NEX:Nexus Mutual：本次漏洞披露帶給我們的啟示是什么？

編者按：本文來自加密谷Live，作者：RoxanaDanila，翻譯：子銘，Odaily星球日報經授權轉載。在過去的一周之內，我們已經收到了兩個負責任的漏洞披露。目前兩個漏洞未被利用而且共同基金沒有任何損失。本文將深入探討兩個漏洞披露的更多細節，我們從中學到了什么，并將其與實踐結合在一起。作為基于以太坊的互助保險平臺，安全性始終是我們開展NexusMutual工作所堅持的重要方面。這是我們產品的核心，而且我們相信若要使得共同基金能夠在現在和未來取得成功，安全性絕對是必要的。我們始終把協議和成員基金的安全置于首位。我們希望每個人都完整閱讀本次漏洞披露，以了解究竟發生了什么，我們從中認識到了什么，并真切希望這些看法能夠為其他團隊在處理類似問題時有所幫助。在2月18日星期二早上，我們收到了安全研究員MuditGupta提交的一份與治理相關的潛在漏洞報告。經過仔細研究，我們證實該漏洞確實存在，并且會對NexusMutual的咨詢委員會和其所有者造成影響，比如可能會為特殊人群授予額外的特權。在NexusMutual中，所有治理措施均須經過成員、咨詢委員和所有者的投票。上述的任一成員都可以提出建議。然而，成員提出的提案必須要由咨詢委員會列入白名單之中。每個治理提案都有一個與之關聯的類別，該類別定義了投票結束時要執行的解決方案。但潛在的漏洞是，在投票時這些提案的解決方案卻并沒有被證明是有效的。因此，咨詢委員會中的成員很有可能將針對特定類別的提案列入白名單，卻在實踐中執行其他操作。這就意味著盡管成員們在為公司變得更好而投票，但他們很有可能在不知情的情況下將票投向了某些惡意行為之中。針對該漏洞，我們提出的解決方法有以下幾點：添加能夠驗證執行方案是否有效的程序以直接解決該漏洞。這將會保證提案中的行為能夠妥善地受到該提案種類的限制。添加能夠針對惡意提案的通用防御措施。比如可為所有的公司提案提供24小時緩沖，并賦予成員在該緩沖期內能夠取消潛在惡意提案的權利。就預防性措施而言，我們決定如果成員提交了一個提案，但該提案遭到其他成員的意外投票，我們可以啟動應急中止程序。我們已一致通過了上述解決方法并開始實行，與此同時繼續審查其他會因該治理漏洞而帶來的潛在影響。上周五，經過了進一步的調查，我們發現某些類別的提案是不能夠用應急中止程序停止的。為了防止這種情況短期內被濫用且為了減弱此類與治理有關的漏洞帶來的影響，我們采取了以下措施：咨詢委員會成員將所有治理提案強制列入白名單，以防止成員率先提出惡意提案；更新公司治理設定，因此任何應急終止程序都不會被咨詢委員會或所有者中的某一成員單方面通過。將該舉措落實之后，任何種類的提案都不會被單方面通過；我們確保了所有的咨詢委員會成員都使用硬件錢包，從而使針對該漏洞的攻擊變得更加困難。盡管目前還沒有任何董事會成員的利益因此受到損害，但在完整的、最新的解決方案落實之前，我們做出了如下假定：任何針對該漏洞的攻擊者必須要使得三名咨詢委員會成員做出妥協才能通過一項惡意提案，而在此期間所有的環節是受制于整個咨詢委員會的投票的。該攻擊者需要一位咨詢委員會的成員做出妥協，但該成員是否能夠成為咨詢委員會的成員之一，以及后來會投票支持該惡意法案，仍受制于其他成員的投票。為了使得整個流程更加透明，咨詢委員會的成員擁有如下權利：每一個咨詢委員會成員都可以歸類一項提案；至少需要三名咨詢委員會成員來設定提案的默認結果；至少需要三名咨詢委員會成員才能啟動應急中止程序；至少需要三名咨詢委員會成員才能改變提案的核心部分或者是外部feed地址。以往所有者的職責不僅是在需要的情況下為核心部分更新地址，還需要更新貨幣feed地址和交易信息，我們預計可能很快需要在這兩方面進行更改。嚴格意義上來說，現在所有者的上述職責仍然存在，但是已經和咨詢委員會的職責有效融合，因為在將所有者的的權力過渡給咨詢委員會投票后，所有者現在擁有與之前同樣的特權。盡管我們承認在委員會中大家還是相互高度信任的，但是更值得一提的是，我們現在還擁有額外的法律保護層來確保所有的咨詢委員會成員都要向共同基金和其他成員負有特定的法律義務。現如今，針對該治理漏洞的永久性修復措施已經處于最后階段，并將會在幾天內落實。在所有修復工作完成之前，針對于該披露所暴露出的問題，我們設立的所有謹慎的治理措施都是穩健的，足以應對各類惡性提案，我們對此充滿信心。在2月20日周四上午，我們從安全研究人員Samczsun那收到了一份有關另一個漏洞的報告，而該漏洞會讓共同基金受到損失。我們很快確認該漏洞的確存在。在收到報告的4個小時內，我們立即停止了與Uniswap的交互，而這也就意味著該漏洞無法被利用。目前共同基金仍以DAI和ETH的形式持有。無論何時贖回請求被接受，共同基金都必須確保基金有充足的資金來支付我們的成員對應幣種的需求。在此之前，如果待支付的金額超過了一定門檻，共同基金就會將額外需要的金額以批量售賣其他幣種的方式進行支付，而這個過程需要一定的延遲時間，之后該基金則會依賴于Oraclize并且經由Uniswap軋平賬戶。但這整個過程有兩個給攻擊者可乘之機的漏洞：處理Oraclilze撤回資金的功能是不受保護的——而這可使得任何成員來發起撤回。在此之前該項功能是在Oraclize撤回資金失敗時才可使用的。然而，這是一個錯誤的結構性決定。以往假定該功能只能被每一個ID使用一次，因此整個過程就缺乏了重播保護。我們確實承認，已經有人警告不要以這種方式使用Uniswap，并且已知這種方式容易受到此類攻擊。除此之外，bZx事件對我們來說也應該是一個巨大的危險信號，盡管我們應該早些修復該項漏洞。過去我們將它看作是重新審視我們所有的第三方整合的警鐘，并且制定了在他們失效后的應急預案。應急預案將會被記錄下來并且在接下來的幾周內與所有的社區分享。對于共同基金來說，擁有足夠的對應幣種儲備來承兌所有贖回請求是非常重要的。短期之內，如果要支付有關DAI的贖回，我們將向咨詢委員會提議一個治理提案以將ETH換為所需的DAI來支付贖回請求。而在長期之內，我們將尋求與具有抗操縱性的去中心化交易所合作，現在我們已經在評估有哪些交易所可供選擇了。這些漏洞披露將會受到獎勵嗎？

