สามบล็อกเชนหยุดทำงานในสี่วัน ใครมีสิทธิ์กดปุ่มหยุด?

ผู้เขียน: Liam 'Akiba' Wright, cryptoslate

เรียบเรียง: Saoirse, Foresight News

ภายในสี่วัน เครือข่ายบล็อกเชนสามแห่งหยุดผลิตบล็อกติดต่อกัน การหยุดทำงานแต่ละครั้งใช้สิทธิ์ฉุกเฉินที่แตกต่างกันอย่างสิ้นเชิง โดยมีเพียง Cronos เท่านั้นที่แก้ไขประวัติบางส่วนของเชนอย่างเป็นทางการ

Cronos ระบุว่า หลังโปรโตคอล Tectonic ถูกโจมตีช่องโหว่ โหนดผู้ตรวจสอบได้ปิดเครือข่ายผ่านกลไกฉันทามติ ย้อนกลับเชนไปยังสถานะก่อนการโจมตี และเริ่มผลิตบล็อกใหม่จากความสูงบล็อก 90,896,189 การดำเนินการนี้ไม่เพียงหยุดการผลิตบล็อก แต่ยังแก้ไขสถานะของเชนโดยตรง ธุรกรรมและการเปลี่ยนแปลงสถานะที่เกิดขึ้นหลังจากจุดกู้คืนทั้งหมดไม่ถือเป็นส่วนหนึ่งของเมนเชนอย่างเป็นทางการหลังรีสตาร์ทอีกต่อไป

Ontology และ ICON ใช้มาตรการฉุกเฉินอีกแบบหนึ่ง Ontology หยุดการผลิตบล็อกก่อนที่จะยืนยันพฤติกรรมการโจมตีที่เป็นอันตราย ประกาศอัปเดตเมื่อวันที่ 1 กันยายนระบุว่า กิจกรรมที่เป็นอันตรายดังกล่าวไม่ได้ทำให้ทรัพย์สินของผู้ใช้สูญหาย ICON หยุดสัญญาที่ถูกโจมตีก่อน จากนั้นจึงปิดเครือข่ายทั้งหมด และมูลนิธิระบุว่า เครือข่ายอยู่ภายใต้การควบคุมของมูลนิธิในช่วงการย้ายข้อมูล ซึ่งในเวลาที่เครือข่ายถูกปิด ICX ที่ถูกขโมยส่วนใหญ่ได้ถูกโอนไปยังบัญชีที่ดูแลโดยกระดานเทรดแล้ว

การหยุดทำงานของบล็อกเชนเป็นเพียงมาตรการควบคุมระดับแรกเท่านั้น คำถามที่ลึกกว่านั้นคือ ใครมีสิทธิ์สั่งปิดเครือข่าย? พวกเขาสามารถแก้ไขสถานะของเชนที่ยืนยันแล้วได้หรือไม่? เมื่อเงินทุนไหลข้ามเชนหรือเข้าสู่สถาบันดูแลแบบรวมศูนย์ ความสูญเสียใดบ้างที่ไม่สามารถกู้คืนได้?

การเปรียบเทียบวิธีการจัดการฉุกเฉินของบล็อกเชนสาธารณะสามแห่ง: Cronos, Ontology, ICON

Cronos: จากการหยุดทำงานสู่การแก้ไขสถานะของเชน

Cronos เรียกการจัดการเหตุการณ์นี้ว่า "ปฏิบัติการฉุกเฉินตามฉันทามติของผู้ตรวจสอบ" ประกาศรีสตาร์ทเมื่อวันที่ 31 สิงหาคมแสดงให้เห็นว่า เมื่อเวลา 23:49:01 UTC วันที่ 30 สิงหาคม เครือข่ายกลับมาผลิตบล็อกจากความสูงบล็อก 90,896,189 และสถานะของเชนถูกย้อนกลับไปก่อนการโจมตีช่องโหว่ Tectonic

