשרת של שש תקלות תוכנה אפשרה לתוקף לזכות בריכה בכ-48.87 מיליון מטבעות CACAO שלא מומנו כראוי, ולהמיר אותם בנכסים אמיתיים. הרשת הושבתה, ומחיר המטבע צנח בכ-89%.
רשת המסחר חוצת-השרשראות מאיה פרוטוקול (Maya Protocol) הופסקה לחלוטין לאחר שתוקף הצליח לנצל שורה של תקלות תוכנה ולמשוך ממנה נכסים אמיתיים, ובהם ביטקוין. ההערכה הראשונית המדווחת מעמידה את הנזק הישיר על כ-1.7 מיליון דולר, כך לפי Cointelegraph ולפי crypto.news. במקביל דיווח CoinDesk כי שוויין של הבריכות שנפגעו ירד בכ-11 מיליון דולר. אף אחד מהדיווחים אינו מסביר את היחס בין שני המספרים; ייתכן שהם מודדים דברים שונים — האחד את מה שהתוקף לקח והשני את הפגיעה הכוללת בערך שהיה מרוכז באותן בריכות — אך זו הערכה בלבד, ולא נתון שמופיע במקורות.
שש תקלות שהצטרפו לשרשרת אחת
הפרט המעניין באירוע הזה אינו הסכום אלא המנגנון. לפי ניתוח ראשוני שמצטט Cointelegraph, לא מדובר בבאג בודד אלא בשש תקלות נפרדות שנוצלו בזו אחר זו, בתוך עסקה אחת שהכילה 23 הודעות. התוצאה, לפי Cointelegraph, הייתה שהפרוטוקול זיכה בריכת נזילות בכ-48.87 מיליון מטבעות CACAO — מטבע הרשת עצמה — בלי שהמטבעות האלה מומנו כראוי. CoinDesk מדווח על סדר גודל דומה, של קרוב ל-50 מיליון מטבעות.
כאן נכנס החלק הקריטי. בבריכת נזילות מוצמדים שני נכסים זה לזה, והיחס ביניהם הוא שקובע את המחיר. ברגע שהמערכת סבורה שהופקדה בה כמות עצומה של מטבע אחד, אפשר להמיר את הכמות שנרשמה — בלי שגובתה כראוי — בנכס שנמצא שם באמת. כך הפכה רשומה חשבונאית שגויה לביטקוין ולנכסים נוספים שיצאו החוצה. ההשבתה של הרשת נועדה לעצור את הדימום — בארכיטקטורות מהסוג הזה, כל בלוק נוסף עלול להרחיב את הנזק.
מטבע CACAO עצמו צנח בכ-89%, לפי הדיווחים. הירידה החדה הזאת היא תוצאה ישירה של המנגנון: כאשר כמות גדולה של מטבע נרשמת בלי גיבוי מלא ונמכרת מיד לתוך השוק, הלחץ על המחיר מיידי ואינו קשור כלל לשאלה מה שווה הפרויקט.
למה דווקא גשרים ורשתות חוצות-שרשרת
מאיה פרוטוקול פועלת בתחום שנועד לפתור בעיה אמיתית: ביטקוין, אתריום ורשתות אחרות אינן מדברות זו עם זו באופן טבעי, וכל מנגנון שמאפשר להחליף נכס מרשת אחת בנכס מרשת אחרת בלי מתווך מרכזי חייב להחזיק, בפועל, מלאי נכסים אמיתי בשתי הצדדים. המלאי הזה הוא בדיוק מה שהופך את הקטגוריה הזאת ליעד מועדף — יש שם נכסים ממשיים לקחת, ולא רק רישומים.
חשוב להבין מה זה אומר על אבטחה בפועל: מה שקרה כאן, אם הניתוח הראשוני יאושר, הוא שילוב של שש חולשות שכל אחת מהן אולי נראתה שולית בפני עצמה. תקיפה שנשענת על צירוף של פגמים קטנים, ולא על פגם בודד ובולט, קשה יותר לאיתור מראש.
מה עדיין לא ידוע
הניתוח שפורסם הוא ראשוני ומוצג ככזה. ברשת יוחסה הערכת הנזק לאחד ממייסדי הפרויקט, הפועל תחת כינוי, אך מדובר באמירה שלא אומתה באופן עצמאי, וגם היקף הסכום עצמו עשוי להתעדכן ככל שתתפרסם בדיקה מלאה. לא ידוע בשלב זה אם יוצע פיצוי כלשהו למחזיקים או לספקי הנזילות, מתי — ואם בכלל — תחודש פעילות הרשת, והאם ניתן יהיה לאתר או להקפיא חלק מהנכסים שיצאו. הצעד הבא הצפוי הוא פרסום ניתוח מסודר מטעם הצוות; עד אז, כל מספר הוא הערכה.
מקורות: Cointelegraph · CoinDesk · crypto.news
המידע בכתבה נועד להרחבת הדעת בלבד ואינו מהווה ייעוץ השקעות או תחליף לייעוץ מקצועי.
התוכן באתר הוא מידע וסיקור בלבד ואינו מהווה ייעוץ השקעות או המלצה לקנייה או מכירה של נכס כלשהו. שוק הקריפטו תנודתי — כל החלטה היא באחריותכם.
עוד בנושא
לכל החדשות
טכנולוגיהלדג'ר: תוקנה חולשה בזרימות החתימה של אפליקציית האית'ריום
חוקר טען ברשת כי כל מכשיר לדג'ר שמריץ את אפליקציית האית'ריום חשוף להחלפת חתימה; החברה מסרה כי הליקוי כבר תוקן וקראה למשתמשים לעדכן קושחה ואפליקציות. מה בעצם קרה, ומה עדיין לא ידוע.
טכנולוגיהניצול מנגנון הממשל ב-Term Labs: כ-8.5 מיליון דולר נמשכו מכספות הפרוטוקול
תוקף השתלט על מנגנון הניהול של כספות האסטרטגיה בפרוטוקול ההלוואות Term Labs והוציא מהן נכסים בשווי מוערך של 8.5 מיליון דולר. החברה אישרה את האירוע והודיעה כי פירוט מלא יפורסם בתום הבדיקה.
טכנולוגיהMANTRA: הרשת חזרה לפעול אחרי כ-30 שעות השבתה, לפי הודעת הפרויקט; המטבע נפל לשפל של כל הזמנים
צוות MANTRA עצר את הרשת שלו לאחר שזוהתה פרצה ברכיב תוכנה במעלה הזרם, והמטבע צנח לשפל היסטורי ביום שבו רוב השוק דווקא עלה. לפי דיווח ב-crypto.news, המסתמך על הודעת הפרויקט, הפקת הבלוקים חודשה לאחר עדכון גרסה — אך שאלות מרכזיות נותרו פתוחות.