Cronos cofnął swój łańcuch po kradzieży 75 milionów dolarów

Walidatorzy Cronos wymazali 10 000 bloków, aby odwrócić exploit Tectonic, ratując 69 milionów dolarów zamrożonych aktywów, jednocześnie wywołując zaciekłą debatę na temat tego, czy blockchain, który można cofnąć na komendę, zasługuje na miano blockchaina.

Cronos zrobił coś 30 sierpnia, co większość blockchainów twierdzi, że nie może i nigdy nie zrobi. Jego walidatorzy skoordynowali awaryjne wstrzymanie, zgodzili się odrzucić ponad 10 000 bloków kanonicznej historii i uruchomili łańcuch ponownie ze snapshota wykonanego przed atakiem na protokół pożyczkowy Tectonic, który stracił 75 milionów dolarów w wyniku manipulacji zabezpieczeniami. Skradzione środki, minus około 6 milionów dolarów, które już przeszły do Ethereum, po prostu przestały istnieć na ponownie uruchomionym łańcuchu.

Ta reakcja zadziałała. Ograniczyła szkody. Prawdopodobnie uratowała deponentów przed utratą wszystkiego, co mieli w Tectonic.

I postawiła pytanie, którego branża unikała od czasu forka DAO Ethereum w 2016 roku: jeśli mała grupa walidatorów może przepisać historię łańcucha, aby odwrócić kradzież, co dokładnie odróżnia ten łańcuch od bazy danych z dodatkowymi krokami? Odpowiedź ma teraz większe znaczenie niż w 2016 roku, ponieważ branża spędziła ostatnią dekadę, mówiąc instytucjom, regulatorom i użytkownikom detalicznym, że blockchainy oferują coś, czego tradycyjna infrastruktura finansowa nie ma: transakcje, których nie można cofnąć przez żadną pojedynczą władzę. Cronos udowodnił, że to twierdzenie nie ma zastosowania uniwersalnego.

Jak Tectonic stracił 75 milionów dolarów w 20 minut

Atak przebiegał według wzorca tak dobrze udokumentowanego, że badacze bezpieczeństwa DeFi mają na niego nazwę: pump-and-borrow w stylu Mango.

Tectonic, największy protokół pożyczkowy na Cronos z około 121,7 miliona dolarów całkowitej wartości zablokowanej i 82,7 miliona dolarów aktywnych pożyczek, pozwalał użytkownikom na deponowanie TONIC, swojego tokena zarządzania, jako zabezpieczenia. TONIC miał 20% współczynnik zabezpieczenia, co oznaczało, że użytkownicy mogli pożyczać aktywa o wartości do jednej piątej zgłoszonej wartości ich zdeponowanego zabezpieczenia. Ten parametr zakładał, że zgłoszona cena TONIC odzwierciedla coś bliskiego jego rzeczywistej wartości likwidacyjnej. Tak nie było.

Atakujący wydał szacunkowo 600 000 dolarów na zakup TONIC na płytkich rynkach Cronos, podnosząc cenę tokena około 100 razy w ciągu około 20 minut. Następnie dostarczył 364,6 biliona TONIC do Tectonic po zawyżonej wycenie, tworząc zgłoszoną pozycję zabezpieczenia o wartości około 375 milionów dolarów. Przeciwko temu widmowemu zabezpieczeniu atakujący pożyczył około 75 milionów dolarów w płynnych aktywach od innych deponentów.

Liczby mówią same za siebie. Inwestycja 600 000 dolarów zamieniła się w wypłatę 75 milionów dolarów. Zwrot z kapitału wyniósł około 12 400%. Zabezpieczenie pożyczki nie mogło zostać sprzedane za ułamek jego zgłoszonej wartości bez spowodowania spadku ceny z powrotem do punktu wyjścia. Rynki pożyczkowe Tectonic zostały opróżnione przy użyciu ich własnych założeń cenowych.

