Sinabi ng Binance noong Agosto 18 na tinulungan ng security team nito na pigilan ang isang mapanirang panukala sa pamamahala na maaaring naglantad ng humigit-kumulang $1.2 milyon sa mga token mula sa kaban ng isang hindi pinangalanang decentralized autonomous organization.
Sinabi ng cryptocurrency exchange na ang mga sistema ng pagsubaybay nito ay nakapag-iisa na natukoy ang panukala na may natitirang wala pang 48 oras bago ang pagpapatupad. Pagkatapos, kinontak ng Binance ang proyekto at nakipag-ugnayan sa iba pang centralized exchange upang isara ang mga deposit para sa apektadong token.
Bumoto laban ang proyekto sa panukala bago pa ito maisagawa, ayon sa inilabas na pahayag ng Binance. Sinabi ng kumpanya na walang nawalang pondo.
Sinabi ng exchange na sinubukan ng umaatake na samantalahin ang isang kahinaan sa on-chain governance mechanism ng proyekto. Ang threshold para sa paggawa ng panukala ay naiulat na sapat na mababa upang payagan ang umaatake na lampasan ang mga itinakdang kinakailangan ng protocol.
Hindi ipinaliwanag ng kumpanya kung ano ang mga kinakailangang iyon o kung paano makakakuha ng access ang panukala sa kaban. Hindi rin nito ibinunyag kung nag-ipon ang umaatake ng governance tokens, nanghiram ng kapangyarihan sa pagboto, o nagtago ng mapanirang tagubilin sa loob ng executable code.
Pinahihintulutan ng mga sistema ng pamamahala ang mga may hawak ng token na bumoto sa paggasta ng kaban, mga pag-upgrade, at mga setting ng protocol. Maaaring makakuha ng kontrol ang isang umaatake kapag mababa ang threshold ng panukala, mahina ang partisipasyon sa pagboto, o masyadong maikli ang mga pagkaantala sa pagpapatupad para makatugon ang mga delegado.
Ang proseso ng pagboto ng apektadong DAO ay nagbigay ng sapat na oras para sa interbensyon, ngunit sinabi ng Binance na wala pang dalawang araw ang natitira. Hindi ibinunyag ng exchange kung kailan isinumite ang panukala o ang tiyak na deadline ng pagpapatupad.
Matapos matukoy ang panukala, kinontak ng Binance ang proyekto at iba pang exchange na naglilista ng token nito. Isinara ng mga platform na iyon ang mga deposit bilang pag-iingat kung sakaling pumasa ang panukala at sinubukan ng umaatake na ilipat ang mga treasury token sa pamamagitan ng mga centralized venue.
Ang pagsasara ng mga deposit ay hindi sana makakapigil sa mismong mapanirang panukala. Sa halip, pipigilan nito ang isang potensyal na ruta para sa pagbebenta, pag-convert, o paglilinis ng mga nakompromisong token pagkatapos ng pagpapatupad.
Sa huli, bumoto ang komunidad ng proyekto laban sa panukala. Hindi sinabi ng Binance kung gaano karaming boto ang tumanggi rito, kung binago ng mga delegado ang naunang posisyon, o kung gumamit ang mga administrator ng proyekto ng emergency authority.
Sinabi ni Jimmy Su, Chief Security Officer ng Binance, na natukoy ng kanyang team ang isang banta na “hindi na-flag ng sinumang external security provider.” Ang pahayag na iyon ay hindi pa nakakatanggap ng kumpirmasyon mula sa hindi pinangalanang proyekto o mga independiyenteng security firm.
Hindi tinukoy ng exchange ang proyekto, ang apektadong token, ang governance platform, o ang mga nakikipagtulungang exchange. Hindi rin nito isinapubliko ang identifier ng panukala, address ng kontrata, talaan ng boto, o mga kaugnay na blockchain transaction.
Ang mga pagkukulang na iyon ay pumipigil sa independiyenteng pag-verify ng $1.2 milyong exposure at timeline ng interbensyon. Ang figure ay dapat samakatuwid ay ituring bilang pagtatantya ng Binance sa halip na isang independiyenteng naitatag na halaga ng pagkawala.
Bukod pa rito, walang natukoy na reaksyon sa merkado dahil nananatiling hindi isinisiwalat ang apektadong asset. Walang pondo ang lumipat sa ilalim ng panukala, na nangangahulugang ang kaso ay kumakatawan sa isang pagtatangkang pag-atake sa halip na isang kumpletong pagnanakaw ng kaban.
Ang insidente ay sumusunod sa iba pang mga pag-atake na gumamit ng mga proseso ng pamamahala upang maabot ang mga asset ng protocol. Gaya ng naunang iniulat ng crypto.news, humigit-kumulang $20 milyon ang ninakaw ng mga umaatake mula sa BonkDAO sa pamamagitan ng isang mapanirang panukala noong Hulyo.
Sa isa pang kaso, ipinakita ng mga alalahanin tungkol sa biniling kapangyarihan sa pagboto na nakakaapekto sa mga desisyon ng DAO kung paano maaaring pahinain ng mababang partisipasyon at mga delegated vote ang mga proteksyon ng pamamahala nang hindi sinasamantala ang contract code.
Kailangan baguhin ng proyekto ang mga patakaran na nagpapahintulot sa panukala na maabot ang isang boto. Kabilang sa mga posibleng kontrol ang mas mataas na threshold sa pagsumite, mas mahabang timelocks, quorum requirements, at independiyenteng pagsusuri ng mga executable proposal.
Maaari ding pigilan ng emergency cancellation authority ang mga mapanirang aksyon, bagama't nagpapakilala ito ng sentralisadong kontrol. Kailangang balansehin ng mga proyekto ang mabilis na interbensyon sa modelo ng pamamahala na ipinangako sa mga may hawak ng token.
Hindi sinabi ng exchange kung natapos na ng apektadong proyekto ang mga pagbabagong iyon. Hindi rin nito inihayag ang mga plano na maglathala ng karagdagang teknikal na detalye o tukuyin ang proyekto pagkatapos na mawala ang agarang panganib.
Ang isang pampublikong postmortem ay magpapahintulot sa mga user na kumpirmahin ang boto, maunawaan ang kahinaan, at suriin kung bukas pa rin ang parehong landas. Hanggang noon, ang matagumpay na interbensyon at ang $1.2 milyong exposure ay nananatiling batay lamang sa account ng Binance.
DAO
BTC