比特幣行情 比特幣行情
Ctrl+D 比特幣行情
ads
首頁 > DAI > Info

CELO:跨鏈橋多簽權限被替換 Celo到底發生了什么?

Author:

Time:1900/1/1 0:00:00

北京時間11月23日晚,魚池F2Pool創始人神魚于微博轉發安全組織Rugdoc的風險提示稱:“有在Celo鏈上挖礦的請注意,跨鏈橋的多簽被人換了,疑似有問題,降低風險的辦法是把Celo鏈上的其他資產賣成Celo,目前賣的人還不多,虧幾個點。大家自行判斷風險,是賭一賭還是止損,全憑實力,膽子大的還可以套利。”

作為Celo官方牽頭構建的跨鏈橋協議,Optics是當前資金從外部生態流入Celo的主要渠道,該橋出現問題,無疑會對整個Celo生態的資金流通造成影響。因此,在Optics的問題被爆出之后,恐慌情緒也開始在社區之內彌漫。

根據來自Celo背后開發團隊cLabs的首席執行官TimMoreton的事件解釋聲明,多簽權限被替換是因為有人單方面激活了GovernanceRouter合約上的Optics修復模式,雖然橋梁服務一切正常,但這一操作導致Optics協議被修復管理賬戶完全控制,原本的多簽權限也被覆蓋。不過,Tim?認為鎖定在橋上的資金當前沒有風險。

Shibarium Beta版跨鏈橋開始公測,當前僅支持測試幣:7月28日消息,Shiba Inu營銷團隊成員Lucie發推稱,Shibarium Beta版跨鏈橋已開始公測,可將以太坊測試網上的ETH轉移至Shibarium,每次轉移預計需要30分鐘。[2023/7/28 16:04:40]

而從Tim披露的鏈上事務記錄可以看出,該事件實際發生于25天之前的10月29日,也就是說,在10月29日后,Optics一直處于修復模式之中,但cLabs團隊直到11月22日才向社區公開披露了事態情況。

最值得注意的是,除了解釋多簽權限被替換的技術原理之外,Tim還提到了一位已被cLabs開除的前高級開發者?JamesPrestwich。Tim聲稱,修復模式被激活就發生在?James因行為不當而被解雇后的15分鐘,且在?Optics的部署過程中,James曾為配置創建過一個包括修復地址的pullrequest,且曾請求確認過這個地址并要求報銷費用。Tim還表示,自從發現問題后,cLabs曾想盡了一切辦法與?James?接洽以解決問題,但迄今并未成功。

Wormhole贏得治理投票,成為Uniswap和BNB Chain間的跨鏈橋:2月1日消息,在1月27日至1月31日間的社區治理投票中,Wormhole贏得投票,成為Uniswap和BNB Chain間的跨鏈橋。期間共有8000個地址參與投票,涉及治理通證UNI 4500萬枚。Wormhole獲得62%的支持,LayerZero以37%的支持率位列第二。Wormhole最終將用于為BNB Chain上的Uniswap v3用戶提供參與Uniswap DAO基于以太坊治理流程的能力。Uniswap將在其業務源許可證于4月1日到期前部署至BNB Chain。一旦許可證到期,Uniswap代碼可以被復制并應用到競爭項目。

此前,LayerZero曾被質疑代碼中存在后門。Wormhole也曾在2022年2月遭受過3.25億美元攻擊,最終資金由主要支持者Jump Crypto償還給用戶。(Coindesk)[2023/2/1 11:40:08]

跨鏈橋黑客在過去兩年里造成大約25億美元損失:金色財經報道,根據Token Terminal的報告,跨鏈橋是50% DeFi漏洞的受害者。在過去的兩年里,黑客利用漏洞竊取了大約25億美元。同一時期DeFi貸款黑客攻擊造成7.18億美元損失,DEX黑客攻擊造成3.62億美元損失。

與2021年同期相比,2022年上半年,利用跨鏈橋的盜竊行為增加了58%。[2022/12/30 22:16:43]

不過,對于Tim的“指控”,James本人卻回應稱:“我從來都不是?Optics?修復模式的密鑰持有者;我很失望cLabs和Celo選擇將他們的欺凌公開化,他們正通過撒謊來攻擊我的聲譽;根據律師的建議,我現在什么都不會說。”

顯然,Tim與James的說法存在矛盾,如果二人都沒有說謊,那么究竟是誰激活了修復模式呢?

