Prezzo di DAO Maker

Autore: Quattordici giugno   Questo evento è una vittoria per il capitale, non per gli utenti, ed è una regressione per lo sviluppo del settore. Bitcoin a sinistra, Sui a destra e ogni mossa del settore che scuote la decentralizzazione porta una maggiore fiducia in Bitcoin. Il mondo ha bisogno non solo di una migliore infrastruttura finanziaria globale, ma di un gruppo di persone che avranno sempre bisogno di libertà. Una volta, la catena dell'alleanza era più prospera della catena pubblica, perché soddisfaceva le esigenze normative di quell'epoca, e ora il declino dell'alleanza significa in realtà che soddisfa semplicemente questa domanda, non le esigenze degli utenti reali. 1. Contesto dell'evento Il 22 maggio 2025, Cetus, il più grande exchange decentralizzato (DEX) nell'ecosistema delle chain pubbliche Sui, è stato attaccato dagli hacker, causando un forte calo di liquidità e il crollo di più coppie di trading, con una perdita di oltre 220 milioni di dollari. Al momento della stesura di questo articolo, la timeline è la seguente: La mattina del 22 maggio, gli hacker hanno attaccato Cetus per estrarre 230 milioni di dollari, e Cetus ha sospeso urgentemente il contratto e ha emesso un annuncio Nel pomeriggio del 22 maggio, l'hacker ha trasferito circa 60 milioni di dollari attraverso la catena e i restanti 162 milioni di dollari erano ancora nell'indirizzo on-chain Sui, e il nodo validatore Sui ha agito rapidamente per aggiungere l'indirizzo dell'hacker alla "Deny List" e congelare i fondi La sera del 22 maggio, Sui CPO @emanabio twittato che i fondi sono stati congelati e che la restituzione inizierà presto Il 23 maggio, Cetus ha iniziato a correggere le vulnerabilità e ad aggiornare i contratti Il 24 maggio, Sui ha reso open source il PR, spiegando che stava per riciclare i fondi attraverso l'aliasing e la whitelist Il 26 maggio, Sui ha avviato un voto sulla governance on-chain proponendo se eseguire un aggiornamento del protocollo e trasferire gli asset hackerati a un indirizzo di deposito a garanzia Il 29 maggio sono stati annunciati i risultati delle votazioni e più di 2/3 dei nodi validatori sono stati ponderati per sostenere; L'aggiornamento del protocollo è pronto per essere eseguito Dal 30 maggio all'inizio di giugno, l'aggiornamento del protocollo è entrato in vigore, l'hash della transazione specificato è stato eseguito e gli asset hackerati sono stati "trasferiti legalmente" 2. Principio di attacco Il principio degli eventi è correlato e ci sono state molte dichiarazioni nel settore, quindi ecco solo una panoramica dei principi fondamentali: Dal punto di vista del flusso di attacco: L'aggressore ha prima utilizzato un flash loan per prestare circa 10.024.321,28 haSUI, che ha immediatamente abbassato il prezzo della trading pool 99.90%。 Questo enorme ordine di vendita ha portato il prezzo del pool target a circa 1,8956×10^19 a 1,8425×10^19, quasi toccando il fondo. Successivamente, l'aggressore crea una posizione di liquidità su Cetus con un intervallo estremamente ristretto (limite inferiore di Tick di 300000, limite superiore di 300200 e ampiezza dell'intervallo di solo 1,00496621%). Un intervallo così ristretto amplifica l'impatto dei successivi errori di calcolo sul numero di token richiesti. Il principio fondamentale dell'attacco: Esiste una vulnerabilità di overflow di numeri interi nella funzione get_delta_a che Cetus utilizza per calcolare il numero richiesto di token. L'aggressore ha deliberatamente dichiarato di voler aggiungere un'enorme quantità di liquidità (circa 10^37 unità), ma in realtà ha inserito solo 1 token nel contratto. A causa dell'errata condizione di rilevamento dell'overflow di checked_shlw, il contratto è stato troncato ad un livello elevato durante il calcolo dello spostamento a sinistra, causando una grave sottostima della quantità di haSUI richiesta, scambiando così un'enorme quantità di liquidità a un costo molto basso. Tecnicamente, la vulnerabilità di cui sopra deriva