Більшість найбільших за обсягом токенів стикаються зі значними ризиками управління, не дотримуючись найкращих практик для запобігання експлойтам та іншим загрозам безпеці.
Відповідно до аналізу, проведеного фірмою Web3 De. Fi, з 429 токенів зі структурами управління майже 75% мають фактори ризику, пов’язані з їхніми контрактами, включаючи прихованих власників і гаманці зі спеціальними дозволами.
Лише 16,6% проаналізованих контрактів керуються мультипідписними гаманцями, які вимагають до п’яти різних закритих ключів для схвалення будь-якої транзакції. Програма розглядається як інструмент для зниження ризиків фішингу та злому на основі шкідливих програм, зазначається у звіті.
Крім того, понад 38% контрактів на токени управляються гаманцем або зовнішнім обліковим записом, що означає, що «гаманець може викликати привілейовані функції контрактів у будь-який час». Відповідно до Де. Згідно з аналізом Fi, ступінь ризику може відрізнятися залежно від призначених дозволів:
«Наприклад, якщо гаманець може встановлювати плату за протокол тільки в розумних постійних межах, тут немає ризику. Але, якщо він може замінити критичні адреси, з якими взаємодіє контракт, такі як оракули цін і стратегії сховища, активи користувачів потрапляють під пряму небезпеку».
Ще один червоний прапорець, виявлений у 6,8% контрактів, — це приховане право власності, яке дозволяє автору контракту відкликати право власності та накладати вето на голосування. Крім того, лише 10% токенів відмовилися від контрактів — це означає, що їх творці відмовилися від права змінювати свій код або функції управління, таким чином посилюючи децентралізацію.
«Надзвичайна кількість проектів залишає безпеку всієї своєї скарбниці в руках одного власника гаманця. У більшості випадків ці власники приховані, що означає, що учасник DAO не може перевірити, хто керує коштами. Це призвело до появи вразливостей у контролі доступу на мільярди доларів, експлойтів і перетягувань», — сказав Артем Бондаренко, технічний керівник De. Fi.
Токени управління — це тип криптовалюти, який надає власникам право брати участь у процесах прийняття рішень, пов’язаних із проектом блокчейну, протоколом або децентралізованою автономною організацією (DAO).
База даних De. Fi Rekt показує, що три найпопулярніші хакерські атаки призвели до збитків у розмірі 414 мільйонів доларів США, включаючи атаку на флеш-позику Beanstalk Farm через пропозицію щодо управління, використання смарт-контракту Multichain та використання Tornado Cash через зловмисну пропозицію.
«Однак важливо зазначити, що хоча параметри управління можуть свідчити про те, що токен знаходиться під загрозою, це не обов’язково призводить до порушення безпеки. Багато компаній, які мають токени управління, мають відділи безпеки та передові методи безпеки, які не обов’язково відстежуються публічно або в мережі.”, – додав Бондаренко.
Згідно з аналізом, приблизно в 14% контрактів повністю відсутні механізми управління або вони не розкриваються.
Терміни в новині
- Токен
- Цифровий актив, випущений поверх наявного блокчейну за допомогою смарт-контракту, а не у власній мережі. Наприклад, USDT у мережі Ethereum чи Tron.
- Експлойт (exploit)
- Атака, що використовує помилку в коді смарт-контракту чи протоколу, щоб вивести кошти. На відміну від зламу ключів, зловмисник діє «за правилами» вразливого коду.
- Транзакція
- Операція в блокчейні: переказ монет або виклик смарт-контракту, підписаний ключем відправника. Стає незворотною після підтвердження в блоці.
- Фішинг
- Шахрайство через підроблені сайти, листи й повідомлення, мета якого — виманити seed-фразу, пароль або підпис транзакції.
