Η αποκεντρωμένη πλατφόρμα χρηματοδότησης bZX υπήρξε συχνά στο προσκήνιο φέτος, μόνο όχι για τους σωστούς λόγους. Οι περισσότερες δημοφιλείς πλατφόρμες DeFi σήμερα, συμπεριλαμβανομένου του bZX, ξεκίνησαν το ταξίδι τους γύρω στο 2018, στο τέλος της αρχικής έκρηξης κερμάτων. Το 2019, η DeFi άρχισε να κερδίζει έλξη, αν και ήταν ακόμα ένας κάπως αγνοημένος τομέας του κλάδου.
Καθώς η ανάπτυξη συνεχίστηκε, οι υποψίες άρχισαν να αυξάνονται ότι καθυστερούσαν σημαντικές παραβιάσεις, τυπικές στον τομέα των ψηφιακών στοιχείων. Λόγω της πολυπλοκότητας και της καινοτομίας αυτών των πλατφορμών, ήταν λογικό να υποθέσουμε ότι δεν ήταν όλα αδιαπέραστα από σφάλματα.
Αυτό το έτος μπορεί να χαρακτηριστεί ως απόδειξη του ρητού, «Όταν βρέχει, χύνει». Δυστυχώς για το bZX, έγινε η πρώτη μεγάλη πλατφόρμα DeFi που υπέστη μεγάλο hack, τον Φεβρουάριο του 2020. Έγινε επίσης η δεύτερη πλατφόρμα που εκμεταλλεύτηκε, καθώς δύο επιθέσεις back-to-back κατέλυσαν το έργο και το ανάγκασαν να χάσει η πλειοψηφία της έκρηξης DeFi.
Σχετιζομαι με: Οι επιθέσεις δανείου Flash BZx σηματοδοτούν το τέλος του DeFi?
Ενώ ορισμένες άλλες πλατφόρμες ακολούθησαν το ίδιο, τα δεινά του bZX δεν είχαν τελειώσει πραγματικά: λίγο μετά την επανέναρξη του το Σεπτέμβριο, έγινε ξανά hacked. Ενώ φαίνεται να ήταν το τελευταίο χτύπημα για το έργο, ο συνιδρυτής Kyle Kistner παραμένει αισιόδοξος ότι η πλατφόρμα θα ανακάμψει.
«Από τότε που έχουμε επιστρέψει τα χρήματα και τα χρήματα είναι ασφαλή, έχουμε ένα σωρό περισσότερη συνολική αξία κλειδωμένη και ένα τεράστιο όγκο συναλλαγών», δήλωσε ο Kistner σε συνέντευξή του στο Cointelegraph. “Δεν έχουμε φτάσει αρκετά στο σημείο που βρισκόμασταν, αλλά οι όγκοι των συναλλαγών μας έχουν πραγματικά εκραγεί.”
Ο Kistner επανέλαβε πολλές φορές καθ ‘όλη τη διάρκεια της συνέντευξης ότι, παρά όλες αυτές τις παραβιάσεις, η πλατφόρμα δεν έχασε ποτέ τελικά τα χρήματα των χρηστών της. Τα πρώτα θύματα επιστράφηκαν, ενώ ο χάκερ του Σεπτεμβρίου ουσιαστικά πιάστηκε με κόκκινο χέρι μέσω blockchain analytics και επέστρεψε τα χρήματα. Ωστόσο, το ταξίδι της Kistner και της ομάδας της bZX φέτος ήταν ταραχώδη, τουλάχιστον.
Πιάστηκε με τα ποτά τους
Cointelegraph: Το πρώτο hack bZX συνέβη στις 14 Φεβρουαρίου, ενώ η ομάδα έλειπε στο συνέδριο ETHDenver. Πώς μάθατε για την επίθεση?
Kyle Kistner: Ήμασταν σε αυτό το afterparty, ήταν η καλή ώρα του Keep and Compound. Καθίζουμε εκεί, μιλάμε με τον Ryan [Berkun, Διευθύνων Σύμβουλος της Tellor] και μου είπε για το πώς είχε μόλις βάλει κάποια χρήματα στο Fulcrum, μου έδειχνε τα επιτόκια. Παρατήρησα ότι τα επιτόκια για το ETH ήταν ασυνήθιστα υψηλά. Και ήμουν σαν, “Ω, είναι πραγματικά περίεργο.”
