Switchboard — мультичейн-протокол оракулов, поставляющий ценовые данные децентрализованным приложениям на нескольких блокчейнах, — остановил свои развертывания на базе Move после обнаружения того, что он описал как потенциальную угрозу безопасности. Среди затронутых сетей — Aptos, Sui, IOTA и Movement.

Остановка, объявленная в переходный период с 28 на 29 августа, является одним из наиболее серьезных инцидентов на уровне оракулов за последнее время — и как минимум в одной сети ущерб оказался отнюдь не теоретическим.

Что произошло на IOTA

Злоумышленник воспользовался скомпрометированным ключом оракула, чтобы манипулировать ценовым потоком IOTA, временно установив цену токена на уровне $10 миллионов.

Поскольку поток показывал крайне завышенную цену IOTA, злоумышленник смог выпустить около 4,94 млн VUSD через протокол Virtue CDP. Протоколы CDP (позиций с обеспеченным долгом) позволяют пользователям блокировать активы и брать под них займы в стейблкоинах — а когда оракул сообщает, что залог стоит $10 миллионов за токен, протокол разрешает соответствующий объем заимствований.

Последствия напрямую затронули 45 пользователей через ликвидации. В ответ на происходящее адреса бирж были заморожены, а сам протокол Virtue CDP был остановлен.

Масштабы остановки

Решение Switchboard остановить все реализации на базе Move указывает на то, что уязвимость может носить архитектурный, а не сетевой характер. Move — язык программирования, изначально разработанный в Meta (тогда Facebook) для проекта Diem; сегодня он лежит в основе Aptos, Sui и их производных экосистем, включая Movement и новую инфраструктуру IOTA.

Протокол сообщил, что активно сотрудничает с профильными органами безопасности в расследовании инцидента.

Примечательно, что развертывание Switchboard на Solana не пострадало. Его инфраструктура на базе Solana работает на другом коде, который, по всей видимости, не был уязвим для того же вектора атаки. Тем не менее Switchboard порекомендовал даже пользователям Solana временно воспользоваться альтернативными оракулами на время расследования.

Почему компрометация оракулов особенно опасна

Оракулы занимают одно из ключевых мест в стеке DeFi, выступая мостом между данными реального мира — ценами токенов, процентными ставками, стоимостью активов — и ончейн-смарт-контрактами, исполняющими финансовые операции на основе этих данных. Кредитные рынки, выпуск стейблкоинов, деривативы и механизмы ликвидации зависят от точности этих потоков; одно искаженное значение может каскадно распространиться на все протоколы, которые его используют, — что и произошло на IOTA.

Экосистема DeFi уже сталкивалась с атаками на оракулы. В 2022 году Mango Markets на Solana понес ущерб в $114 миллионов после того, как злоумышленник манипулировал ценой оракула платформы.

Особую тревогу в инциденте со Switchboard вызывает то, что компрометация, судя по всему, произошла на уровне ключа, а не путем рыночной манипуляции. Злоумышленнику не нужно было проводить сложные торговые стратегии, чтобы сдвинуть цену; он просто получил доступ к ключу, контролирующему поток, и напрямую переписал данные. Компрометации такого рода труднее предотвратить рыночными механизмами защиты, такими как автоматические стопы при отклонении цены, поскольку поступающие данные исходят из источника, который для потребляющего протокола выглядит легитимным.

Последствия для затронутых экосистем

Для Aptos, Sui и Movement остановка носит дестабилизирующий характер, даже если на этих сетях эксплойтов не подтверждено. Любой протокол DeFi, полагающийся на ценовые потоки Switchboard, фактически работает вслепую до возобновления сервиса — не может обрабатывать ликвидации, обновлять коэффициенты залога или исполнять любые функции, зависящие от цены.

Протоколы, интегрировавшие резервные источники оракулов от провайдеров вроде Pyth, Chainlink или Redstone наряду со Switchboard, могут продолжать работу. Те, кто этого не сделал, получают дорогостоящий урок о единой точке отказа.

Первоначальные заявления Switchboard позволяют предполагать, что помимо инцидента на IOTA средства пользователей остались нетронутыми, однако эта оценка может измениться по мере углубления расследования. Ключевые открытые вопросы: как был получен ключ оракула, будет ли исправление аудировано до восстановления потоков на базе Move, и как будет компенсирован ущерб пострадавшим пользователям IOTA — включая 45 человек, пострадавших от ликвидаций, вызванных манипулированными ценами.