การหยุดทำงานของ Cronos หมายถึงการตัดสินใจเกี่ยวกับการจัดสรรผลประโยชน์ ณ จุดกู้คืน หลังจากจุดตรวจ สถานะบนเชนที่เกี่ยวข้องกับช่องโหว่ รวมถึงธุรกรรมที่ไม่เกี่ยวข้องทั้งหมดในช่วงเวลานั้น ถูกลบออกจากเชนอย่างเป็นทางการ ประกาศรีสตาร์ทไม่ได้แนบรายการธุรกรรม สถิติโหนดผู้ตรวจสอบ เกณฑ์น้ำหนักการโหวต และรายชื่อโหนดที่เข้าร่วม Cronos สัญญาว่าจะเผยแพร่รายงานการทบทวนหลังเหตุการณ์ ซึ่งจำเป็นต้องอธิบายกระบวนการจัดการและขอบเขตผลกระทบทางเทคนิคอย่างครบถ้วน

แม้แต่ขนาดของทรัพย์สินที่ได้รับการปกป้องจริงจากการแทรกแซงนี้ก็ยังไม่มีข้อสรุป TRM Labs ประมาณการว่า หลังราคาโทเค็น TONIC ถูกปั่นราคา มีทรัพย์สินประมาณ 75 ล้านดอลลาร์ถูกกู้ยืมออกไป โดยประมาณ 6 ล้านดอลลาร์ไหลไปยัง Ethereum และประมาณ 68.7 ล้านดอลลาร์ถูกย้อนกลับภายในเชน Cronos สถิติของ Bitquery ให้ตัวเลขการไหลออกของเงินทุนทั้งหมดที่สูงกว่า โดยประมาณ 8.3 ล้านดอลลาร์ไหลไปยัง Ethereum และบล็อกทั้งหมด 10,961 บล็อกถูกยกเลิก

สองขอบเขตการนับวัดวัตถุที่แตกต่างกัน ข้อมูลความสูญเสียสุดท้ายอย่างเป็นทางการของ Tectonic ยังคงรอการประกาศ แต่มีจุดหนึ่งที่ชัดเจนมากแล้ว: การย้อนกลับของ Cronos สามารถกู้คืนเฉพาะสถานะที่ยังคงอยู่ในเชนของตนเท่านั้น ทรัพย์สินบนเชน Ethereum อยู่นอกเหนือการควบคุมโดยสิ้นเชิง

แผนการจัดการทรัพย์สินของ Tectonic ยังคงทิ้งปัญหาบัญชีผู้ใช้ โปรโตคอลระบุว่าจะให้ความสำคัญกับการเปิดฟังก์ชันการถอนเงินและการชำระคืนเงินกู้ก่อน พร้อมกับระงับการฝากเงินและการกู้ยืมใหม่ แผนนี้ให้เส้นทางออกและลดเลเวอเรจแก่ผู้ใช้ แต่ยังไม่มีการยืนยันว่าผู้ให้เงินทุนจะสามารถไถ่ถอนได้เต็มจำนวนหรือไม่ รายงานหลังเหตุการณ์ที่ Tectonic ต้องเผยแพร่ยังต้องชี้แจงหลักการของช่องโหว่ การไหลออกของเงินทุนทั้งหมด ขนาดหนี้เสีย ทรัพย์สินที่กู้คืนแล้ว และหนี้คงค้างที่เหลืออยู่

ความคืบหน้าในการกู้คืนของโครงสร้างพื้นฐานต่าง ๆ ไม่สอดคล้องกับการรีสตาร์ทฉันทามติของเชน Cronos เตือนว่า โปรโตคอล สะพานข้ามเชน บล็อกเอ็กซ์พลอเรอร์ และบริการ RPC ต้องใช้เวลานานกว่าในการกู้คืน หน้าสถานะของ Alchemy ก็บันทึกการหยุดทำงานและการกู้คืนครั้งนี้แยกต่างหาก เครือข่ายเชนสามารถประกาศรีสตาร์ทอย่างเป็นทางการได้ แต่บริการต่าง ๆ ที่พึ่งพามันอาจยังไม่พร้อม

Ontology: การหยุดทำงานเพียงเพื่อซื้อเวลาในการจัดการ ไม่ยกเลิกธุรกรรม

การจัดการของ Ontology เกิดขึ้นก่อนการยืนยันกิจกรรมที่เป็นอันตราย เครือข่ายระบุว่า ทีมพัฒนาหลักพบความเสี่ยงด้านความปลอดภัยที่อาจเกิดขึ้นระหว่างการตรวจสอบประจำวัน จึงหยุดการผลิตบล็อกทันที และส่งมอบให้ทีมเทคนิคและโหนดผู้ตรวจสอบดำเนินการตรวจสอบระบบ

