Binance заявила 18 серпня, що її команда безпеки допомогла зупинити шкідливу пропозицію щодо управління, яка могла призвести до витоку приблизно 1,2 мільйона доларів у токенах з казначейства неназваної децентралізованої автономної організації.

Криптовалютна біржа заявила, що її системи моніторингу самостійно ідентифікували пропозицію, коли до її виконання залишалося менше 48 годин. Потім Binance зв'язалася з проєктом та координувала дії з іншими централізованими біржами щодо закриття депозитів для постраждалого токена.

За даними опублікованого звіту Binance, проєкт проголосував проти пропозиції до того, як вона могла бути виконана. Компанія заявила, що кошти не були втрачені.

Binance виявила слабкість у створенні пропозицій

Біржа заявила, що зловмисник намагався використати слабкість у механізмі управління проєктом у блокчейні. Повідомляється, що поріг для створення пропозиції був достатньо низьким, щоб дозволити зловмиснику обійти передбачені вимоги протоколу.

Компанія не пояснила, що це були за вимоги або як пропозиція могла отримати доступ до казначейства. Вона також не розкрила, чи зловмисник накопичував токени управління, позичав право голосу або приховував шкідливі інструкції всередині виконуваного коду.

Системи управління дозволяють власникам токенів голосувати за витрати казначейства, оновлення та налаштування протоколу. Зловмисник може отримати контроль, коли пороги пропозицій низькі, участь у голосуванні слабка або затримки виконання занадто короткі для реагування делегатів.

Процес голосування постраждалої ДАО надав достатньо часу для втручання, але Binance заявила, що залишалося менше двох днів. Біржа не розкрила, коли пропозиція була подана або точний термін виконання.

Закриття депозитів бірж зменшило маршрут виведення

Після ідентифікації пропозиції Binance зв'язалася з проєктом та іншими біржами, які лістингують його токен. Ці платформи закрили депозити як запобіжний захід на випадок, якщо пропозиція пройде, і зловмисник спробує перемістити токени казначейства через централізовані платформи.

Закриття депозитів не зупинило б саму шкідливу пропозицію. Натомість вони обмежили б один потенційний маршрут для продажу, конвертації або відмивання скомпрометованих токенів після виконання.

Спільнота проєкту врешті-решт проголосувала проти пропозиції. Binance не повідомила, скільки голосів її відхилило, чи змінили делегати попередні позиції, або чи використовували адміністратори проєкту екстрені повноваження.

Головний директор з безпеки Binance Джиммі Су заявив, що його команда виявила загрозу, яку "не виявив жоден зовнішній постачальник безпеки". Ця заява не отримала підтвердження від неназваного проєкту або незалежних фірм з безпеки.

Ключові деталі залишаються недоступними для перевірки

Біржа не ідентифікувала проєкт, постраждалий токен, платформу управління або біржі-партнери. Вона також не опублікувала ідентифікатор пропозиції, адресу контракту, запис голосування або відповідні блокчейн-транзакції.

Ці упущення перешкоджають незалежній перевірці ризику в 1,2 мільйона доларів та часової шкали втручання. Тому цю цифру слід розглядати як оцінку Binance, а не як незалежно встановлену суму збитків.

Крім того, не було помітної ринкової реакції, оскільки постраждалий актив залишається нерозкритим. За пропозицією кошти не переміщувалися, що означає, що цей випадок є спробою атаки, а не завершеною крадіжкою казначейства.

Цей інцидент стався після інших атак, які використовували процеси управління для доступу до активів протоколу. Як раніше повідомляв crypto.news, у липні зловмисники вивели приблизно 20 мільйонів доларів з BonkDAO через шкідливу пропозицію.

В іншому випадку, занепокоєння щодо придбаного права голосу, що впливає на рішення ДАО, показало, як низька участь та делеговані голоси можуть послабити захист управління без експлуатації коду контракту.

Неназвана ДАО все ще повинна усунути слабкість

Проєкт мав би змінити правила, які дозволили пропозиції досягти голосування. Можливі засоби контролю включають вищі пороги подачі, довші часові блокування, вимоги кворуму та незалежні перевірки виконуваних пропозицій.

Повноваження на екстрену відміну також можуть зупинити шкідливі дії, хоча це вводить централізований контроль. Проєкти повинні збалансувати швидке втручання з моделлю управління, обіцяною власникам токенів.

Біржа не повідомила, чи завершив постраждалий проєкт ці зміни. Вона також не оголосила про плани опублікувати додаткові технічні деталі або ідентифікувати проєкт після того, як безпосередній ризик мине.

Публічний посмертний аналіз дозволив би користувачам підтвердити голосування, зрозуміти вразливість та оцінити, чи залишається той самий шлях відкритим. До того часу успішне втручання та ризик у 1,2 мільйона доларів залишаються в основному на основі звіту Binance.