Decentralizētā finanšu platforma bZX šogad bieži ir bijusi uzmanības centrā, tikai ne pareizo iemeslu dēļ. Lielākā daļa mūsdienās populāro DeFi platformu, tostarp bZX, savu ceļojumu sāka ap 2018. gadu sākotnējā monētas piedāvājuma uzplaukuma galā. 2019. gadā DeFi sāka iegūt vilces spēku, lai gan tas joprojām bija nedaudz ignorēts nozares sektors.
Turpinot izaugsmi, sāka pieaugt aizdomas, ka galvenie digitālo aktīvu sektoram raksturīgie uzlaušanas gadījumi ir nokavēti. Šo platformu sarežģītības un jaunuma dēļ bija pamatoti pieņemt, ka ne visas no tām ir necaurlaidīgas kļūdām.
Šo gadu var raksturot kā teicienu: “Kad līst, tad līst”. Diemžēl bZX tā kļuva par pirmo lielāko DeFi platformu, kas cieta no liela uzlaušanas, 2020. gada februārī. Tā kļuva arī par otro izmantoto platformu, jo divi savstarpēji uzbrukumi sagrauj projektu un piespieda to palaist garām. lielākā daļa DeFi buma.
Saistīts: Vai BZx zibatmiņas aizdevuma uzbrukumi norāda uz DeFi beigām?
Kaut arī dažas citas platformas sekoja šim piemēram, bZX likstas vēl nebija beigušās: neilgi pēc tās atsākšanas septembrī tā tika atkal uzlauzta. Lai gan šķiet, ka tas ir bijis pēdējais trieciens projektam, līdzdibinātājs Kails Kistners joprojām ir optimistisks, ka platforma atgriezīsies atpakaļ.
“Kopš mēs atguvām naudu un līdzekļi ir droši, mums ir bloķēta vesela ķekars vairāk kopējās vērtības un milzīgs tirdzniecības apjoms,” intervijā Cointelegraph sacīja Kistners. “Mēs neesam gluži atgriezušies tur, kur mēs bijām, bet mūsu tirdzniecības apjomi ir patiešām eksplodējoši.”
Kistners visas intervijas laikā daudzkārt atkārtoja, ka, neskatoties uz visiem šiem uzlaušanas gadījumiem, platforma nekad galīgi nezaudēja savu lietotāju naudu. Agrīnie upuri tika atmaksāti, savukārt septembra hakeris būtībā tika notverts, izmantojot blokķēdes analīzi, un atgrieza naudu. Lai kā arī būtu, Kistnera un bZX komandas ceļojums šogad ir bijis maigs, maigi izsakoties..
Noķerti ar dzērieniem
Cointelegraph: Pirmais bZX uzlaušana notika 14. februārī, kamēr komanda bija prom ETHDenver konferencē. Kā jūs uzzinājāt par uzbrukumu?
Kails Kistners: Mēs bijām šajā viesībās, tā bija Keep and Compound laimīgā stunda. Mēs tur sēžam, mēs runājam ar Raienu [Berkunu, Tellor izpilddirektoru], un viņš man stāstīja par to, kā viņš tikko bija ielicis naudu Fulcrum, viņš man parādīja procentu likmes. Es pamanīju, ka ETH procentu likmes bija nenormāli augstas. Es biju līdzīgs: “Ak, tas ir patiešām dīvaini.”
Es par to runāju ar Tomu [bZX izpilddirektoru], un man šķita, ka kaut kas tajā ir patiešām dīvains. Vēlāk naktī mēs saņēmām ziņojumu no Leva Livņeva no DappHub, kurš pamanīja dīvainu darījumu, kas būtībā bija tas, kas radīja šo ļoti lielo interesi par iETH baseinu.
Un ziniet, mēs bijām dzēruši, un tāpēc mums vajadzēja atraisīties. Tā bija šī neprātīgā pieredze, tas bija pulksten 11:30 naktī, mēs ballējāmies ar pārējiem nozares cilvēkiem un pēkšņi jūs esat iedzinušies šajā ļoti nopietnajā situācijā. Izmeklējot mēs sapratām, ka mums ir jāpārtrauc visa sistēma.