Przed exploitiem Tectonic posiadał prawie połowę wszystkich kapitałów zdeponowanych w aplikacjach DeFi na Cronos. W ciągu 48 godzin jego TVL spadł z 121,7 miliona dolarów do około 3 milionów dolarów. Protokół, który miał być kotwicą ekosystemu DeFi Cronos, stał się jego najdroższym zobowiązaniem.

Wstrzymanie: walidatorzy pociągają za hamulec awaryjny

Walidatorzy Cronos wykryli exploit w ciągu kilku minut i podjęli decyzję, której żadna naprawdę zdecentralizowana sieć nie mogłaby podjąć szybko: zatrzymali produkcję bloków.

Zatrzymanie zamroziło wszystko. Nie tylko Tectonic. Każdy transfer, każda interakcja z kontraktem inteligentnym, każda transakcja mostowa w całej sieci Cronos została wstrzymana. Użytkownicy, którzy nie mieli nic wspólnego z Tectonic, nie mogli przenieść swoich środków. Mosty łączące Cronos z Ethereum i innymi łańcuchami przestały przetwarzać transakcje. Dostawcy RPC obsługujący aplikacje zbudowane na Cronos zniknęli.

Czas miał ogromne znaczenie. Zanim walidatorzy wstrzymali produkcję bloków, atakujący zdołał przenieść około 6 milionów dolarów do Ethereum, gdzie walidatorzy Cronos nie mają żadnej władzy. Pozostałe 69 milionów dolarów znajdowało się na zidentyfikowanych adresach Cronos, zamrożone, ale technicznie nadal pod kontrolą atakującego na zatrzymanym łańcuchu.

Kris Marszalek, dyrektor generalny Crypto.com, opublikował informację, że giełda i aplikacja działają normalnie i że „wszystkie środki są bezpieczne”. To oświadczenie odnosiło się konkretnie do aktywów przechowywanych w scentralizowanych usługach Crypto.com, a nie do środków zdeponowanych w Tectonic. To rozróżnienie ma znaczenie. Crypto.com i Cronos są ściśle powiązane, ale Tectonic działa jako oddzielna zdecentralizowana aplikacja. Awaria jednego niekoniecznie narusza drugie, a zapewnienie Marszalka obejmowało tylko scentralizowaną stronę.

Wycofanie: wymazanie 10 000 bloków historii wszystkich

Zamiast wznowić działanie od zatrzymanego stanu i mieć nadzieję na zamrożenie adresów atakującego poprzez zarządzanie lub interwencję techniczną, walidatorzy Cronos wybrali opcję nuklearną. Przywrócili łańcuch do migawki sprzed exploita, cofnęli ponad 10 000 bloków i wznowili produkcję bloków od bloku 90 896 189.

Transakcje ataku przestały istnieć na kanonicznym łańcuchu. Podobnie jak każda inna transakcja, która miała miejsce podczas tych wymazanych bloków. Legalne transakcje, transfery tokenów, wdrożenia kontraktów i jakakolwiek inna aktywność, która przypadkowo pokrywała się z około dwugodzinnym oknem, zniknęła.

Cronos opisał zatrzymanie jako „awaryjne działanie konsensusu walidatorów” w celu ochrony użytkowników. Analiza pośmiertna łańcucha, obiecana, ale jeszcze nieopublikowana, powinna wyjaśnić dokładny proces, w jaki walidatorzy uzgodnili punkt przywrócenia. Wiemy, że decyzja została podjęta szybko, wykonana przez mały zestaw walidatorów i odwróciła kanoniczną historię publicznego blockchaina.

Tatum, dostawca infrastruktury obsługujący deweloperów na Cronos, musiał odtworzyć wszystkie dane łańcucha od bloku 90 896 188, aby przywrócić synchronizację swoich systemów. Inni dostawcy RPC, eksploratorzy i mosty potrzebowali podobnych resetów. Wycofanie nie dotknęło tylko atakującego. Zmusiło każdą usługę podłączoną do Cronos do pogodzenia się z nową wersją rzeczywistości.