Μίλησα με τον Tom [CEO της bZX] για αυτό και ένιωσα κάτι κάτι περίεργο. Αργότερα το βράδυ λάβαμε ένα μήνυμα από τον Lev Livnev από το DappHub, ο οποίος παρατήρησε μια παράξενη συναλλαγή, η οποία ήταν βασικά αυτή που δημιούργησε αυτό το πολύ υψηλό ενδιαφέρον για την ομάδα iETH.
Και ξέρεις, είχαμε πιει και γι ‘αυτό χρειαζόμασταν να ξυπνήσουμε. Ήταν αυτή η τρελή εμπειρία, ήταν στις 11:30 το βράδυ, πάρτιμε με τους υπόλοιπους ανθρώπους του κλάδου και ξαφνικά βρισκόσασταν σε αυτήν την πολύ σοβαρή κατάσταση. Καθώς ερευνούσαμε, συνειδητοποιήσαμε ότι πρέπει να θέσουμε σε παύση ολόκληρο το σύστημα.
Δεν υπήρχε πραγματικά ένα κουμπί παύσης που σχεδιάστηκε σε αυτό το πράγμα, αλλά χαράξαμε μαζί μια λύση απενεργοποιώντας τη λίστα επιτρεπόμενων του oracle. Αυτό λειτούργησε για να αποτρέψει τη λήψη περισσότερων χρημάτων.
Στη συνέχεια, τηλεφώνησα στη γυναίκα μου, λέω “Δεν ξέρω πώς θα μπορέσω να αντιμετωπίσω τους ανθρώπους του κλάδου, να επιστρέψω στο ETHDenver, να δούμε όλους εκεί.” Σκέφτηκα για μια στιγμή ότι ίσως θα συσκευάζω τις τσάντες μου και θα πάω σπίτι, αλλά η γυναίκα μου με μίλησε. Ο Τομ απλώς καθόταν εκεί, κατατονικός για λίγο, το όλο πλύσιμο πάνω του.
Το δεύτερο hack
Τελικά ο Kistner και η ομάδα συγκεντρώθηκαν. Κατάφεραν να κάνουν ένα τυχερό διάλειμμα – το πρωτόκολλο δεν διέδωσε αυτόματα την απώλεια περισσότερων από 1.100 ETH, αξίας περίπου 300.000 $, μεταξύ όλων των χρηστών της πλατφόρμας. Αυτό τους έδωσε την ευκαιρία να επιστρέψουν πλήρως τα χρήματα και επέτρεψαν στην επιχείρηση να συνεχίσει. «Αυτό μας έδωσε πολύ ηθικό», είπε ο Κίστνερ.
Όταν η ομάδα εμφανίστηκε στο ETHDenver την επόμενη μέρα, ο Kistner είπε ότι «οι άνθρωποι πραγματικά μας συγχαίρουν. Υπήρχε πολλή υποστήριξη, οι άνθρωποι έλεγαν: «Είμαστε οικοδόμοι, είστε οικοδόμοι, είμαστε όλοι μαζί σε αυτό». “
CT: Και μετά συνέβη η δεύτερη επίθεση. Πώς το μάθατε για αυτό?
ΚΚ: Μόλις φτάσαμε σε αυτό το εστιατόριο. Ήμασταν στο καταφύγιο σκι στο Κολοράντο, βοηθήσαμε να το οργανώσουμε και ήμασταν πραγματικά ενθουσιασμένοι για αυτό. Παραγγείλαμε όλο αυτό το φαγητό και ο Τομ κοιτάζει το τηλέφωνό του – του αρέσει να περνάει από τις διάφορες συναλλαγές που υπάρχουν στο σύστημα, ειδικά αν κάτι φαίνεται περίεργο ή παράξενο. Έτσι, κοίταξε αυτή τη μία συναλλαγή και φαινόταν πολύ περίεργο επειδή είχε διαγραφεί συμβόλαια και είχε ένα δάνειο flash και είχε βασικά μικρά ποσά που κλήθηκαν επανειλημμένα.
Εξετάσαμε λοιπόν αυτήν τη συναλλαγή και Μας πήρε περίπου δύο δευτερόλεπτα για να είμαστε σαν “Εντάξει, κάποιος χάκαρε.” Αυτό δεν φαίνεται καθόλου. Γνωρίζαμε ότι αφορούσε το σύστημά μας.