Šai lietai nebija paredzēta pauzes poga, taču mēs uzlauzām risinājumu, atspējojot orākula balto sarakstu. Tas palīdzēja novērst vairāk naudas izņemšanu.
Tad es piezvanīju savai sievai, es saku: “Es nezinu, kā es varēšu stāties pretī nozares cilvēkiem, atgriezties ETHDenver, redzēt visus tur esošos.” Uz brīdi nodomāju, ka varbūt vienkārši sakrāmēšu somas un došos mājās, bet sieva mani no tā sarunāja. Toms vienkārši sēdēja tur, mazliet mazliet katatonisks, un visa lieta viņu mazgāja.
Otrais kapāt
Galu galā Kistners un komanda pārgrupējās. Viņiem izdevās panākt laimīgu pārtraukumu – protokols automātiski neizplatīja vairāk nekā 1100 ETH zaudējumus, kuru vērtība bija aptuveni 300 000 USD, starp visiem platformas lietotājiem. Tas viņiem deva iespēju pilnībā atdot naudu un ļāva biznesu turpināt. “Tas mums deva daudz morāles,” sacīja Kistners.
Kad komanda nākamajā dienā parādījās ETHDenver, Kistners teica, ka “cilvēki mūs tiešām apsveic. Bija liels atbalsts, cilvēki teica: “Mēs esam celtnieki, jūs esat celtnieki, mēs visi esam kopā šajā jautājumā.” “
CT: Un tad notika otrais uzbrukums. Kā jūs par to uzzinājāt?
K. K .: Mēs tikko bijām ieradušies šajā restorānā. Mēs bijām augšā slēpošanas rekolekcijās Kolorādo, mēs palīdzējām to organizēt un bijām patiesi sajūsmā par to. Mēs pasūtījām visu šo ēdienu, un Toms skatās uz savu tālruni – viņam patīk vienkārši iziet cauri dažādiem darījumiem, kas ir sistēmā, it īpaši, ja kaut kas izskatās dīvaini vai dīvaini. Tāpēc viņš paskatījās uz šo vienu darījumu, un tas izskatījās patiešām dīvaini, jo tajā tika dzēsti līgumi un tam bija ātrais aizdevums, un būtībā nelielas summas tika atkārtoti pieprasītas vēl un vēl.
Tātad mēs apskatījām šo darījumu un mums vajadzēja apmēram divas sekundes, lai būtu līdzīgi ‘Labi, kāds tika uzlauzts’. Tas nemaz neizskatās pareizi. Mēs zinājām, ka tas ir saistīts ar mūsu sistēmu.
Tātad ēdiens ieradās, tas bija kā simts dolāru vērts ēdiens trim cilvēkiem. Brīdī, kad tas nonāca uz galda, es piecēlos un teicu: “Vai es varu samaksāt rēķinu?” un pasniedza viņiem karti. Toms jau sprintēja mājās, un mēs vienkārši to rezervējām, mēs visi tikai sākām skriet pa sniegu, un, ziniet, tas bija septiņu minūšu ilgs skriešana no restorāna līdz mūsu vietai.
Mēs apkalpojām savas kaujas stacijas, apturējām sistēmas darbību, sākām šķirot un diagnosticēt problēmu. […] Tajā brīdī mēs bijām kā “mēs zinām, kā ar to rīkoties, ja ir paņemta nedaudz naudas, tas vēl nav pasaules gals.” Diemžēl, tā kā zibens tiešām skāra divas reizes, liela daļa no labās gribas, ko cilvēki sniedza mums jau iepriekš bija ievērojami iedragāti.
Pārdomājot to, kas nogāja greizi
Abi hakeri piespieda komandu slēgt un atjaunot protokolu. Kopš tā laika arī citos projektos tika izmantotas ievainojamības, taču nevienā no tiem nebija vairāku uzlaušanas gadījumu.
CT: bZX cietušo pārkāpumu skaits rada jautājumus par projekta praksi. Vai tā varētu būt vienkārši neveiksme, vai arī spēlē kaut ko dziļāku?
