Dlaczego incydent związaný z oraclem za 91 tys. dolarów zakończył cały protokół DeFi
Najważniejsze informacje
- •Full Sail kończy działalność na Sui po tym, jak w incydencie bezpieczeństwa ujawnionym 29 sierpnia usunięto około 91 000 dolarów z trzech zautomatyzowanych skarbców.
- •Protokół zobowiązał posiadaną przez siebie płynność oraz środki zespołu do w pierwszej kolejności spłaty deponentów ze społeczności, pokrywając ewentualny niedobór.
- •Full Sail powiązał incydent ze Switchboard, który wstrzymał usługi na Aptos, Sui, IOTA i Movement, badając potencjalne naruszenie swoich implementacji oracla opartych na Move.
- •Wpłaty i wypłaty pozostają wstrzymane, a dostęp do pul wyłącznie do wypłat planowany jest jako kolejny etap po ostatecznych kontrolach bezpieczeństwa.
- •Ani Full Sail, ani Switchboard nie opublikowali kompletnego raportu technicznego, a Full Sail nie ujawnił łącznej kwoty roszczeń, dostępnej płynności na spłatę ani mechanizmów zgłaszania roszczeń.
Strata 91 000 dolarów doprowadziła do znacznie większej decyzji
Full Sail ujawnił incydent bezpieczeństwa 29 sierpnia i wstrzymał aktywność protokołu na czas śledztwa. Następnie, 1 września, protokół ogłosił zakończenie działalności na Sui, przenosząc naczes z zarządzania skarbcami na wypłacanie odszkodowań poszkodowanym użytkownikom. Takie działania pozostają w DeFi rzadkością — zespoły częściej łatają lukę i wznawiają działanie — co sprawia, że proporcja między wysokością straty a samą decyzją jest istotnym elementem tej historii.
W oficjalnych komunikatach dotyczących zakończenia działalności Full Sail podał, że z trzech zautomatyzowanych skarbców usunięto około 91 000 dolarów. Protokół dodał, że pozostała płynność posiadanego przez protokół trafi do użytkowników, a zespół pokryje ewentualny niedobór, aby deponenci ze społeczności zostali zrekompensowani w pierwszej kolejności.
Bezpośrednia strata skarbców: Ze skarbców usunięto około 91 000 dolarów.
Zobowiązanie do spłaty: Płynność protokołu i środki zespołu zostały zobowiązane na rzecz deponentów ze społeczności.
Nadal nieznane: Protokół nie ujawnił łącznej kwoty roszczeń, dostępnej płynności na spłatę ani mechanizmów zgłaszania roszczeń.
Full Sail nie opublikował bilansu wykazującego, że sama strata 91 000 dolarów uniemożliwiała restart. Decyzja o zamknięciu sugeruje natomiast, że bezpośrednia strata była tylko częścią problemu. Zespół musi również zweryfikować zależność od danych cenowych, przejrzeć dotknięte skarbce i zdecydować, czy bezpieczna i wiarygodna odbudowa protokołu ma nadal sens.
Jak zawodne dane cenowe czynią skarbiec niebezpiecznym
Oracle dostarcza inteligentnemu kontraktowi informacje, których nie może on uzyskać samodzielnie, w tym ceny aktywów. Skarbiec może poprawnie obliczyć każdą transakcję w oparciu o otrzymaną cenę i mimo to doprowadzić do błędnego rezultatu ekonomicznego, jeśli cena ta jest zawodna. Awarie oraclów i manipulacje źródłami cen to od dawna znana klasa ataków w DeFi, a wiele protokołów ogranicza to ryzyko, weryfikując dane naprzemiennie w wielu niezależnych źródłach — kwestia projektowa bezpośrednio istotna, gdy naruszenie u jednego dostawcy może przenieść się na każdy obsługiwany przez niego blockchain.
Poprawny onchain, niebezpieczny w rzeczywistości
Kontrakt samodzielnie nie zna rynkowej ceny aktywów. Działa w oparciu o źródło danych, które zaprogramowano, by akceptował. Jeśli dane wejściowe staną się zawodne, zautomatyzowana strategia może uznać transakcję za ważną onchain, podczas gdy użytkownicy ponoszą stratę ekonomiczną.
Podejrzewany problem z oraclem w Full Sail jest technicznie inny niż niedawny atak na governance skarbców Term. Oba pokazują jednak, że kontrakty DeFi mogą traktować naruszone dane wejściowe jako wiarygodne i wciąż szkodzić użytkownikom.
Full Sail powiązał incydent z Switchboard. W oficjalnych komunikatach o incydencie Switchboard poinformował, że bada potencjalne naruszenie swoich implementacji opartych na Move i wstrzymał objęte nim usługi na Aptos, Sui, IOTA i Movement. Zakres tego wstrzymania obrazuje ekspozycję strukturalną: wstrzymanie usług przez jednego dostawcę oracla na czterech blockchainach opartych na Move oznaczało, że każdy protokół na tych sieciach musiał jednocześnie ponownie ocenić swoją zależność od danych cenowych. Żaden z zespołów nie opublikował kompletnego raportu technicznego, więc dokładna ścieżka ataku i ostateczna odpowiedzialność pozostają niepotwierdzone.
Aplikacja jest wstrzymana; tryb wyłącznie do wypłat to kolejny etap
Aktywne zawiadomienie bezpieczeństwa Full Sail wskazuje, że wpłaty i wypłaty pozostają wstrzymane do czasu przywrócenia i weryfikacji integralności oracla. Komunikaty o zakończeniu działalności podają, że nowe wpłaty oraz roszczenia o nagrody dla dostawców płynności zostały wyłączone, a zwykłe pule mają przejść w tryb wyłącznie do wypłat po ostatecznych kontrolach bezpieczeństwa.
Baner w aplikacji odzwierciedla aktualny status bezpieczeństwa. Tryb wyłącznie do wypłat to kolejny planowany etap, a nie działająca funkcja. Osobne instrukcje dotyczące wypłat i roszczeń wciąż oczekują na publikację. Od tego, jak szybko Switchboard zakończy śledztwo i przywróci zweryfikowane usługi na Sui, zależy harmonogram dla każdego protokołu, który z nich korzystał.
Co Full Sail wciąż musi opublikować
Full Sail obiecał stawiać deponentów ze społeczności na pierwszym miejscu. Użytkownicy potrzebują pięciu konkretnych odpowiedzi, zanim będą mogli ocenić tę obietnicę:
- Kwoty płynności posiadanego przez protokół dostępnej na spłaty.
- Łącznej wartości roszczeń poszkodowanych użytkowników.
- Daty użytej do obliczenia kwalifikujących się sald.
- Momentu rozpoczęcia dostępu do pul wyłącznie do wypłat.
- Procesu zgłaszania roszczeń i sposobu potraktowania ewentualnego niedoboru.
Dopóki takie rozliczenie nie zostanie opublikowane, kwota 91 000 dolarów opisuje sam incydent — a nie to, co odzyskają poszkodowani użytkownicy.
Źródła: Full Sail (komunikaty o zakończeniu działalności, aplikacja na żywo), Switchboard (komunikaty o incydencie).