dall'utilizzo da parte di Cetus di maschere e condizioni di giudizio errate nello smart contract Move, con il risultato che qualsiasi valore inferiore a 0xffffffffffffffff << 192 è in grado di bypassare il rilevamento; Dopo aver spostato 64 bit a sinistra, i dati di alto livello vengono troncati e il sistema addebita solo un numero molto piccolo di token per considerare che ha guadagnato molta liquidità. Dopo l'incidente, sono state derivate 2 operazioni ufficiali: "Congelamento" vs "Recupero", che è costituito da due fasi: La fase di congelamento è completata da Lista Bloccata + consenso del nodo; Nella fase di clawback, è necessario l'aggiornamento del protocollo on-chain + il voto della comunità + l'esecuzione di transazioni designate per aggirare la blacklist. 3. Il meccanismo di congelamento di Sui C'è uno speciale meccanismo di Deny List nella catena Sui stessa, che realizza il congelamento dei fondi di hacking. Non solo, ma lo standard dei token di Sui ha anche un modello di "token regolamentato" con una funzione di congelamento integrata. Questo blocco di emergenza sfrutta questa funzionalità: i nodi validatori aggiungono rapidamente gli indirizzi relativi ai fondi rubati nei loro file di configurazione locali. In teoria, ogni operatore di nodo può modificare TransactionDenyConfig per aggiornare la blacklist autonomamente, ma per garantire la coerenza della rete, la Sui Foundation ha centralizzato il coordinamento come editore della configurazione originale. La Fondazione ha prima rilasciato ufficialmente un aggiornamento della configurazione contenente l'indirizzo dell'hacker, e il validatore ha avuto effetto in modo sincrono secondo la configurazione predefinita, in modo che i fondi dell'hacker fossero temporaneamente "sigillati" sulla catena, che in realtà ha un alto grado di centralizzazione dietro di essa Al fine di salvare le vittime dai fondi congelati, il team di Sui ha immediatamente lanciato una patch per il meccanismo della Whitelist. Questo è per i successivi trasferimenti di fondi. Le transazioni legittime possono essere costruite in anticipo e registrate nella whitelist, anche se l'indirizzo del fondo è ancora nella lista nera, può essere applicata. Questa nuova funzionalità consente transaction_allow_list_skip_all_checks di aggiungere transazioni specifiche alla "checklist", consentendo loro di saltare tutti i controlli di sicurezza, comprese le firme, le autorizzazioni, le blacklist, ecc. È importante notare che le patch di whitelist non rubano direttamente le risorse degli hacker; Dà solo a determinate transazioni la possibilità di aggirare il blocco e il trasferimento di asset reali deve ancora essere effettuato con una firma legale o un modulo di autorizzazione di sistema aggiuntivo. In effetti, lo schema di congelamento mainstream nel settore si verifica spesso a livello di contratto token ed è controllato dall'emittente per la multi-firma. Prendendo come esempio l'USDT emesso da Tether, il suo contratto ha una funzione di blacklist integrata e la società emittente può congelare l'indirizzo incriminato in modo da non poter trasferire USDT. Questo schema richiede che multisig avvii una richiesta di congelamento sulla catena e il multisig viene concordato prima che venga effettivamente eseguito, quindi c'è un ritardo di esecuzione. Sebbene il meccanismo di congelamento dei Tether sia efficace, le statistiche mostrano che spesso c'è un "periodo finestra" nel processo multi-firma, lasciando opportunità ai criminali da sfruttare. Al contrario, il blocco di Sui si verifica a livello di protocollo sottostante, è gestito collettivamente dai nodi validatori e viene eseguito molto più velocemente delle normali chiamate contrattuali. In questo modello, per essere abbastanza veloce, significa che la gestione di questi nodi validatori stessi è altamente uniforme. 