Служба безопасности Binance сообщила, что остановила захват казны децентрализованной организации на 1,2 миллиона долларов. До исполнения вредоносного предложения оставалось меньше двух суток. Ни проект, ни токен биржа не назвала.

Коротко: что описала биржа

Атакующий воспользовался низким порогом внесения предложений: механизм управления позволял вынести на голосование перевод средств из казны, обойдя задуманные ограничения протокола.

Обнаружив угрозу, компания связалась с проектом и договорилась с биржами, торгующими его токеном, о закрытии депозитов — чтобы перекрыть пути вывода, если предложение всё-таки пройдёт.

Сообщество проголосовало против, средства не пострадали. Директор по безопасности Джимми Су формулирует вывод так: крупнейшие риски в отрасли всё чаще нацелены на людей, доступы и поведение, а не на уязвимости в коде.

Что раскрыто, а что нет

Чем захват управления отличается от взлома

Кода здесь никто не ломает. Атакующий действует по правилам протокола: набирает достаточно голосов, вносит предложение, которое внешне выглядит рутинным, и добивается его принятия. Дальше казна переводится по указанному адресу — с точки зрения смарт-контракта совершенно легально.

Уязвимость обычно не в контракте, а в параметрах: низкий порог внесения предложений, слабая явка на голосованиях, отсутствие задержки между принятием и исполнением. Когда стоимость покупки голосов оказывается меньше содержимого казны, атака превращается в арифметическую задачу.

Защита тоже процедурная: высокий порог внесения, обязательная пауза перед исполнением, право вето у совета, ограничение суммы одной операции. Мы разбирали, как репутационные модели голосования пытаются заменить власть капитала, и как устроено управление казначейством организации.

Почему анонимность отчёта — отдельная проблема

Насколько я это вижу, ценность подобных сообщений определяется их проверяемостью, а здесь она нулевая.

В блокчейне публично всё: у предложения есть номер, у голосования — записи, у казны — адрес. Раскрытие любого элемента позволило бы независимо подтвердить и сумму, и сроки, и результат. Ни одного из них в сообщении нет.

Мотивы умолчания понять можно: проект мог просить не привлекать внимания к дыре, пока порог не поднят. Но тогда логично было бы дождаться исправления и опубликовать разбор с деталями, а не выпускать заявление, которое невозможно проверить.

Получается сюжет, где компания сообщает о собственной заслуге, а подтвердить её может только она сама. Для отрасли, приученной ссылаться на ончейн-доказательства, это шаг назад: заявление о безопасности без проверяемых данных стоит ровно столько, сколько доверия к говорящему. И это особенно заметно на фоне соседних историй, где всё как раз проверяемо — например, когда казначейство одного проекта усохло с 70 до 16,4 миллиона долларов, каждый шаг было видно в цепочке.

Что стоит сделать проектам

Вывод из этой истории не зависит от того, какой именно проект был целью. Два параметра превращают захват управления из дешёвой операции в дорогую и заметную: высокий порог внесения предложения и обязательная задержка перед исполнением.

Полезна и координация с площадками — закрытие депозитов лишает атакующего быстрого выхода. Но строить защиту на том, что чужая служба безопасности заметит вредоносное предложение за двое суток до исполнения, нельзя: это удача, а не процедура.

Стоит помнить и общий сдвиг, о котором говорит сама биржа: атаки смещаются от кода к людям и правам доступа. Мы отмечали то же самое, когда по итогам полугодия потери превысили миллиард, а взломы сместились к ключам и мостам.

Источники

Материал подготовлен на основе публикаций crypto.news и Bitcoin.com News.