ประกาศอัปเดตเมื่อวันที่ 1 กันยายนระบุว่า การตรวจสอบยืนยันว่ามีพฤติกรรมการโจมตีที่เป็นอันตราย เมนเน็ตจะหยุดทำงานต่อไปเพื่อดำเนินการแก้ไขช่องโหว่และอัปเกรดเครือข่าย การโจมตีดังกล่าวไม่ได้ละเมิดทรัพย์สินของผู้ใช้ เป้าหมายของ Ontology คือการกลับมาให้บริการตามปกติภายใน 24 ชั่วโมง โดยมีเงื่อนไขว่าการตรวจสอบความปลอดภัย การแก้ไขช่องโหว่ การอัปเกรด และการทดสอบทั้งหมดเสร็จสมบูรณ์

การหยุดทำงานของ Ontology เก็บรักษาสถานะบนเชนที่ยืนยันแล้วทั้งหมดไว้ เพียงหยุดการยืนยันและชำระธุรกรรมใหม่ ประกาศไม่ได้ระบุจุดกู้คืน และไม่ได้ประกาศชุดธุรกรรมที่ต้องยกเลิก

ข้อมูลสิทธิ์ที่เปิดเผยต่อสาธารณะไม่สมบูรณ์ ประกาศกล่าวถึงทีมพัฒนาหลัก ทีมเทคนิค และโหนดผู้ตรวจสอบเครือข่ายที่เข้าร่วมการจัดการ แต่ไม่ได้ระบุว่าใครคือผู้มีอำนาจตัดสินใจที่มีผลผูกพันขั้นสุดท้าย และไม่ได้ให้เกณฑ์การจัดการฉุกเฉินในรูปแบบตัวเลข เอกสาร VBFT ของ Ontology อธิบายกลไกฉันทามติปกติ รวมถึงโหนดที่สร้างบล็อกยืนยันและสัญญาการจัดการที่อัปเดตชุดโหนดฉันทามติ แต่เอกสารครอบคลุมเฉพาะสถานการณ์การทำงานปกติ กฎการหยุดฉุกเฉินที่ใช้เมื่อวันที่ 31 สิงหาคมไม่ได้เปิดเผยต่อสาธารณะ

แม้จะไม่ทำให้เกิดการขาดทุนของทรัพย์สิน การหยุดทำงานก็ยังนำมาซึ่งต้นทุนจริง Ontology แจ้งผู้ใช้ว่าธุรกรรมบนเชนจะไม่สามารถประมวลผลได้ และแนะนำไม่ให้ดำเนินการที่อ่อนไหวต่อเวลา ภายหลังระบุว่าการรีสตาร์ทเครือข่ายขึ้นอยู่กับการแก้ไขช่องโหว่ การอัปเกรด และการทดสอบ ผู้ใช้ไม่สามารถปรับสถานะการถือครอง โอนเงินและชำระบัญชีบนเชนได้ บริการภายนอกทั้งหมดที่เชื่อมต่อกับเชนนี้ต้องรอสัญญาณจากเครือข่ายเท่านั้น

เกณฑ์การตัดสินการกลับมาดำเนินการมุ่งเน้นด้านความปลอดภัย แต่รายละเอียดเฉพาะมีจำกัด Ontology ระบุว่า หากการแก้ไข การอัปเกรด การทดสอบ และการตรวจสอบทั้งหมดเสร็จสมบูรณ์ จะพยายามกลับมาให้บริการภายใน 24 ชั่วโมง แต่ใครเป็นผู้ตัดสินว่าเงื่อนไขบรรลุผล และเกณฑ์การกระตุ้นคือเท่าใด ไม่ได้เปิดเผยต่อสาธารณะ