Bitfinex和Tether否認集體訴訟案對其的指控:金色財經報道，根據Bitfinex今天發布的博客文章，Bitfinex和Tether否認了對其母公司iFinex Inc提出的經過修改的集體訴訟中的所有指控。最新的訴訟于6月3日在紐約南區提起，指控Bitfinex、Tether、Poloniex及其附屬公司涉嫌操縱加密貨幣市場。最初的訴訟此前于2019年10月提起。在談到“毫無根據”的訴訟時，Bitfinex法律總顧問斯Stuart Hoegner表示，即使用了整整三個月的時間來修改申訴，原告的指控仍然不受事實或法律的約束。他們將其所認為的與因果關系混為一談，以支持不真實和無法獲得支持的理論。[2020/6/5]

MuditGupta將會因其負責任的漏洞披露獲得$2000的獎勵金。根據威脅矩陣，我們將此漏洞設為一般嚴重等級，因為該漏洞具有較大影響但較低利用可能性的特點。Samczsun將會因其負責任的漏洞披露獲得$5000的獎勵金。根據威脅矩陣，我們將此漏斗設為非常嚴重等級，因為該漏洞具有較大影響且中等利用可能性的特點。另外，我們將發布漏洞獎金計劃，更多細節之后會公布。我們的代碼經過審計了嗎？