在事件發生之后,社區之內也通過鏈上記錄展開了調查,社區成員@diwu1989?指出,在激活修復模式的最后一筆交易中,修復管理地址從「0x3d9330014952bf0a3863feb7a657bffa5c9d40b9」被修改成了「0xdcbf2088b7a6ef91f954be9ca658ea5b8e9b62d4」,而后者系由「0x2f4bea4cb44d0956ce4980e76a20a8928e00399a」創建,所以問題的關鍵就是要找到0x2f開頭地址的所屬。

The Block:跨鏈橋Wormhole計劃發行代幣HOLE,將在私募中籌集近2億美元:金色財經消息,據The Block獲得的文件顯示,跨鏈橋Wormhole計劃以每枚代幣0.25美元的價格向機構投資者出售7.5億枚HOLE代幣(占總供應量的7.5%),代幣將鎖定一年,并分三年線性釋放。此次代幣銷售將產生1.875億美元的收益,該項目的估值為25億美元。

知情人士證實,Wormhole正試圖以該估值進行代幣銷售,Wormhole拒絕置評。[2022/4/1 14:32:13]

另一位社區成員@Ryan沿著這一思路繼續調查發現,該地址與另一家項目PartyDAO存在關聯,因其是當前少數持有PARTY代幣的地址之一,如果可以聯系到該項目,或可知曉其身份。

社區成員@Deepcryptodive也指出,?0x2f開頭地址的資金來自于?0x2a98開頭的?Kucoin地址,通過Kucoin的KYC系統,應該也可查出此人的身份。

跨鏈橋deBridge主網現已上線:2月18日,跨鏈橋 deBridge 主網現已上線,支持以太坊、BNB Chain、HECO、Arbitrum 和 Polygon。用戶可以在所有 5 個受支持的鏈上轉移任意資產和數據,并在以太坊、Arbitrum 和 Polygon 上進行特定資產的跨鏈交換。[2022/2/18 10:00:17]

在多人的共同調查之下,真相最終水落石出,由去中心化內容平臺Mirror的地址備注中可知,0x2f開頭地址的資金歸屬于一名叫做Anna的人,那么Anna會是激活了修復模式的那個人嗎?

答案似乎是肯定的,社區用戶從Github記錄上查到,正是在26天之前,一名頭像和姓名都相同的社區開發者,在Github上報告了一個關于?Optics修復模式時間鎖的漏洞,為了補上漏洞,需要激活修復模式并更換為一個更加安全的多簽地址。此外,從歷史提交代碼上看,Anna也的確參與了?PartyDAO的開發工作。

至此,真相基本水落石出,鏈上地址對的上,報告中提及的漏洞與解決方案與此次事件也相吻合,所以基本可以判斷正是Anna激活了?Optics的修復模式,修復管理賬戶大概率也在Anna的控制之下。

不過,雖然事態脈絡已然厘清,但部分社區成員對于CELO以及?cLabs在此事中的處理方式卻很不滿意。作為Celo的開發團隊,cLabs理應比任何外部調查者都更清楚事情的來龍去脈,但在Tim的聲明中卻并沒有給出一個清晰的解釋,反而是做了一些毫無根據的猜測,將矛頭引向一個已被解雇的開發者James。

除此之外,另一些社區成員也對Tim在聲明中提到的“橋上資金沒有風險”相當不滿,因為單從Tim的描述推斷,合約當前的控制權顯然并不在?cLabs或其他已知社區成員的掌握之中,所以單方面聲稱“資金沒有風險”是極其不負責任的。