Dlaczego oracle nie był problemem

Instynkt po exploicie manipulacji ceną to obwinianie oracle. Współzałożyciel RedStone, Marcin Kazmierczak, odrzucił takie podejście w oświadczeniu dla crypto.news.

„Oracle nie był w błędzie. Dokładnie raportował cenę TONIC na puli, z której czytał w tamtym momencie” – powiedział Kazmierczak.

To rozróżnienie ma znaczenie. Oracle, który raportuje aktualną cenę rynkową tokena, wykonuje swoją pracę, nawet jeśli ta cena została sztucznie zawyżona. Błąd leży po stronie protokołu, który akceptuje raportowaną cenę jako bezpieczną do pożyczek bez sprawdzenia, czy token faktycznie można sprzedać po tej wycenie.

Kazmierczak zidentyfikował brakujące zabezpieczenie: limity pożyczek powiązane z wykonywalną płynnością. Taki limit ogranicza pożyczanie w oparciu o to, ile zabezpieczenia można realistycznie sprzedać bez załamania jego ceny. Nawet jeśli raportowana wartość TONIC wzrosła 100-krotnie, odpowiednio ustawiony limit pożyczek ograniczyłby pożyczanie do tego, co rynek mógłby wchłonąć.

„Raportowanie ceny i walidacja, czy cena jest bezpieczna do pożyczania pod zastaw, to dwie różne prace, a projekt Tectonic je połączył” – powiedział.

Odrzucił pomysł, że dłuższe okno czasowe średniej ważonej ceny zapobiegłoby atakowi. Stuprocentowy wzrost ceny w 20 minut, argumentował, nie jest zdarzeniem zmienności, które wygładzanie naprawi. To sygnał, że aktywo nigdy nie powinno było być zabezpieczeniem w żadnej znaczącej skali.

Ten atak nie jest nowy. To jest problem.

Scenariusz użyty przez atakującego Tectonic jest prawie identyczny z tym, który Avraham Eisenberg przeprowadził przeciwko Mango Markets w październiku 2022 roku, wypompowując ponad 100 milionów dolarów poprzez zawyżenie słabo notowanego tokena zarządzania MNGO i pożyczanie pod niego płynnych aktywów. Ława przysięgłych na Manhattanie skazała Eisenberga za oszustwa dotyczące towarów, manipulację towarami i oszustwa elektroniczne. Sędzia federalny później uchylił wyroki z powodu problemów z właściwością sądu i niewystarczających dowodów w sprawie oszustwa elektronicznego.

Sprawa Eisenberga jest istotna poza technicznymi podobieństwami. Jego obrona prawna argumentowała, że zasady protokołu pozwalały na to, co zrobił, że inteligentne kontrakty działały zgodnie z projektem i że wykorzystanie wady projektu nie jest tym samym co popełnienie oszustwa. Ława przysięgłych się nie zgodziła, ale uchylone wyroki pozostawiły status prawny tego wektora ataku nierozwiązany. Każdy, kto dziś powiela ten scenariusz, działa w prawdziwej niejednoznaczności prawnej, co może częściowo wyjaśniać, dlaczego ataki wciąż się zdarzają.

Trzy dni przed exploit Tectonic, atakujący wypompował 8,7 miliona dolarów z Moonwell na Base używając dokładnie tej samej techniki przeciwko niepłynnemu tokenowi MAMO. Moonwell odpowiedział obniżeniem limitów pożyczek do 1 wei na swoich rynkach bazowych Base, skutecznie wstrzymując nowe pożyczki. Poprawka była dostępna przed atakiem. Protokół zdecydował się jej nie wdrożyć, dopóki szkody nie zostały wyrządzone.

