Eski Rain kartı açığı, 1.1M$ çaldı, AVICI %49 düştü
Avici, 1.685 kullanıcının kart finansman bakiyelerinden 500.800 $ alındığını, iade vaadinde bulunulduğunu ancak herhangi bir zaman çizelgesi verilmediğini açıkladı.
Bir saldırgan, Solana'daki eski bir Rain kart finansman sözleşmesindeki bir güvenlik açığını kullanarak 29 Ağustos'ta birden fazla programda yaklaşık 1.1 milyon doları boşalttı. Avici, 1,685 kullanıcı arasında 500,800 dolarlık kayıplarını açıkladı ve AVICI token'ının, geri ödeme taahhütleri belirtilen bir takvim olmaksızın geldiğinde, %49'a kadar düştüğünü gördü.
Ana Noktalar
- Eski bir Rain kart sözleşmesindeki bir güvenlik açığıSolanaRain destekli birden fazla programdan yaklaşık 1.1 milyon dolar çalındı.
- Avici, 1,685 kullanıcıdan çalınan 500,800 $'ı açıkladı ve ihlalin kullanıcıların kendi fonlama sözleşmelerine değil, kart fonlama sözleşmeleriyle sınırlı olduğunu belirtti.emanetçicüzdanlar.
- AVICI, 24 saatlik en yüksek değeri olan 0,43 $'dan, %49'luk bir düşüşle 0,217 $'lık rekor düşük seviyeye geriledi.çekilme, sırasıyla yaklaşık $0.305 ve $0.378 seviyelerine sıçramadan önce.
- Tria, 636 kullanıcının toplamda 430,000 dolardan fazla kayıpla etkilendiğini bildirdi ve token'ı bir noktada %10'dan fazla düşerken tam geri ödeme sözü verdi.
Eski Rain Kart Sözleşmesi İstismarı AVICI’nin %49’luk Düşüşünü Tetikledi
Eski bir Rain kart sözleşmesine bağlı bir Solana istismarı, saatler içinde bir token düzeyinde risk olayına dönüştü. Aynı kart altyapısını kullanan birkaç programda yaklaşık 1.1 milyon dolar boşaltıldı; Avici ve Tria, kullanıcı etkisini kamuya açık bir şekilde ölçen tek iki programdı.
Avici, 1,685 kullanıcıdan çalınan miktarı 500,800 dolar olarak belirtti. Piyasa tepkisi anında oldu. AVICI, 24 saatlik en yüksek değeri olan $0.43'ten, %49'luk bir düşüşle, $0.217'ye kadar satıldı ve ardından toparlandı.
Toparlanma verisi karmaşık. Bir referans noktası, düşük sonrası sıçramayı $0.305 olarak belirlerken, diğer bir referans yazım anında $0.378 civarında olduğunu belirtiyor. Bu tutarsızlık, hareketin yapısı kadar önemli değil: token, temiz bir çevre ile sınırlı bir olay gibi değil, altyapı güvenine bir vekil gibi işlem gördü.
Rain destekli bir kart sistemi yöneten başka bir kripto neobank olan Tria, 636 kullanıcının toplamda 430,000 dolardan fazla kayıpla etkilendiğini söyledi. Token'ı bir noktada %10'dan fazla düşerken bile kullanıcılara tam geri ödeme yapma sözü verdi.
Rain, izleme sisteminin Avici tarafından kullanılan eski bir sözleşme versiyonundaki zafiyeti tespit ettiğini ve 'birkaç diğer programda' bulunduğunu bildirdi. Rain, o versiyonu kullanan her programı güncelledi ve daha fazla yetkisiz faaliyet bildirmedi.
Ne Boşaltıldı: Kart-Finansman Sözleşmeleri vs. ‘Kendi Cüzdanı’ Cüzdanları
Bu olayda kritik ayrım, fonların ele geçirildiği anda nerede bulunduğudur. Avici, kendisini kendi cüzdanı olan bir neobank olarak tanımlıyor, ancak kart yükleme akışı, traderların cüzdan güvenliğinden ayrı olarak modellemeleri gereken bir emanet devri yaratıyor.
Avici, saldırının müşterilerin kartlarını doldurduktan sonra fonları tutan bir Solana sözleşmesiyle sınırlı olduğunu söyledi. Kullanıcıların Solana ve Ethereum uyumlu ağlardaki kendi cüzdanlarının etkilenmediğini belirtti. Diğer bir deyişle, ihlal harcama bakiyesi katmanını hedef aldı, kullanıcı kontrolündeki cüzdan katmanını değil.
