Ціна BNB

Автор: Rekt News    Укладач: Deep Tide TechFlow Натисніть тут, щоб отримати збиток у розмірі 13 мільйонів доларів. Кит з Venus Protocol щойно дізнався з жахливого досвіду, що дзвінки в Zoom можуть коштувати дорожче, ніж ваша іпотека. Шкідливий відеоклієнт, ідеально вивірений підпис, 13 мільйонів доларів зникли швидше, ніж оголошення про перетягування килима. Але поворот історії полягає в тому, що Венера не просто спостерігала, як користувачів видовбують, а потім залишають байдужими. Вони відключили свій протокол, терміново призначили голосування і завершили найбільш суперечливу «рятувальну операцію» в просторі DeFi менш ніж за 12 годин. Те, що починалося як, здавалося б, звичайна фішингова атака, з часом перетворилося на чудовий майстер-клас про те, чи можуть децентралізовані протоколи «ловити та ловити». Коли порятунок кита означає викриття прихованого перемикача в протоколі, хто насправді врятований? Джерело: Peckshield, Venus Protocol, Blocksec, Kuan Sun 2 вересня, 9:05 UTC. Кит з Venus Protocol запустив свій клієнт Zoom, готовий розпочати новий день у DeFi. Але, здавалося б, невинне програмне забезпечення для відео непомітно зламується, надаючи зловмисникам доступ до всього їхнього пристрою через бекдор. Навіщо потрібні коди злому? Чи не простіше було б підірвати довіру безпосередньо? Жертва підписує транзакцію делегованої авторизації – рутинну операцію, яка відбувається тисячі разів на день у DeFi. Протокол для управління вашими позиціями без доступу до приватного ключа. Загалом, підписання цих договорів відбувається швидше, ніж читання умов надання послуг. Натисніть. Підпис. Миттєво "ліквідований". Від підпису до фінансового краху всього шість секунд. Таким чином, зламаний відеоклієнт передав управління гаманцем на 13 мільйонів доларів зловмиснику, який терпляче чекав на можливість. На цьому більшість фішингових історій закінчуються – страждають кити, зловмисники зникають, а глузування жертв у Twitter тривають ще тиждень. Але цього разу план злодія набагато масштабніший, ніж просте «пограбування». Що відбувається, коли крадіжка мільйонів доларів не приносить достатнього задоволення? Операція з викрадення 09:05:36 UTC. Всього через шість секунд після того, як кит підписав свій «протокол криптосамогубства», зловмисники запустили «шедевр» флеш-кредиту. Торгівля вразливостями: 0x4216f924ceec9f45ff7ffdfdad0cea71239603ce3c22056a9f09054581836286 Посмертний розтин Venus Protocol детально розбирає тактику нападника: Крок 1: Lightning бере в борг 285,72 BTCB – зрештою, навіщо використовувати власні гроші? DeFi дозволяє позичати мільйони коштів без застави. Крок 2: Використовуйте позикові кошти для погашення існуючого боргу жертви, при цьому додайте 21 BTCB на власний рахунок зловмисника. Те, що здається щедрим, насправді є безжальним «бухгалтерським вбивством». Крок 3: Активуйте делеговані дозволи. Було передано всі цифрові активи жертв, включаючи vUSDT на суму $19,8 млн, vUSDC на $7,15 млн, 285 BTCB та довгий список інших токенів. Все це цілком законно, адже «наївний» підпис шість секунд тому був санкціонований на виконання. Крок 4: Блискучий удар. Використовуючи ці нещодавно вкрадені активи як заставу, було взято 7,14 мільйона доларів США в USDC на основі BNB, що залишився у жертви. Зловмисник не лише спустошив гаманець, а й змусив жертву заплатити за свою "крадіжку". Крок 5: Позичте достатню кількість BTCB для погашення швидкої позики. Транзакція завершена, і зловмисник непомітно зникає. Автоматизована транзакція, видовбаний кит, дуже задоволений криптозлодій, який щойно перетворив чужі заощадження на власний іпотечний іграшковий двір. Однак жадібність часто перетворює мисливців на здобич. Що відбувається, коли «ідеальна крадіжка» перетворюється на «операцію самогубства»? Контрзаходи 09:09 