Moola Market na Celo straciło fundusze w tym samym wzorcu w październiku 2022 roku, w tym samym miesiącu co Mango Markets. Cztery lata później atak nadal działa, ponieważ ekonomiczna zachęta do notowania tokenów zarządzania jako zabezpieczenia przewyższa postrzegane ryzyko. Zespoły protokołów czerpią korzyści z wyższych wartości TVL. Posiadacze tokenów zarządzania czerpią korzyści ze zwiększonej użyteczności. Koszt słabych parametrów zabezpieczeń pozostaje ukryty, dopóki ktoś nie przetestuje, czy rynek może wchłonąć nagłą likwidację zdeponowanych tokenów. Nie może. Nigdy nie może. Płynność, która musiałaby istnieć, aby te tokeny były bezpieczne jako zabezpieczenie przy ich notowanych współczynnikach zabezpieczenia, po prostu nie istnieje dla tokenów zarządzania o niskiej kapitalizacji.

Łańcuchy Cosmos EVM otrzymały polecenie zatrzymania po osobnym incydencie bezpieczeństwa 25 sierpnia. KiiChain zgłosiło wypompowanie 148,3 miliona KII w 18 atakach. MANTRA zatrzymało swoją sieć kilka dni wcześniej podczas badania innego incydentu. Trzy zatrzymania łańcuchów w ciągu jednego tygodnia. Sama częstotliwość powinna zaniepokoić każdego, kto traktuje finalność jako właściwość, którą jego blockchain faktycznie posiada.

Porównanie z forkiem DAO i dlaczego nie do końca pasuje

Fork DAO Ethereum z 2016 roku jest oczywistym precedensem. Atakujący wykorzystał podatność na reentrancy, aby wypompować około 60 milionów dolarów (w tamtym czasie) z The DAO, a społeczność Ethereum zagłosowała za hard forkiem, tworząc nowy łańcuch, który cofnął kradzież, oraz oryginalny łańcuch (Ethereum Classic), który zachował kanoniczną historię.

Porównanie jest pouczające, ale różnice znaczą więcej niż podobieństwa.

Fork DAO zajął tygodnie publicznej debaty. Wątki na CoinDesk, Reddicie i Bitcointalk miały tysiące komentarzy. Górnicy głosowali swoim hashrate. Społeczność się podzieliła, tworząc Ethereum Classic jako trwały pomnik zasady, że kod jest prawem. Proces był na tyle bolesny, że Ethereum od tamtej pory traktuje niezmienność jako niemal świętą. Most Ronin stracił 625 milionów dolarów w 2022 roku. Most Wormhole stracił 320 milionów w tym samym roku. Nikt poważnie nie proponował cofnięcia Ethereum dla żadnego z tych przypadków.

Cronos osiągnął coś podobnego w ciągu godzin z garstką walidatorów. Bez głosowania społeczności. Bez tygodni debaty. Bez podziału łańcucha. Bez forka zachowującego oryginalną historię dla tych, którzy się nie zgadzali. Walidatorzy zgodzili się, cofnęli i poszli dalej. Szybkość jest problemem, ponieważ wycofanie, które wymaga szerokiego konsensusu społeczności i tygodni deliberacji, jest ostatecznością, podczas gdy wycofanie, które mały zestaw walidatorów może wykonać w ciągu godzin, jest narzędziem administracyjnym. A narzędzia administracyjne są używane.

Koncentracja walidatorów wyjaśnia szybkość. Ponieważ łańcuch Cronos jest utrzymywany przez stosunkowo niewielką liczbę walidatorów, z których wielu jest kontrolowanych przez Crypto.com lub ściśle z nim powiązanych, skoordynowanie zatrzymania i wycofania wymaga zgody znacznie mniejszej liczby niezależnych stron niż w przypadku Ethereum, Bitcoina czy jakiegokolwiek łańcucha z dużą i zróżnicowaną grupą walidatorów lub górników. To nie jest błąd w reakcji na exploit Tectonic. To strukturalny warunek, który umożliwił tę reakcję.

Jak ujął to jeden z krytyków: jeśli 75 milionów dolarów uzasadnia wycofanie, to co z 50 milionami? 10 milionami? A poza atakami hakerskimi, jakie inne rodzaje zdarzeń byłyby wystarczające, aby walidatorzy nacisnęli przycisk ponownego ładowania? Brak opublikowanych ram zarządzania określających, kiedy wycofania są właściwe, oznacza, że odpowiedź jest taka, jaką w danym momencie ustali zestaw walidatorów. To nie jest zdecentralizowane zarządzanie. To uznaniowość, a uznaniowość bez reguł to po prostu władza.