Έτσι, το φαγητό έφτασε, ήταν σαν ένα φαγητό αξίας εκατό δολαρίων για τρία άτομα. Τη στιγμή που έφτασε στο τραπέζι, σηκώθηκα και είπα, “Μπορώ να πληρώσω το λογαριασμό;” και τους έδωσε την κάρτα. Ο Τομ ήταν ήδη σπριντ στο σπίτι και το κλείσαμε όλοι, ξεκινήσαμε όλοι να τρέχουμε μέσα από το χιόνι και, ξέρετε, ήταν ένα επτά λεπτό σκούντημα από το εστιατόριο μέχρι το μέρος μας.
Επιδιορθώσαμε τους σταθμούς μάχης, θέσαμε σε παύση το σύστημα, ξεκινήσαμε να κάνουμε διαλογές και να διαγνώσουμε το πρόβλημα. […] Μέχρι εκείνο το σημείο ήμασταν «ξέρουμε πώς να το χειριστούμε, αν ληφθούν κάποια χρήματα δεν είναι το τέλος του κόσμου». Δυστυχώς, αφού ο κεραυνός χτύπησε δύο φορές, πολλή καλή θέληση που οι άνθρωποι επεκτεινόταν εμείς στο παρελθόν είχαν ουσιαστικά διαβρωθεί.
Σκεφτόμαστε τι πήγε στραβά
Τα δύο hacks ανάγκασαν την ομάδα να κλείσει και να ξαναχτίσει το πρωτόκολλο. Έκτοτε, άλλα έργα διαπίστωσαν επίσης ευπάθειες που εκμεταλλεύτηκαν, αλλά κανένα δεν είχε πολλά hacks σε σύντομο χρονικό διάστημα.
CT: Ο αριθμός των παραβιάσεων που υπέστη η bZX δημιουργεί ερωτήματα σχετικά με τις πρακτικές του έργου. Θα μπορούσε απλώς να είναι κακή τύχη, ή υπάρχει κάτι βαθύτερο στο παιχνίδι?
ΚΚ: Δεν είναι τυχαίο. Υπάρχουν δύο πράγματα: το ένα είναι ότι κάναμε ένα λάθος και είχαμε έναν ελεγκτή ασφαλείας που δεν έκανε εντελώς [τη δουλειά του]. Υπάρχει ένα ζήτημα που προσπαθώ να καταλάβω εδώ – βασικά υπάρχουν πολλοί παράγοντες που έκαναν λόγο για τον οποίο είχαμε το Kyber ως μαντείο [η κύρια ευπάθεια που είχε ως αποτέλεσμα τη δεύτερη παραβίαση].
Ήταν μια εννοιολογική ευπάθεια που θα έπρεπε να είχε πιάσει ένας ελεγκτής, αλλά δεν θα έπρεπε να το χρησιμοποιούσαμε. Είχαμε καταλάβει ότι το Kyber δεν ήταν βέλτιστο, αλλά κάναμε πειστικά πεισματικά να συγκεντρώσουμε το μαντείο. Δεν είχαμε το Chainlink, το οποίο θα μπορούσαμε απλώς να συνδέσουμε εκείνη τη στιγμή, οπότε η μόνη άλλη επιλογή ήταν να συγκεντρώσουμε το μαντείο.
Τώρα, το πρώτο hack ήταν βασικά ένα σφάλμα τυπογραφικού επιπέδου. Νομίζω ότι αυτό οφειλόταν στο ότι δεν υπήρχαν κατάλληλες διαδικασίες. […] Ήμασταν μια μικρή εταιρεία. Δεν υποστηριζόμασταν από ένα σωρό χρήματα επιχειρηματικών συμμετοχών, όπως πολλά άλλα πρωτόκολλα δανεισμού. Τώρα είμαστε, είμαστε μια πολύ μεγαλύτερη και πολύ πιο ώριμη παρέα.
Οι ελεγκτές δεν είναι οι ίδιοι
Ο έλεγχος έξυπνων συμβάσεων θεωρείται ένα κρίσιμο βήμα πριν από την έναρξη του πρωτοκόλλου. Τα μη ελεγμένα πρωτόκολλα θεωρούνται λιγότερο ασφαλή, τόσο πολύ που ο δημιουργός του Yearn Finance λέει ότι σκόπιμα μείωσε τον ενθουσιασμό για το έργο του, παρακωλύοντας το γεγονός ότι το πρωτόκολλο ελέγχθηκε.