KK: Tā nav nejaušība. Tātad ir divas lietas: viena ir tā, ka mēs pieļāvām kļūdu, un mums bija drošības revidents, kurš līdz galam nepildīja savu darbu. Šeit es mēģinu pievērsties vienai problēmai – būtībā ir vairāki faktori, kas izpaudās, kāpēc mums Kyber bija orākuls [galvenā ievainojamība, kas izraisīja otro uzlaušanu].
Tā bija konceptuāla ievainojamība, kuru patiešām revidentam vajadzēja noķert, taču mums nevajadzēja to izmantot. Mums bija sapratne, ka Kībers nav optimāls, taču mēs kaut kā spītīgi atteicāmies orākula centralizāciju. Mums nebija Chainlink, kuru tajā laikā varējām vienkārši pievienot, tāpēc vienīgā cita iespēja bija orākula centralizācija.
Tagad pirmais uzlaušana būtībā bija kļūdas kļūda. Es domāju, ka tas notika tāpēc, ka nebija ieviesti atbilstoši procesi. […] Mēs bijām maza kompānija. Mums netika nodrošināta vesela kaudze riska naudas, tāpat kā daudz citu kreditēšanas protokolu. Tagad mēs esam, mēs esam daudz lielāks un daudz nobriedušāks uzņēmums.
Revidenti nav viens un tas pats
Viedo līgumu revīzija tiek uzskatīta par izšķirošu soli pirms protokola palaišanas. Neauditēti protokoli tiek uzskatīti par mazāk drošiem, tik daudz, ka Yearn Finance veidotājs saka, ka viņš mērķtiecīgi mazināja satraukumu par savu projektu, aizkavējot faktu, ka protokols tika revidēts.
CT: Tātad, kas tieši notika ar jūsu koda pārbaudi, ko veica ZK Labs?
K. K .: Man šķiet, ka kādam ir jāzina šis stāsts. Tātad mēs bijām jauni, un mēs bijām sava veida zaļie nozarei. Mēs tikko bijām izveidojuši šo versiju kā vienu no mūsu protokoliem, tas bija kā 2018. gada sākumā. Mēs vienkārši ievietojām savus materiālus testnetā, bet īsti nezinām drošības auditorus telpā.
Tāpēc mēs jautājām apkārt un vispirms saņēmām norādes uz Acacia Group. […] Viņi to piemēroja, un viņi būtībā teica: “Mēs šeit esam ārpus sava dziļuma.” Tāpēc mums vajadzēja atrast citu auditoru, un galu galā mēs atradām ZK Labs. Mēs domājām, ka ZK Labs ir ļoti cienījama. […] Metjū DiFerrante [ZK Labs dibinātājs] bija saistīts ar Ethereum fondu, viņš tur bija strādājis par drošības inženieri.
Tagad es nezināju, ka aizkulisēs visiem pārējiem kosmosa drošības auditoriem Metjū īsti nepatika. Viņiem šķita, ka viņš ir ļoti neprofesionāls un nedara labu darbu. […] Viņš, šķiet, šķiet gudrs puisis, bet šķita, ka viņam bija daudz grūtību tikt galā ar slodzi.
Mēs viņu pārbaudījām mūsu protokolu, un bija diezgan skaidrs, ka revīziju faktiski veic tikai Metjū DiFerrante. Viņš mums iekasēja apmēram 50 000 USD, kas mums – pilnīgi uzvilktam uzņēmumam – bija kā milzīga, milzīga naudas summa.
Bet mēs centāmies visgrūtāk piesaistīt līdzekļus un darīt visu, ko varējām – un izdarījām. Šim auditam mēs savācām piecdesmit tūkstošus, taču šķita, ka mūs kaut kā rausta. […] Mums mantas viņam bija gatavas aptuveni marta sākumā, bet tas bija tuvāk septembrim, kad tas faktiski tika izdarīts – un tikai pēc daudzu zobu pievilkšanas un kliegšanas.