Kto stracił pieniądze w wymazanych blokach

Wycofanie powstrzymało exploit. Wymazało również legalną aktywność.

Każdy użytkownik, który wykonał transakcję na Cronos w około dwugodzinnym oknie między exploitem a zatrzymaniem, miał swoją aktywność cofniętą. Transakcje na zdecentralizowanych giełdach zostały anulowane. Transfery tokenów między portfelami zostały unieważnione. Interakcje z inteligentnymi kontraktami, które nie miały nic wspólnego z Tectonic, zostały usunięte z kanonicznego łańcucha jako szkody uboczne przywracania stanu.

Cronos nie opublikował danych na temat liczby utraconych transakcji niezwiązanych z exploitem. Ponad 10 000 wymazanych bloków reprezentuje około dwóch godzin aktywności sieci przy normalnej przepustowości Cronos. Dla łańcucha, który od czasu uruchomienia zarejestrował ponad 100 milionów transakcji i obsługiwał ponad 500 programistów, nawet dwie godziny oznaczają znaczną liczbę legalnych operacji.

Asymetria jest uderzająca. Deponenci Tectonic, którzy stracili fundusze w wyniku exploita, odzyskali salda do poziomu sprzed ataku. Ale każdy, kto dokonał legalnej transakcji handlowej, depozytu lub wypłaty w wymazanym oknie, miał swoją transakcję unieważnioną bez odszkodowania, a nawet potwierdzenia.

Tworzy to dziwną zachętę. Jeśli zostaniesz okradziony na Cronos, walidatorzy mogą przepisać historię, abyś odzyskał straty. Jeśli twoja legalna transakcja przypadkiem znajdzie się w strefie rażenia cudzego hacka, tracisz ją. Wycofanie optymalizuje pod kątem jednego rodzaju szkody, a tworzy inną.

Żaden zestaw walidatorów nie wyjaśnił, jak waży te sprzeczne interesy. Analiza pośmiertna Cronos powinna się tym zająć. Czy to zrobi, to już inne pytanie.

Co wycofanie oznacza dla twórców na Cronos

Programiści budujący aplikacje na Cronos stoją teraz przed ograniczeniem projektowym, które nie istniało przed 30 sierpnia: każdy stan, który tworzy ich aplikacja, może zostać retroaktywnie wymazany przez konsensus walidatorów.

W przypadku prostej zamiany tokenów konsekwencje są irytujące, ale do opanowania. Użytkownik może przesłać ponownie. W przypadku aplikacji współpracujących z systemami zewnętrznymi implikacje są poważniejsze. Procesor płatności, który potwierdza transakcję Cronos i wysyła produkt, nie ma środków odwoławczych, jeśli transakcja zostanie później wycofana. Wyrocznia, która przesyła dane do Cronos i na podstawie potwierdzenia wyzwala działania na innych łańcuchach, nie może cofnąć tych działań.

Problem narasta w przypadku protokołów działających na wielu łańcuchach. Jeśli użytkownik wpłaca depozyt na Cronos, a ten depozyt wyzwala emisję na innym łańcuchu, wycofanie Cronos usuwa depozyt, ale nie emisję. Stan międzyłańcuchowy staje się niespójny, a uzgodnienie spada na zespół protokołu, a nie na walidatorów, którzy zarządzili wycofanie.

Odpowiedź Tatum ilustruje koszt infrastruktury. Firma musiała odtworzyć wszystkie dane łańcucha z przywróconego bloku, aby przywrócić synchronizację swoich interfejsów API. Każdy indeksator, subgraph i usługa danych śledząca Cronos stanęła przed tym samym obciążeniem ponownej synchronizacji. Dla dostawców infrastruktury działających na dziesiątkach łańcuchów, obsługa łańcucha, który może się wycofać w dowolnym momencie, zwiększa koszty operacyjne, których nie nakładają łańcuchy z wiarygodną finalnością.