CT: Τι συνέβη λοιπόν με τον έλεγχο του κωδικού σας από την ZK Labs?
ΚΚ: Νιώθω ότι κάποιος πρέπει να ξέρει αυτήν την ιστορία. Έτσι ήμασταν νέοι και ήμασταν πράσινοι στη βιομηχανία. Μόλις φτιάξαμε αυτήν την έκδοση ένα από το πρωτόκολλό μας, ήταν σαν τις αρχές του 2018. Βάζαμε τα πράγματα μας στο testnet, αλλά δεν γνωρίζαμε πραγματικά τους ελεγκτές ασφαλείας στο χώρο.
Έτσι ρωτήσαμε γύρω και αρχικά αναφέρθηκα στον Όμιλο Acacia. […] Το βρήκαν και βασικά είπαν, “Είμαστε έξω από το βάθος μας εδώ.” Επομένως, χρειαζόμασταν να βρούμε έναν διαφορετικό ελεγκτή και τελικά βρήκαμε ZK Labs. Πιστεύαμε ότι τα ZK Labs ήταν εξαιρετικά αξιόπιστα. […] Ο Matthew DiFerrante [ιδρυτής ZK Labs] συνδέθηκε με το Ίδρυμα Ethereum, είχε εργαστεί ως μηχανικός ασφαλείας εκεί.
Τώρα, αυτό που δεν ήξερα είναι ότι πίσω από τα παρασκήνια, όλοι οι άλλοι ελεγκτές ασφαλείας στο χώρο δεν τους άρεσε πραγματικά ο Μάθιου. Ένιωσαν σαν να ήταν πολύ επαγγελματικός και να μην κάνει καλή δουλειά. […] Φαίνεται σαν ένας έξυπνος άντρας, υποθέτω, αλλά φάνηκε ότι είχε πολλές δυσκολίες να αντιμετωπίσει τον φόρτο εργασίας.
Ελέγξαμε το πρωτόκολλό μας από αυτούς και ήταν πολύ σαφές ότι στην πραγματικότητα υπάρχει μόνο ο Matthew DiFerrante που κάνει τον έλεγχο. Μας χρέωσε περίπου 50.000 $, τα οποία για εμάς – μια εντελώς εταιρία – ήταν σαν ένα τεράστιο, τεράστιο χρηματικό ποσό.
Αλλά προσπαθήσαμε όσο το δυνατόν πιο σκληρά για να συγκεντρώσουμε χρήματα και να κάνουμε ό, τι μπορούσαμε – και το κάναμε. Συγκεντρώσαμε πενήντα χιλιάδες για αυτόν τον έλεγχο, αλλά αισθανθήκαμε ότι κάναμε κάπως τρελός. […] Είχαμε τα πράγματα έτοιμα γι ‘αυτόν στις αρχές Μαρτίου, αλλά ήταν πιο κοντά στον Σεπτέμβριο ότι έγινε – και μόνο μετά από πολλά δόντια που τραβούν και φωνάζουν.
Όταν εξετάσαμε τον έλεγχο, βρήκαμε αυτά τα τυπογραφικά λάθη – υπήρχε ένα μέρος όπου υπήρχε το όνομα Chainlink αντί για το δικό μας. Δεν αντικατέστησε τα ονόματα. Και ήμασταν σαν, «Πόσο καιρό περάσατε να το ελέγξετε; Αυτό το ελέγξατε πραγματικά ή μήπως μας απάτη η ZK Labs; “
Αυτό ήταν το είδος της ερώτησης στο μυαλό μας. Έκανε κάποιες προτάσεις που ήταν χρήσιμες, παρατήρησε ότι υπήρχε ένα κρίσιμο σφάλμα. Δεν είναι σαν να μην έκανε τίποτα, αλλά απομακρυνθήκαμε καθόλου από τον έλεγχο.
Ο Kistner πρόσθεσε επίσης ότι άλλες εταιρείες ασφαλείας όπως το OpenZeppelin ή το Trail of Bits θα κόστιζαν την εταιρεία περίπου 200.000 $, «Και δεν είχαμε αυτά τα χρήματα».
Οι έλεγχοι κώδικα υπερτιμούνται?
