Firma zajmująca się bezpieczeństwem blockchaina SlowMist sygnalizuje zgłoszoną stratę około 86 000 USD w tokenach UNCX, rzekomo związaną z błędem w logice anulowania kontraktu VestingManager protokołu. Raport przypisuje incydent podatności w sposobie, w jaki mogą być anulowane harmonogramy vestingu. Dostępne informacje nie obejmują jednak niezależnie zweryfikowanych szczegółów transakcji, potwierdzonego adresu atakującego ani oficjalnej odpowiedzi zespołu projektu UNCX.

SlowMist raportuje stratę 86 000 USD w tokenach UNCX

Zgodnie z alertem SlowMist zgłoszona strata dotyczyła tokenów UNCX i była powiązana z problemem związanym z anulowaniem w komponencie VestingManager protokołu. SlowMist monitoruje aktywność on-chain oraz zachowania inteligentnych kontraktów w wielu sieciach i opublikował raport w ramach bieżącego monitoringu bezpieczeństwa.

Kwota 86 000 USD pojawia się w alercie SlowMist jako szacowana strata. Dostępne badania nie zawierają hasha transakcji z eksploratora bloków, adresu portfela ani danych on-chain niezależnie potwierdzających tę kwotę. Dlatego należy ją traktować jako zgłoszoną, a nie zweryfikowaną.

SlowMist wcześniej sygnalizował podobne problemy na poziomie kontraktów. Obejmują one zgłoszoną stratę 5,08 ETH związaną z błędem obliczeniowym w funkcji actualizeFee protokołu Set Protocol. Firma zidentyfikowała również wcześniej problem w module Aave v3 Loop Safe Module, który podobno skutkował stratą 114,09 ETH. W takich przypadkach alerty SlowMist pełnią rolę wczesnego ostrzeżenia do czasu dalszego potwierdzenia przez zainteresowane projekty.

Podejrzewana wada anulowania w VestingManager

Kontrakty zarządzania vestingiem regulują uwalnianie tokenów do odbiorców według określonego harmonogramu. Takie kontrakty są standardowym elementem infrastruktury zdecentralizowanych finansów, powszechnie używanym do automatyzacji dystrybucji tokenów dla zespołów, inwestorów i społeczności, a funkcje anulowania zazwyczaj istnieją po to, aby harmonogramy mogły być przerywane w określonych warunkach przed pełnym uwolnieniem. Funkcje anulowania w tych kontraktach mogą stwarzać ryzyko bezpieczeństwa, jeśli nie są odpowiednio ograniczane ani walidowane.

Raport SlowMist łączy rzekomą stratę tokenów UNCX z błędem w logice anulowania kontraktu VestingManager powiązanego z tokenem UNCX. Dostępne informacje nie wskazują konkretnej funkcji, ścieżki kodu ani sekwencji wykorzystania podatności.

Badania nie określają również, czy rzekoma wada dotyczyła niewłaściwych kontroli dostępu, warunku reentrancji czy błędnego rozliczania tokenów podczas anulowania. Te szczegóły techniczne zazwyczaj znajdowałyby się w formalnym raporcie pokontrolnym lub audycie, jednak żaden z nich nie został przywołany w obecnym alercie.

Konsekwencje dla posiadaczy UNCX i użytkowników protokołu

Token UNCX jest powiązany z platformą finansów zdecentralizowanych UniCrypt, która zapewnia usługi vestingu tokenów i blokady płynności. Dostawcy usług vestingu i blokady zazwyczaj prowadzą współdzieloną infrastrukturę obsługującą jednocześnie wiele projektów tokenów, więc niepotwierdzona wada w pojedynczym komponencie vestingu może dotyczyć każdego projektu lub odbiorcy korzystającego z tych samych kontraktów. Podatność w kontrakcie związanym z vestingiem byłaby bezpośrednio istotna dla projektów i osób polegających na VestingManager od UniCrypt przy dystrybucji tokenów.

Użytkownicy i zespoły projektów powinni monitorować oficjalne kanały UniCrypt i SlowMist w celu potwierdzenia zgłoszonej podatności oraz uzyskania informacji o ewentualnych krokach naprawczych. Warto obserwować takie wydarzenia, jak zapis on-chain potwierdzający szacunek 86 000 USD, formalny raport pokontrolny lub audyt identyfikujący objętą podatnością ścieżkę kodu oraz oficjalne oświadczenie zespołu UNCX opisujące ewentualną łatkę lub zmianę w kontrakcie. Dostępne informacje nie obejmują efektu odzyskiwania środków, wdrożenia łatki ani oficjalnego oświadczenia zespołu projektu UNCX.

Do czasu opublikowania formalnej odpowiedzi zarówno zgłoszona strata 86 000 USD, jak i jej rzekoma przyczyna powinny być traktowane jako niepotwierdzone. Czytelnicy powinni zweryfikować szczegóły za pośrednictwem opublikowanych alertów SlowMist oraz wszelkich kolejnych ujnień zespołuCX, zanim wyciągną wnioski dotyczące obecnego stanu bezpieczeństwa protokołu.

Źródło: https://www.coinwy.com/slowmist-reported-86000-uncx-token-loss-vestingmanager-flaw

Dodatkowe odniesienia do źródeł: dokument źródłowy 1, dokument źródłowy 2.

Zastrzeżenie: Ten artykuł ma charakter wyłącznie informacyjny i nie stanowi porady finansowej ani inwestycyjnej. Rynki kryptowalut i aktywów cyfrowych wiążą się ze znacznym ryzykiem. Zawsze przeprowadzaj własne badania przed podjęciem decyzji.