Przedsięwzięcie Trump Media i Crypto.com CRO treasury, które zostało zakończone 7 sierpnia, proponowało wykorzystanie Cronos do tokenizowanych aktywów. Gdyby ta umowa przetrwała do exploita Tectonic, wycofanie wymazałoby tokenizowane pozycje kapitałowe. Już sam ten scenariusz powinien skłonić każdy projekt tokenizacji aktywów ze świata rzeczywistego do zastanowienia się przed wyborem łańcucha, w którym walidatorzy mogą przepisywać historię.

Te 6 milionów dolarów, które pokazują granicę

Te 6 milionów dolarów, które atakujący przeniósł do Ethereum przed wstrzymaniem, przetrwało rollback. Znajduje się na łańcuchu, którego walidatorzy Cronos nie mogą dotknąć.

To jest fizyczne ograniczenie, z którym mierzy się każdy rollback. Władza blockchaina kończy się na jego własnych granicach. Gdy wartość przechodzi na inny łańcuch, obowiązują zasady konsensusu łańcucha odbierającego. Walidatorzy Ethereum nie zgodzili się na rollback Cronos i nie mają obowiązku go honorować. Salda atakującego na Ethereum są ostateczne w sposób, w jaki ich salda na Cronos okazały się nie być.

Ta różnica ma znaczenie dla każdego, kto buduje aplikacje międzyłańcuchowe na Cronos lub podobnych sieciach. Jeśli łańcuch może zostać cofnięty, każda wartość, która nie opuściła łańcucha przed wstrzymaniem, jest zagrożona wymazaniem. Mosty stają się drogą ucieczki, a szybkość mostkowania staje się właściwością bezpieczeństwa, której projektanci protokołów nie planowali.

Atakujący o tym wiedział. Pierwszą rzeczą, jaką zrobiły skradzione środki, był ruch w kierunku Ethereum. Okno około dwóch godzin między wykorzystaniem luki a wstrzymaniem było wyścigiem między szybkością mostkowania atakującego a szybkością koordynacji walidatorów. Walidatorzy wygrali większość z tego. Ale 6 milionów dolarów to nie jest nic.

Co oglądać

• Publikacja pośmiertna Cronos. Zestaw walidatorów obiecał pełne rozliczenie exploitów, decyzji o wstrzymaniu, procesu wycofania i ponownego uruchomienia. Dopóki ten dokument się nie pojawi, społeczność nie może ocenić, czy istniały odpowiednie zabezpieczenia, czy też wycofanie przebiegło zgodnie z jakimkolwiek zdefiniowanym procesem zarządzania.
• TVL Tectonic i traktowanie deponentów. TVL spadło z 121,7 miliona dolarów do 3 milionów. Czy deponenci otrzymają odszkodowanie, plan naprawczy, czy nic, będzie sygnałem, jak Cronos radzi sobie z awariami protokołów w swoim ekosystemie.
• Zachowanie ceny CRO po wycofaniu. Zestaw walidatorów, który może przepisać historię, powinien być notowany z dyskontem zarządczym w porównaniu z łańcuchami, gdzie nie jest to możliwe. To, czy CRO odzwierciedla to dyskonto, pokaże, jak rynek wycenia ryzyko niezmienności.
• Inne łańcuchy przyjmujące scenariusz wycofania. MANTRA, Ontology i łańcuchy Cosmos EVM wszystkie wstrzymały działanie ostatnio. Jeśli którekolwiek z nich użyje Cronos jako precedensu do wycofywania stanu, praktyka ta może się upowszechnić w mniejszych łańcuchach.
• Przyjęcie limitów pożyczek w protokołach pożyczkowych DeFi. Kazmierczak z RedStone zidentyfikował poprawkę. To, czy protokoły ją wdrożą, czy nadal będą notować tokeny zarządzania o niskiej płynności bez limitów pożyczek, zadecyduje o tym, jak często ten dokładny atak będzie się powtarzał.