動態 | Bitfinex已上線100倍杠桿的加密衍生品:在實施系統升級后，Bitfinex已上線了兩個新衍生品，其中包括BTCF0 / USDt0和ETHF0 / USDt0。幾個月以來，Bitfinex的永續合約一直處于發展階段。根據5月份發布的白皮書，該平臺的母公司iFinex表示，合格的Bitfinex賬戶持有人將能夠通過衍生品錢包交易新的對沖產品。該產品將具有基于USDt的抵押品（在其他市場中無法獲得），高達100倍的杠桿率和基于個人風險水平的保證金。雖然這些交易產品在性質上與BitMEX提供的高杠桿衍生品相似，但Bitfinex強調它們主要用作對沖工具而不是用于賭博。（bitconist）[2019/9/3]

我們的代碼在上線前就已經在2019年4月被Solidified團隊審計過，而且他們對代碼更新非常保守，目前僅有過三次小型升級。在本次的漏洞披露之前，他們已經安排了一次完全的審計，將于本月底開始，以檢查相關升級細節，該流程耗時較短。為什么還沒有啟動應急中止程序？

動態 | 3000枚BTC轉入Bitfinex交易所，價值3481萬美元:北京時間07月13日16:15，3000枚BTC從3B17pW開頭地址轉入Bitfinex交易所，按當前價格計算，價值約3481萬美元，交易哈希為：774e3043fb4434f0d21e5cbd1292133944df137a268f251d6a0aca9caf111af1。[2019/7/13]

盡管應急中止程序一向是我們的備選項，但是我們已經減弱了所有已知的惡意攻擊媒介。且觸發應急中止程序會給我們的成員們引入其他麻煩，比如會使得潛在的贖回延期，或者是成員基金會在中止期間被鎖定。我們正在制定出綜合的解決方案，而這些解決方案則要求協議的升級和進一步的安全審計。從中得到的教訓

為了成功進行負責任的漏洞披露，每個團隊都必須在任何時間都處于可聯系的狀態。我們已經更新了安全聯系方式信息，以便可以在7*24小時內聯系到我們；漏洞獎金計劃和負責任的披露制度對于鼓勵正確的報告非常重要，以保護我們免受漏洞被利用而帶來的損害。盡管我們團隊并沒有大量的資金，但我們會認真對待，更多細節之后會公布；制定安全響應程序對于讓我們快速有效地回應此類事件十分關鍵。現在我們的制度規定了我們要有一個所有團隊成員都熟知的清晰的應急預案。我們將會確保后續影響的調查和報告的確認工作平行開展；代碼的審計并不會發現所有的漏洞。您永遠無法對智能合約功能進行足夠的測試。而且，Defi應用程序極容易受到廣泛的的攻擊。我們將擴展團隊的安全性專業知識技能。我們再次對Samczsun和MuditGupta的披露表達感謝。整個以太坊生態系統都將受益于他們所做出的貢獻，我們的用戶資金也會愈發安全。除此之外，十分感謝整個Nexus團隊在過去幾天所付出的努力。我們已經非常嚴肅的對待這些漏洞，且在整個過程中學到了很多，并將繼續著眼和改善所有有關安全性的事宜。

現場 | Ethfinex聯合創始人：未來去中心化交易所交易速度會進一步提高:今日在巴黎區塊鏈周峰會主題為“去中心化交易所-邁向去中心化金融的一步”的圓桌討論上，Ethfinex聯合創始人Will Harborne表示，流動性對于交易所而言固然是重要因素之一，但除此之外，相比中心化交易所，去中心化交易所能夠確保用戶交易的資產在自己的掌控之下，不會面臨在中心化交易所交易可能造成資產永遠丟失的風險。未來通過側鏈、狀態通道等技術，去中心化交易所的交易速度會進一步提高，交易費用更加低廉。[2019/4/17]

以太坊跌幅超20% Bitfinex平臺跌破700美元:目前幣安平臺ETH跌幅高達20.19%，目前價格為701.50美元。Bitfinex平臺目前比特幣價格為697.39美元，跌幅為20.1%。[2018/2/6]

Tags：NEXFINEINEFINdigifinex公司介紹BfineNINEFI價格X-Fin

Filecoin