推特大V?@MonetSupply就此事總結了該團隊所范的三個錯誤:

沒人在應用上線前檢查已部署的合約;

遲遲25天沒有向社區做任何披露;

Tim那則詭異的聲明。

MonetSupply最后將這一切歸因于Celo內部管理的混亂,并表示自己將因此看跌CELO。

昨日晚間,為了為了平息社區內的恐慌及不滿情緒,Celo官方組織了一場AMA對話,并就此事在官方論壇再次發聲加以解釋。這一次,代表cLabs發聲的不再是首席執行官Tim,而是換成了另外兩名開發者?Eric和Marek。

新的聲明披露了一些關鍵信息,包括將對?Optics合約進行一定審計并向社區披露,以及通過發布?OpticsV2來遷移用戶資金。Marek還提到:“我們肯定會從這次事件中吸取教訓,我們將繼續分析哪里出了問題,以及為什么會出問題。為此,我們計劃盡快發布一份完整的事件回顧報告。”

事已至此,雖然很多細節問題仍需等待Marek提到的報告發布后才可進一步明晰,但事態基本情況已大體明了。

整體來看,此次的“?Optics安全事件”多少存在一定的“虛驚”成分,作為社區開發者,Anna替換多簽的目的更像是在修復bug而非作惡,這也是為什么過去25天Optics沒有出現任何資金流失。不過,凡事也不能太過樂觀,在事件徹底收官之前,建議大家短期內盡量減少Optics的使用頻率,如有跨鏈需求,可盡量選擇同樣支持Celo生態的Anyswap,或如神魚建議的那樣將橋接資產兌換為CELO,再利用中心化交易所出入。

跨鏈賽道一直都是安全事故的高發領域,雖然暫時沒有造成任何資金損失,但此次事件所敲響的警示同樣不容忽視,希望Celo?開發團隊以及其他項目方能夠以此為戒,改善內部管理秩序,提高透明度,帶給用戶更安全、更放心的跨鏈體驗。

原創文章,作者:Azuma。轉載/內容合作/尋求報道請聯系report@odaily.com;違規轉載法律必究。

Tags:CELOCELTICOPTcelo幣價格SPACELINKMATIC幣OptionRoom

DAI
區塊鏈:大廠入局、對標主流 區塊鏈游戲向可玩性拓展

今年,以太坊上最大的游戲《AxieInfinity》取得了矚目的發展。今年8月,《AxieInfinity》單月創收逾3.34億美元,超越傳統游戲《王者榮耀》今年7月份2.31億美元的收入規模,

1900/1/1 0:00:00
區塊鏈:區塊鏈在金融行業應用專利明顯高于其他行業

11月9日,2021年首屆中國數字金融峰會暨區塊鏈創新論壇開幕。論壇由財聯社主辦,中國金融信息中心、科創板日報聯合主辦.

1900/1/1 0:00:00
元宇宙:你怎么看元宇宙?

最近,“元宇宙”這個概念再次翻紅。從今年3月Roblox在美上市首次在招股書中提及“元宇宙”,到字節跳動90億元收購頭顯設備制造商Pico,再到Facebook正式更名為Meta全面布局元宇宙業.

1900/1/1 0:00:00
區塊鏈:金色早報 | 騰訊為其員工發放23周年紀念數字藏品

頭條 ▌雙11期間超10萬人在京東上使用數字人民幣11月11日消息,京東首次在雙十一期間在其電子商務平臺上接受中國的數字人民幣支付.

1900/1/1 0:00:00
FAT:FATF 的最新指南對 DeFi、穩定幣和自托管錢包意味著什么?

金融行動特別工作組(FATF)的虛擬資產指南更新列出了一套全面的指導方針,以規范快速發展的加密貨幣領域.

1900/1/1 0:00:00
POL:拯救Polygon計劃:探討公鏈和DeFi

前序 最近拖更太久了,主要是我一直希望做的研究不是所謂“普遍性”“信息匯總性”亦或者是”數據分析性“的研究報告.

1900/1/1 0:00:00
ads