3. Il principio di attuazione del "riciclo di trasferimento" di Sui Ciò che è ancora più sorprendente è che Sui non solo ha congelato gli asset dell'hacker, ma ha anche pianificato di "trasferire e recuperare" i fondi rubati attraverso aggiornamenti on-chain. Il 27 maggio, Cetus ha proposto un voto della comunità per aggiornare il protocollo per inviare fondi congelati a un portafoglio di custodia multisig. La Sui Foundation ha quindi avviato un voto sulla governance on-chain. Il 29 maggio sono stati annunciati i risultati della votazione e circa il 90,9% dei validatori ha sostenuto lo schema. Sui ha annunciato ufficialmente che una volta approvata la proposta, "tutti i fondi congelati nei due account hacker saranno recuperati su un portafoglio multisig senza la firma dell'hacker". Non c'è bisogno che un hacker firmi, il che è una tale differenza che non c'è mai stata una soluzione del genere nel settore blockchain. Come si evince dalla PR ufficiale di GitHub di Sui, il protocollo introduce un meccanismo di aliasing degli indirizzi. L'aggiornamento include la pre-specifica delle regole alias in ProtocolConfig in modo che alcune transazioni consentite possano essere trattate come se la firma legittima fosse stata inviata da un account compromesso. In particolare, una hashlist di transazioni di salvataggio da eseguire è legata a un indirizzo di destinazione (ad esempio, un indirizzo di hacker) e si considera che qualsiasi esecutore che firmi e pubblichi un riepilogo di queste transazioni fisse abbia avviato la transazione come proprietario di un indirizzo hacker valido. Per queste transazioni specifiche, il sistema di nodi di convalida ignora il controllo dell'elenco Bloccati. A livello di codice, Sui aggiunge il seguente giudizio alla logica di convalida della transazione: quando una transazione viene bloccata dalla blacklist, il sistema scorre il suo firmatario per verificare se protocol_config.is_tx_allowed_via_aliasing(sender, signer, tx_digest) è vero. Finché un firmatario soddisfa la regola degli alias, ovvero la transazione può passare, l'errore di intercettazione precedente viene ignorato e la normale esecuzione del pacchetto continua. 4. Punto di vista 160 milioni, fare a pezzi è la convinzione di fondo più profonda del settore Dal punto di vista personale dell'autore, questa potrebbe essere una tempesta che passerà presto, ma questo modello non sarà dimenticato, perché sovverte le fondamenta del settore e rompe il consenso tradizionale secondo cui la blockchain non può essere manomessa sotto lo stesso insieme di registri. Nella progettazione blockchain, il contratto è la legge e il codice è l'arbitro. Ma in questo caso, il codice ha fallito, la governance ha interferito e il potere ha prevalso sul modello, formando un modello di comportamento di voto che giudica i risultati del codice. Questo perché l'appropriazione diretta delle transazioni da parte di Sui è molto diversa dalla gestione degli hacker sulle blockchain tradizionali. Questa non è la prima volta che il consenso viene manomesso, ma è stata la più silenziosa Storicamente: L'incidente di Ethereum del 2016 The DAO ha utilizzato un hard fork per annullare i trasferimenti per coprire le perdite, ma questa decisione ha portato alla divisione tra Ethereum ed Ethereum Classic, che è stata controversa, ma alla fine diversi gruppi hanno formato convinzioni di consenso diverse. La comunità Bitcoin ha affrontato sfide tecniche simili: la vulnerabilità del valore spillover del 2010 è stata risolta urgentemente dagli sviluppatori e le regole di consenso sono state aggiornate, cancellando completamente circa 18,4 miliardi di bitcoin generati illegalmente. È lo stesso modello di hard fork, che riporta il registro al punto in cui si trovava prima del problema, e quindi l'utente può ancora decidere quale sistema di registro continuare a utilizzare durante il problema. Rispetto all'hard fork DAO, Sui non ha scelto di dividere la catena, ma ha preso di mira questo evento in modo accurato aggiornando il protocollo e configurando gli alias. In tal modo, Sui mantiene la continuità della catena e la maggior parte delle regole di consenso, ma