Kriptovaliutų vagystė dėl „Litecoin“ pažeidžiamumo – kas atlygins šimtatūkstantinius rinkos nuostolius?
Litecoin tinkle šeštadienį įvyko gili grandinės reorganizacija, kurios metu buvo perrašyta maždaug trijų valandų blokų istorija. Litecoin Foundation nurodė, kad taip sureaguota į nulinės dienos pažeidžiamumą, susijusį su MimbleWimble Extension Block (MWEB) privatumo sluoksniu.
Pasak fondo, klaida leido daliai kasybos mazgų, veikiančių su senesne programine įranga, patvirtinti neteisingą MWEB operaciją kaip galiojančią. Dėl to užpuolikai galėjo atlikti neteisėtą išvedimą iš privatumo plėtinio į pagrindinę grandinę ir nukreipti lėšas į trečiųjų šalių decentralizuotas keityklas.
Incidentą komentavęs „Aurora Labs“ vadovas Alexas Ševčenka tai pavadino koordinuota ataka ir teigė, kad šakutė apėmė blokus nuo 3 095 930 iki 3 095 943. Jo teigimu, per šį laiką buvo vykdomos dvigubos išlaidos prieš kelis kryžminių grandinių keitimo protokolus, kurie priėmė vėliau „našlaičiais“ tapusius MWEB išvedimus.
„NEAR Intents“ rizika siekia apie 560 000 eurų, – sakė Alexas Ševčenka.
Litecoin Foundation pabrėžė, kad neteisėtos operacijos galiausiai buvo pašalintos iš Litecoin istorijos, o teisėtos operacijos tuo laikotarpiu neturėtų būti paveiktos. Fondas taip pat pranešė, kad pažeidžiamumas ištaisytas, tačiau dalis prekybos vietų esą jau fiksavo nuostolius.
Kas yra MWEB ir kodėl tai svarbu
MWEB yra privatumo plėtinys, įjungtas Litecoin tinkle 2022 metais, leidžiantis perkelti LTC iš skaidrios pagrindinės grandinės į konfidencialų sluoksnį. Tai daroma per įvedimo ir išvedimo operacijas, o plėtinys kiekviename bloke turi užtikrinti, kad tarp dviejų sluoksnių būtų laikomasi monetų balanso taisyklių.
Jei atsiranda galiojanti atrodanti, bet neautorizuota išvedimo operacija, užpuolikas gali laikinai „sukurti“ LTC pagrindinėje grandinėje iki tol, kol sąžiningi mazgai atmes neteisingą bloką. Būtent todėl grandinės reorganizacija šiuo atveju tapo kritiniu įrankiu siekiant panaikinti atakos pėdsakus ir sugrąžinti vieningą būseną.
Kodėl nuostoliai dažnai persikelia į kryžmines sistemas
Šis incidentas išryškino dar vieną įprastą kriptosaugumo modelį: kai tik pavyksta trumpam išgauti neteisėtą balansą, užpuolikai dažnai stengiasi kuo greičiau „išnešti“ vertę per kryžmines keitimo ir apsikeitimo sistemas. Jei trečiųjų šalių protokolai ar prekybos vietos priima tokias operacijas dar iki galutinio grandinės konsensuso, vėliau, įvykus reorganizacijai, jos gali likti su nuostoliais.
Litecoin Foundation nenurodė, kurie kasybos telkiniai buvo paveikti, ir neatskleidė, kiek LTC buvo sukurta per neteisėtas MWEB operacijas. Taip pat pranešta, kad su tuo pačiu pažeidžiamumu buvo siejamos ir paslaugos trikdymo atakos prieš didžiuosius kasybos telkinius.
Rinkos reakcija į pranešimą buvo ribota: tą pačią dieną LTC kaina svyravo apie 52 eurus ir reikšmingo staigaus kritimo po viešo atskleidimo nefiksuota. Vis dėlto incidentas gali paskatinti prekybos vietas griežtinti indėlių patvirtinimų politiką ir papildomai vertinti riziką, susijusią su privatumo plėtiniais bei kryžminių grandinių infrastruktūra.
Fondas paragino prekybos vietas ir paslaugų teikėjus audituoti operacijas bei likučius ir įsitikinti, kad nebuvo priimta dvigubų išlaidų operacijų. Tokiais atvejais svarbiausi tampa operatyvūs programinės įrangos atnaujinimai, konservatyvūs patvirtinimų slenksčiai ir aiškios procedūros, kaip elgtis, kai tinklas patiria reorganizaciją.