สิ่งนี้ทำให้เกิดความไม่แน่นอนในระดับธรรมาภิบาล: ประกาศระบุฝ่ายต่าง ๆ ที่เข้าร่วมการตรวจสอบ แต่ผู้มีอำนาจตัดสินใจรีสตาร์ทขั้นสุดท้ายไม่ชัดเจน สำหรับผู้ใช้ ความเสี่ยงปัจจุบันมาจากการหยุดชะงักของบริการ ไม่ใช่การสูญเสียทรัพย์สินที่แน่นอนหรือการย้อนกลับของเชน

ICON: ทำไมการหยุดบล็อกเชนจึงสายเกินไป

เหตุการณ์ของ ICON แสดงให้เห็นกระบวนการทั้งหมดของการแจ้งเตือน การจัดการ และทรัพย์สินที่หลุดออกจากการควบคุมของเชนอย่างครบถ้วน

ตามรายงานการทบทวนหลังเหตุการณ์ของมูลนิธิ ผู้โจมตีได้เล่นซ้ำข้อความการถอนที่ลงนามแล้วซึ่งยังมีผลอยู่สองรายการ 1,492 ครั้ง ระหว่างเวลา 02:01:02 ถึง 02:21:12 UTC วันที่ 27 สิงหาคม ข้อบกพร่องด้านความเที่ยงตรงทำให้การเรียกใช้ 1,490 ครั้งจากทั้งหมดสำเร็จ โอน ICX จำนวน 119.866 ล้านเหรียญ และ bnUSD จำนวน 531,600 เหรียญ ออกจากกองทรัพย์สินของมูลนิธิ

ระบบตรวจสอบส่งการแจ้งเตือนเมื่อเวลา 02:08 น. เจ้าหน้าที่เทคนิคเริ่มการสอบสวนในภายหลัง สัญญาที่ได้รับผลกระทบถูกหยุดเมื่อเวลา 03:53 น. กระดานเทรดรายใหญ่ทยอยปิดการฝากและถอน ICX เมื่อเวลา 05:54 น. และการหยุดทำงานของเครือข่ายทั้งหมดมีผลอย่างเป็นทางการเมื่อเวลา 06:18:54 น. ICON รีสตาร์ทเสร็จสิ้นประมาณ 07:51 น. ของวันที่ 28 สิงหาคม รวมระยะเวลาประมาณ 25 ชั่วโมง พร้อมกับแก้ไขช่องโหว่พื้นฐาน

รายงานการทบทวนระบุว่าต้นตอของปัญหาคือกระบวนการตอบสนองต่อเหตุการณ์ ไม่ใช่ความสามารถในการตรวจจับที่ไม่เพียงพอ การแจ้งเตือนถูกกระตุ้นภายใน 7 นาที แต่การแจ้งเตือนประเภทนี้มักสับสนกับความผิดปกติของ RPC ที่ไม่เกี่ยวข้อง ระบบไม่ได้แจ้งเจ้าหน้าที่ประจำการ การสอบสวนทางเทคนิคเริ่มขึ้นประมาณ 03:40 น. เท่านั้น และไม่นานหลังจากนั้นสัญญาจึงถูกหยุด

เมื่อถึงเวลาที่เชนหยุดทำงานอย่างเป็นทางการ ICX ที่ได้รับผลกระทบส่วนใหญ่ได้ถูกกระดานเทรดนำเข้าสู่ระบบรับฝากทรัพย์สินของตนเองแล้ว มาตรการควบคุมฝั่งเชนของ ICON ไม่สามารถป้องกันกระดานเทรดจากการโอนหรือแปลงทรัพย์สินที่ถืออยู่ได้ มูลนิธิทำได้เพียงพึ่งพาการอายัดทรัพย์สินของกระดานเทรด หนังสือแจ้งการรักษาทรัพย์สิน ทนายความ และหน่วยงานบังคับใช้กฎหมาย

ขอบเขตการดูแลกำหนดการรับผิดชอบความสูญเสียโดยตรง ICON ระบุว่าทรัพย์สินที่ได้รับผลกระทบทั้งหมดเป็นของมูลนิธิ เงินฝาก ยอดคงเหลือ และสถานะการถือครองของผู้ใช้ทั่วไปไม่ถูกแตะต้อง รายงานแสดงว่า bnUSD จำนวน 531,600 เหรียญ และ SODA จำนวน 1.366 ล้านเหรียญ ได้รับการกู้คืนเต็มจำนวนแล้ว จาก USDC ที่ยืมออกไป 113,634 เหรียญ มีการกู้คืน 82,430 เหรียญ ความสูญเสียสุทธิที่ยืนยันแล้วประมาณ 150.2 ETH และ USDC อีก 31,204 เหรียญ ICX ที่เกี่ยวข้องส่วนใหญ่เพียงถูกอายัดหรือติดตามบนกระดานเทรด ไม่ได้ถูกกู้คืนจริง