UTC. Через чотири хвилини після крадіжки цифрового банку системи спостереження Hexagate і Hypernative почали подавати сигнали тривоги. Це не звичайний запит "виявлено підозрілу транзакцію". Це була тривога п'ятого рівня вартістю 13 мільйонів доларів, і охоронні компанії відразу знали, до кого звертатися. Як реагує протокол Венери? Ядерний варіант запускається безпосередньо. Від крадіжки до призупинення протоколу пройшло всього двадцять хвилин. Venus активувала власну функцію автоматичного аварійного відключення, заморозивши всі основні функції в екосистемі. Запозичення? Припини. Зняття? Витягніть вилку з розетки. Ліквідації? Тайм-аут. Користувач зазнав фішингу, і весь протокол був відключений. Це не просто кризовий контроль – це фінансова битва. Венера рішуче обмежила свою платформу, намагаючись заманити в пастку вкрадені речі у зловмисників. Кожен токен vToken, яким володів хакер, миттєво перетворювався на нікчемну макулатуру, заблоковану під надзвичайним управлінням Венери. Але заморозити цілий протокол DeFi, щоб врятувати кита? Таке рішення не є чимось, що команда розробників може прийняти самотужки. Таким чином, вступає демократія: екстрене голосування за врядування. Коли спільнота має лише дванадцять годин, щоб вирішити, чи варто рятувати багатство користувача централізованими засобами, чи справді можна назвати це децентралізацією? Блискавична демократія Venus не тільки поставила протокол на паузу, а й назвала екстрену «віртуальну зустріч», якій позаздрила б будь-яка команда з кризового управління Web2. Вони називають це "блискавичним голосуванням". Зрештою, немає нічого кращого, ніж «низове управління», як вкласти мільйони доларів у години гарячих дебатів у Discord. Пропозиція проста і зрозуміла: Фаза 1: Функція часткового відновлення (дозволяє користувачам уникнути ліквідації). Етап 2: Примусова ліквідація позиції нападника. Етап 3: Проведіть комплексну перевірку безпеки, щоб запобігти повторенню подібних інцидентів. Фаза 4: Повне відновлення роботи Венери. Як відреагує громада? 100% одностайні. Не на 99%. Теж не на 98%. Кожен голос підтримує план дій Венери, ніби це якась DeFi-версія результатів виборів у Північній Кореї. Можливо, це реальний консенсус, а можливо, це з самозахисту. Або коли ваша угода втрачає мільйони доларів, а конкуренти кружляють навколо вас, як грифи, незгода стає розкішшю, яку ніхто не може собі дозволити. У другій половині дня Венера була наділена силою. Далі йде виконання найбільш суперечливої ліквідаційної операції в історії DeFi - операції, яка вимагає обходу правил смарт-контрактів і примусового вилучення застави зловмисника. Жертва переживає кризу через неправильний підпис угоди, а Венера збирається підписати "свідоцтво про смерть демократії". Що відбувається, коли Кодекс як Закон зустрічається з надзвичайним станом? Відновлювальні дії 21:36 UTC. Через дванадцять годин після крадіжки Венера провела їх контратаку. Пам'ятаєте помилки, які допускають зловмисники через жадібність? Використання вкрадених коштів в якості застави ось-ось стане найдорожчою помилкою в історії. Одна транзакція, кілька інструкцій, що викликає найбільше суперечок. Ліквідація: Початок. Арешт активів: Завершено. Ліквідація: закрита. Venus щойно працювала на працюючому блокчейні. Активуйте функцію автоматичного аварійного відключення, заберіть усі розблоковані активи та знищіть усі докази. "Шедевром" нападника зрештою став його власний смертний вирок. Ці вкрадені застави в безпеці лежать у басейні Венери? Раптом нещодавно запущена влада протоколу щодо «екстреної ліквідації» стала чесною грою. Жадібність – це доза отрути. Крадіжка мільйонів, використання їх як застави, а потім ліквідація за рахунок власних вкрадених коштів. 