Большинство крупнейших по объему токенов сталкиваются со значительными рисками управления, поскольку не следуют лучшим практикам по предотвращению эксплойтов и других угроз безопасности.
Согласно анализу, проведенному фирмой Web3 De. Fi, из 429 токенов со структурами управления почти 75% имеют факторы риска, связанные с их контрактами, включая скрытых владельцев и кошельки со специальными разрешениями.
Только 16,6% проанализированных контрактов управляются мультиподписными кошельками, которым для подтверждения любой транзакции требуется до пяти разных закрытых ключей. Приложение рассматривается как инструмент для снижения рисков фишинга и взлома с использованием вредоносных программ, отмечается в отчете.
Кроме того, более 38% контрактов токенов управляются кошельком или внешней учетной записью, а это означает, что «кошелек может вызывать привилегированные функции контрактов в любое время». По словам Де. Анализ Fi, степень риска может отличаться в зависимости от назначенных разрешений:
«Например, если кошелек может устанавливать комиссию за протокол только в разумных постоянных пределах, риска здесь нет. Но если он сможет заменить критические адреса, с которыми взаимодействует контракт, такие как ценовые оракулы и стратегии хранилищ, пользовательские активы подвергнутся прямой опасности».
Еще один тревожный сигнал, выявленный в 6,8% контрактов, — это скрытое право собственности, которое позволяет создателю контракта отозвать право собственности и наложить вето на голоса. Кроме того, только 10% токенов отказались от контрактов — это означает, что их создатели отказались от права изменять свой код или функции управления, тем самым усиливая децентрализацию.
«Тревожное количество проектов оставляет безопасность всей своей казны в руках одного владельца кошелька. В большинстве случаев эти владельцы скрыты, а это означает, что участник DAO не может проверить, кто управляет средствами. Это привело к миллиардам долларов, потраченным на уязвимости контроля доступа, эксплойты и кражу ковров», — сказал Артем Бондаренко, технический руководитель De. Fi.
Токены управления — это тип криптовалюты, который предоставляет владельцам право участвовать в процессах принятия решений, связанных с проектом блокчейна, протоколом или децентрализованной автономной организацией (DAO).
База данных De. Fi Rekt показывает, что три крупнейших взлома управления привели к убыткам в размере 414 миллионов долларов, включая атаку Beanstalk Farm с помощью флэш-кредита через предложение управления, эксплуатацию смарт-контракта Multichain и эксплойт Tornado Cash через вредоносное предложение.
«Однако важно отметить, что, хотя параметры управления могут указывать на то, что токен находится под угрозой, это не обязательно приводит к нарушению безопасности. Многие компании с токенами управления имеют отделы безопасности и передовые методы обеспечения безопасности, которые не обязательно отслеживаются публично или в сети. », — добавил Бондаренко.
Согласно анализу, примерно в 14% контрактов механизмы управления полностью отсутствуют или они не раскрываются.
Термины в новости
- Эксплойт (exploit)
- Атака, использующая ошибку в коде смарт-контракта или протокола, чтобы вывести средства. В отличие от взлома ключей, злоумышленник действует «по правилам» уязвимого кода.
- Приватный ключ
- Секретное число, которое даёт полный контроль над монетами на адресе. Кто знает ключ — тот распоряжается средствами.
- Фишинг
- Мошенничество через поддельные сайты, письма и сообщения, цель которого — выманить seed-фразу, пароль или подпись транзакции.
- DAO
- Децентрализованная автономная организация: решения принимают держатели токенов голосованием, а исполняет их смарт-контракт.