Το τρίτο hack της BZX ήρθε αμέσως μετά από δύο σημαντικούς ελέγχους από τους Certik και PeckShield, οι οποίοι φαίνεται να έχουν αφήσει ένα λεπτό σφάλμα να περάσει από τα δίχτυα τους. Πλατφόρμες όπως η Aave και η Compound υπέφεραν επίσης από την έναρξη τρωτά σημεία, είπε, παρά το γεγονός ότι ελέγχθηκαν εκτενώς.
CT: Εξακολουθείτε να πιστεύετε ότι οι έλεγχοι προσθέτουν αξία?
KK: Οι έλεγχοι είναι υπέροχοι. Αν κοιτάξετε το Compound, το Aave ή άλλα, υπάρχουν αρκετά σοβαρά τρωτά σημεία που βρέθηκαν ως αποτέλεσμα των ελέγχων. Εάν δεν τους πέρασαν, θα υπήρχαν τόσες περισσότερες ευπάθειες.
Δεν μπορείτε να περιμένετε δύο ή τρεις ελέγχους να εντοπίσουν κάθε σφάλμα. Οι άνθρωποι πρέπει να το καταλάβουν αυτό. Για αυτό είναι το bug bounties – όταν έχετε τον κώδικα ελεγχόμενο δημόσια, υπάρχουν τόσα πολλά περισσότερα μάτια.
Η ασημένια επένδυση σε αυτές τις εμπειρίες
Μετά τα αρχικά περιστατικά, η bZX αναθεώρησε την εταιρεία και τις πρακτικές ασφαλείας της. Η συνολική τιμή κλειδώματος ανέκαμψε μετά τον Σεπτέμβριο, φτάνοντας περισσότερα από 20 εκατομμύρια δολάρια. Αν και αυτό απέχει πολύ από ορισμένα από τα μεγαλύτερα πρωτόκολλα, ο αριθμός είναι ακόμα αξιοσημείωτος δεδομένης της ταραχώδους χρονιάς του έργου και της έλλειψης άμεσων επιδοτήσεων για την τοποθέτηση περιουσιακών στοιχείων στο πρωτόκολλο.
Σχετιζομαι με: Απόδοση Buzz Farming Buzz γύρω από το DeFi, αλλά οι βασικές αρχές καθυστερούν
Ο Κίστνερ είπε ότι η ομάδα «πιθανότατα έπαιξε την [αρνητική] δημοσιότητα σε καλύτερη αναγνώριση και περισσότερη χρήση του πρωτοκόλλου συνολικά». Ο χρόνος τους επέτρεψε επίσης να βρουν «κάτι που τους αρέσει πολύ», πρόσθεσε. Η ομάδα επικεντρώνεται σε μια μακροπρόθεσμη προοπτική και η συστροφή της στη γεωργική απόδοση περιλαμβάνει μια περίοδο κατοχύρωσης, η οποία θεωρείται ως ένας μηχανισμός που αποθαρρύνει το βραχυπρόθεσμο κεφάλαιο από την ένταξη.
Ταυτόχρονα, ο Kistner πιστεύει ότι η εμπειρία επέτρεψε στο bZX να αποφύγει να γίνει έργο υπό την ηγεσία της επιχείρησης. «Βλέπουμε τους εαυτούς μας ως περισσότερο μαζορέτες, περισσότερο πρωτόκολλο εξωτερικού».
Όταν ρωτήθηκε για τις επενδύσεις που έχει λάβει η εταιρεία από τότε, είπε ότι «ήταν ένας πολύ μικρός κύκλος» και ότι «δεν εγκατέλειψαν κανένα κεφάλαιο ή έλεγχο».
Στο τέλος, η κριτική επιτροπή εξακολουθεί να είναι αν το bZX μπορεί να καλύψει το χαμένο έδαφος. Τα hacks αντιμετώπισαν αναπηρίες που θα μπορούσαν εύκολα να είχαν ως αποτέλεσμα τον θάνατο του έργου, αλλά η ομάδα επέμεινε και επιστρέφει. Η ιστορία του bZX, όσο κι αν εξελίσσεται, παραμένει μια σημαντική προειδοποίηση για άλλα έργα και χρήστες DeFi: Υπάρχουν πολλά περισσότερα που συνεχίζονται στη δημιουργία ενός ασφαλούς προϊόντος πέρα από την απλή πληρωμή χρημάτων στους ελεγκτές.