Aplūkojot revīziju, mēs atradām šīs kļūdas – bija vieta, kur mūsu vietā bija Chainlink vārds. Viņš neaizstāja vārdus. Un mēs bijām kā, “Cik ilgi jūs pavadījāt šī audita veikšanā? Vai jūs tiešām to pārbaudījāt, vai arī mūs krāpīja ZK Labs? ”
Tas bija sava veida jautājums mūsu prātos. Viņš sniedza dažus noderīgus ieteikumus, viņš pamanīja, ka ir kāda kritiska kļūda. Nav tā, ka viņš vispār neko nedarīja, bet mēs nonācām prom, jo revīzija to nemaz nepārliecināja.
Kistners piebilda, ka citi drošības uzņēmumi, piemēram, OpenZeppelin vai Trail of Bits, būtu uzņēmumam izmaksājuši apmēram 200 000 USD, “Un mums nebija [šīs naudas].”
Vai kodu revīzijas ir pārvērtētas?
BZX trešais uzlaušana notika uzreiz pēc diviem lielākajiem Certik un PeckShield auditiem, kas, šķiet, ļāva izsmalcinātai kļūdai iziet cauri viņu tīkliem. Tādas platformas kā Aave un Compound arī cieta no palaišanas ievainojamības, viņš teica, neskatoties uz to, ka tie tika plaši revidēti.
CT: vai jūs joprojām ticat, ka revīzijas rada pievienoto vērtību?
KK: Revīzijas ir lieliskas. Ja paskatās uz Compound, Aave vai citiem, ir diezgan daudz nopietnu ievainojamību, kas tika atklātas revīziju rezultātā. Ja viņi tos neizietu, būtu tikai tik daudz citu ievainojamību.
Jūs nevarat sagaidīt, ka divas vai trīs revīzijas atradīs katru kļūdu. Cilvēkiem tas ir jāsaprot. Tam ir paredzētas kļūdas – jo, kad kods tiek publiski pārbaudīts, acu ir tikai tik daudz.
Sudraba odere šīm pieredzēm
Pēc sākotnējiem incidentiem bZX pārskatīja uzņēmumu un tā drošības praksi. Pēc septembra tā kopējā vērtība bloķējās, sasniedzot vairāk nekā 20 miljoni USD. Lai gan tas ir tālu no dažiem lielākiem protokoliem, šis skaitlis joprojām ir ievērojams, ņemot vērā projekta nemierīgo gadu un tiešo subsīdiju trūkumu aktīvu iekļaušanai protokolā.
Saistīts: Ienesīgums lauksaimniecībā rosina ap DeFi, bet pamati ir atpalikuši
Kistners sacīja, ka komanda “droši vien pārspīlēja [negatīvo] publicitāti, lai kopumā labāk atpazītu un vairāk izmantotu protokolu”. Šis laiks arī ļāva viņiem atrast “kaut ko tādu, kas cilvēkiem patiešām patīk”, viņš piebilda. Komanda koncentrējas uz ilgtermiņa perspektīvu, un tās pievilcība ražas lauksaimniecībā ietver garantēšanas periodu, kas tiek uzskatīts par mehānismu, kas attur īstermiņa kapitālu no pievienošanās.
Tajā pašā laikā Kistners uzskata, ka pieredze ļāva bZX izvairīties no riska vadīta projekta. “Mēs uzskatām sevi par vairāk maverick, vairāk kā nepiederoša veida protokolu.”
Atbildot uz jautājumu par ieguldījumiem, kurus uzņēmums kopš tā laika ir saņēmis, viņš teica, ka “tas bija ļoti mazs aplis” un ka tie “neatstāja nekādu kapitālu vai kontroli”.
Galu galā žūrija joprojām nav noskaidrojusi, vai bZX var panākt zaudēto zemi. Hacks veica kropļus sitienus, kas viegli varēja izraisīt projekta nāvi, taču komanda neatlaidīgi izturējās pretī. BZX stāsts, lai arī kā tas attīstās, joprojām ir svarīgs brīdinājums citiem projektiem un DeFi lietotājiem: Droša produkta radīšana notiek daudz vairāk nekā tikai naudas maksāšana auditoriem.