21:58 UTC. Світлова реставрація. Кошти повертаються. Криза знята. Але про збитки на суму $13 млн вже ніхто не говорить. Люди говорять про те, як Венера в ці 12 годин доводить, що «децентралізація» – це не що інше, як маркетинговий слоган. Виявляється, ваш нестримний протокол DeFi має аварійне гальмо, яке дуже легко блокується – і вони не соромляться використовувати його, коли вартість досить висока. Кого скидають, коли революція потребує короля, який би її підтримував? Потерпілий заговорив «Хоча це може вважатися дурнем, краще промовчати, ніж висловитися і розвіяти всі сумніви». Це профіль у Twitter Куана Сана, засновника Eureka Crypto та жертви крадіжки на $13 млн. Говорячи про "дурість", він опублікував розгорнуту оглядову статтю, в якій пояснив, як саме його обдурили. У Venus Protocol також підтвердили, що саме він став жертвою фішингової атаки. Цей метод соціальної інженерії дуже злий. Зловмисники розпочали свою верстку у квітні цього року, зламавши контакт "Stack Asia BD", з яким Сунь Куан познайомився на конференції в Гонконзі. Кілька місяців терпіння проклали шлях до поступової побудови довіри через знайомі, але не надто інтимні стосунки. Шкідливий клієнт Zoom вже давно надав зловмиснику доступ до свого пристрою. Під час фейкового мітингу: «У вас не працює мікрофон, будь ласка, оновіть». "Це ще одна багаторівнева афера, яка прикриває зловмисників, які діють у фоновому режимі. Згодом браузер Chrome несподівано дає збій. "Відновити вкладку?" Натисніть. Якимось чином його надійне розширення гаманця Rabby було замінено на фальшиву версію, яка видаляла всі попередження безпеки. Венера віддаляється, як і тисячі разів до цього. Але цього разу немає жодних попереджень про ризики, немає попереднього перегляду торгових демо-версій і немає перевірок безпеки. Скомпрометований фронтенд маскує операцію авторизації під звичайну транзакцію. Апаратні гаманці не мають значення. Функції безпеки Rabby також не важливі. Коли фронтенд отруєний, навіть найжорсткіші налаштування безпеки можуть створити лише хибне відчуття безпеки. Що ще гірше, за спогадами жертв, атаку нібито здійснила Lazarus Group, елітна північнокорейська хакерська група, яка роками займається терористичною діяльністю у криптовалютному просторі. Цього разу його не спіймав новачок, а влучно переміг національні експерти з цифрової війни, які, можливо, відшліфували цей процес атаки до досконалості. Тепер він дякує Venus Protocol, PeckShield, SlowMist, Chaos Labs, Hexagate, HyperactiveLabs, Binance та іншим, які допомогли йому повернути кошти. Це був щасливий кінець, завдяки угоді, яка була готова порушити власні правила, коли йшлося про особисті інтереси. Чи є в DeFi хтось, хто дійсно в безпеці, коли найвитонченіші хакери світу можуть обдурити апаратні гаманці та користувачів, які піклуються про безпеку? Венера і врятувала кита, і зруйнувала мрію про децентралізацію в одній угоді. Дванадцять годин координаційного хаосу довели, що за кожним так званим «децентралізованим» протоколом ховається централізована «тривожна кнопка», прихована механізмами управління. Звичайно, спільнота проголосувала – але коли 100% консенсус відбувається швидше, ніж дебати в Discord про плату за газ, ви стали свідками найбільшої магії демократії: перетворення автократії на колективне прийняття рішень. Зловмисники повернулися з порожніми руками, кити повернули собі багатство, а Венера показала, що вони можуть перевернути свій код у будь-який момент в умовах величезного цифрового тиску. Місія виконана, а репутація зіпсована. Справжня трагедія полягає не в тому, що хтось попався на фішингове шахрайство Zoom, а в тому, що протоколи, на які ми все ще претендуємо на екстрені дозволи, кардинально відрізняються від традиційної фінансової системи, яку вони стверджують замінити. Якщо децентралізація помре, як тільки вона стане незручною, то чи дійсно вона існує?