โครงสร้างการควบคุมของ ICON ยังแตกต่างจากอีกสองกรณี รายงานการทบทวนระบุว่า ในช่วงการย้ายโทเค็น เครือข่ายอยู่ภายใต้การควบคุมของมูลนิธิ เอกสารแนะนำการย้ายข้อมูลกล่าวถึงว่า ฉันทามติทำงานในโหมดซ่อมบำรุง โดยมีโหนดหลักเพียง 7 โหนด ดังนั้นการหยุดทำงานครั้งนี้จึงอาศัยโครงสร้างการทำงานพิเศษที่ควบคุมโดยมูลนิธิอย่างชัดเจน

สิทธิ์ฉุกเฉินโดยแท้จริงก็คืออำนาจในระดับงบดุล

การหยุดทำงานของบล็อกเชนทุกครั้ง โดยแท้จริงแล้วคือการถ่ายโอนความเสี่ยงไปยังที่ต่าง ๆ

• Cronos แก้ไขประวัติของเชนอย่างเป็นทางการ: สามารถปกป้องทรัพย์สินที่ยังอยู่ในขอบเขตอำนาจของเชนได้ แต่ยกเลิกกิจกรรมบนเชนปกติที่ไม่เกี่ยวข้องกับช่องโหว่ไปด้วย และไม่สามารถจัดการกับทรัพย์สินบน Ethereum ได้
• Ontology เปลี่ยนความเสี่ยงเป็นต้นทุนเวลาและการสูญเสียความพร้อมใช้งานของบริการ ในระหว่างการสอบสวน ธุรกรรมไม่สามารถชำระได้ และไม่มีการยืนยันการขาดทุนทางบัญชีของทรัพย์สิน
• ICON แยกสัญญาและเครือข่ายได้สำเร็จหลังจากทรัพย์สินถูกโอนออกนอกขอบเขตการดูแลของเชนแล้วเท่านั้น ความสูญเสียที่ยืนยันแล้วรับผิดชอบโดยมูลนิธิ การกู้คืน ICX ที่ถูกอายัดขึ้นอยู่กับกระดานเทรดและหน่วยงานตุลาการ

คะแนนการกระจายอำนาจเพียงอย่างเดียวจะบดบังผลลัพธ์ที่แตกต่างกันอย่างสิ้นเชิงเหล่านี้ เกณฑ์การประเมินที่ใช้ได้จริงมากกว่าคือ: กฎการจัดการฉุกเฉินเปิดเผยต่อสาธารณะหรือไม่? เกณฑ์ที่กระตุ้นการจัดการคืออะไร? เป็นเพียงการหยุดบล็อกใหม่ หรือแก้ไขสถานะของเชนที่ยืนยันแล้ว? เมื่อเกิดการแทรกแซง ทรัพย์สินที่หลุดออกจากอำนาจของเชนนี้อยู่ในการควบคุมของใคร? ใครสัญญาว่าจะรับผิดชอบความสูญเสียที่เหลือ?

Cronos และ Tectonic ยังคงต้องเผยแพร่รายงานการทบทวนฉบับสมบูรณ์ Ontology จำเป็นต้องเปิดเผยรายละเอียดการโจมตีและกฎการอนุญาตฉุกเฉิน และภายหลังต้องยืนยันว่าเงื่อนไขการตัดสินการอัปเกรดและการรีสตาร์ทบรรลุผลหรือไม่ สิ่งที่ควรค่าแก่การเปรียบเทียบอย่างแท้จริงคือ ขอบเขตความเสี่ยงที่แต่ละเครือข่ายกำหนดไว้—ประวัติ เวลา และเงินทุนใดบ้างที่จะตกอยู่ภายใต้ความเสี่ยง

ลิงก์ต้นฉบับ