dimostra anche che il protocollo sottostante può essere utilizzato per attuare "operazioni di salvataggio" mirate. Il problema è che, storicamente, il "rollback biforcato" è una scelta di fede dell'utente; La "correzione del protocollo" di Sui è che la catena prende la decisione per te. Non la tua chiave, non la tua moneta? Temo di non averlo più. A lungo termine, questo significa che l'idea del "non le tue chiavi, non le tue monete" viene smantellata sulla catena Sui: anche se la chiave privata dell'utente è intatta, la rete può comunque bloccare il flusso di asset e reindirizzarli attraverso modifiche ai contratti collettivi. Se questo diventerà un precedente per la blockchain per rispondere a incidenti di sicurezza su larga scala in futuro, è persino considerata una pratica che può essere seguita di nuovo. "Quando una catena può infrangere le regole per amore della giustizia, ha un precedente per infrangere qualsiasi regola". Una volta che c'è un successo di "accaparramento di denaro per il benessere pubblico", la prossima volta potrebbe essere un'operazione di "ambiguità morale". Quindi cosa succede? L'hacker ha rubato i soldi dell'utente, quindi il voto della folla può derubarlo dei suoi soldi? Vota in base a chi ha più soldi (pos) o più persone? Se vince quello con più soldi, allora il produttore finale di Liu Cixin arriverà presto, e se vince quello con più persone, allora anche la marmaglia del gruppo sarà rumorosa. Nel sistema tradizionale, è molto normale che i guadagni illegali non siano protetti e il congelamento e il trasferimento sono operazioni di routine delle banche tradizionali. Ma il fatto che questo non possa essere fatto tecnicamente non è la radice dello sviluppo dell'industria blockchain. Ora il bastone della conformità del settore continua a fermentare, oggi puoi congelare per gli hacker e modificare il saldo del conto, poi domani puoi fare modifiche arbitrarie per fattori geografici e fattori contraddittori. Se la catena diventa parte dello strumento regionale. Il valore di quell'industria è stato notevolmente ridotto e, nella migliore delle ipotesi, si tratta di un sistema finanziario più difficile. Questo è anche il motivo per cui l'autore è fermamente impegnato nel settore: "La blockchain non ha valore perché non può essere congelata, ma perché anche se la odi, non cambierà per te". Trend normativi, la catena può mantenere la sua anima? Una volta, la catena dell'alleanza era più prospera della catena pubblica, perché soddisfaceva le esigenze normative di quell'epoca, e ora il declino dell'alleanza significa in realtà che soddisfa semplicemente questa domanda, non le esigenze degli utenti reali. Dal punto di vista dello sviluppo del settore Centralizzazione efficiente, è una fase necessaria nello sviluppo della blockchain? Se l'obiettivo finale della decentralizzazione è quello di proteggere gli interessi degli utenti, possiamo tollerare la centralizzazione come mezzo di transizione? La parola "democrazia", nel contesto della governance on-chain, è in realtà un token weighted. Quindi, se un hacker detiene una grande quantità di SUI (o un giorno la DAO viene violata e l'hacker controlla i voti), può anche "votare legalmente per riciclare se stesso"? Alla fine, il valore della blockchain non è se può essere congelata, ma se il gruppo sceglie di non farlo anche se ha la capacità di congelarsi. Il futuro di una catena non è determinato dall'architettura tecnica, ma dall'insieme di convinzioni che sceglie di proteggere.

必要金額ワロタ

🚨 NEW SHO - 0xFútbol è LIVE! ⚽️ Iscriviti qui: Per festeggiare, stiamo regalando TOKEN DAO GRATUITI su 🎁 ✅ Partecipa alla vendita 0xFútbol ✅ Ottieni immediatamente +100% di bonus su Shakebox ✅ I premi sono tuoi, anche in caso di rimborso! 🔹 Giro pubblico: Deposita un minimo di 75 USDC, ricevi 500 di bonus DAO 🔹 Round privato: Deposita un minimo di 500 DAO, ricevi +500 di bonus DAO 🛡️ Finestra di rimborso di 3 giorni: nessun rischio, solo premi! 🔗 Dettagli:

$ 135k di guadagni DAO oggi