Bu, genellikle yanlış fiyatlandırılan kısımdır. “Kendi kendine saklama” cüzdan ürünü için doğru olabilirken, kart ürünü için alakasız kalabilir, çünkü kart harcamaları, borçlandırılabilen, yetkilendirilebilen ve tasfiye edilebilen programatik bir stablecoin havuzuna ihtiyaç duyar. O havuz, bir akıllı sözleşme yüzey alanıdır ve burada başarısız olan yüzey alanıydı.
Karşı taraflar da soyut değildir. Avici'nin kart şartları, kart ihraççısı olarak Third National'ı tanımlar. Visa'nın ana üyesi olarak tanımlanan Rain, temel stablecoin kart altyapısını sağlar. O yığın, kartın çalışmasını sağlar. Ayrıca, operasyonel ve akıllı sözleşme riskini paylaşılan bir bağımlılık haline getirir.
İkinci dereceden etki açıktır: bir paylaşılan demir yolunun kırılgan olduğu algılandığında, o demir yolundaki programlara bağlı her token, kendi uygulama düzeyindeki cüzdan saklaması sağlam olsa bile, risk primasının bir kısmını devralır.
Saldırganın Kontrolü Ele Geçirmesi ve Fonların Nereye Gittiği
İşlem verilerinde tanımlanan istismar modeli operasyonel olarak ölçeklenebilir, bu da neden birden fazla programın etkilendiğini açıklamaya yardımcı olur, tek bir izole havuz yerine.
Saldırgan, imzalı bir yetkilendirme sunarak kendisini bireysel kart-teminathesaplarına yönetici olarak ekledi ve bakiyeleri çekti. Bu sıra, saldırganın her bir hesabı baştan zorlaması gerekmediğini ima ediyor. Yetkilendirme akışını, her bir hesabın ayrı ayrı yetkilerini artırmak için yeniden kullanabilir, ardından da boşaltabilir.
Çıkarım sonrası, fonların yolu izlenebilirliği azaltmak ve seçenekleri artırmak için tasarlanmış tanıdık bir oyun kitabını takip etti. Çalınan stablecoin'ler SOL'a dönüştürüldü, Ethereum'a köprü yapıldı ve nihayetinde Tornado Cash üzerinden yönlendirildi.
İki sonuç çıkar. İlk olarak, SOL aşaması, saldırganın zincirler arası geçiş yapmadan önce Solana'da likidite ve hız için optimize ettiğini gösteriyor. İkincisi, Ethereum'a köprü ve Tornado Cash yönlendirmesi, izleri belirsizleştirme niyetini, tek bir yerden hemen nakit çıkarmak yerine, işaret ediyor.
Rain, eski sözleşme sürümünü çalıştıran her programı güncellediğini ve daha fazla yetkisiz aktivite görmediğini söyledi. Bu, sınırlama iddiasıdır. Bilinmeyen ise, başka dağıtımların veya bitişik sözleşmelerin, farklı koşullar altında kötüye kullanılabilecek benzer yetkilendirme veya yönetici atama kalıplarını paylaşıp paylaşmadığıdır.
İade Vaadleri, Bilinmeyen Maruziyet ve Kripto-Kart Büyüme Arka Planı
İade taahhütleri şu anda duygu işini yapıyor, ancak uygulama detayları gerçek katalizördür. Avici, etkilenen kart bakiyeleri için tam iadeler taahhüt etti ve FBI'nın İnternet Suçları Şikayet Merkezi'ne bir rapor sunduğunu söyledi. İadelerin ne zaman geleceğini veya nasıl finanse edileceğini belirtmedi.
Yaklaşık 1,1 milyon dolarlık on-chain izlenimi ile Avici'nin 500,800 dolarlık açıklaması arasındaki fark, diğer Rain destekli programların da etkilendiğini ima ediyor. Rain, “küçük bir sayı” diğer programların etkilendiğini söyledi, ancak ne Rain ne de etkilenen programlar, Avici ve Tria dışındaki tam listeyi veya program başına kayıp toplamlarını açıklamadı.
Bu belirsizlik, tüccarlar için akademik değil. Eğer ek programlar kayıplarını açıklarsa, piyasa olayı “iki etkilenen uygulama”dan “paylaşılan demir yolu hatası”na yeniden fiyatlandıracak ve o demir yoluna bağlı herhangi bir token üzerindeki iskonto oranı genişleme eğiliminde olacaktır.
Arka planda büyüme var. İzlenen kripto kart harcamaları Temmuz ayında 1,04 milyar dolara üç katından fazla çıktı ve stabilcoinler 10 milyondan fazla işlemin %70'ini finanse etti. Daha fazla hacim, kart teminat sözleşmelerinde daha fazla bakiye anlamına gelir ve saldırganların eski dağıtımları ve izin hatalarını avlamak için daha fazla teşvik sağlar.
Kısa vadede, dört sinyal anlatılardan daha önemlidir:
Avici, geri ödeme zamanlamasını ve finansman kaynağını, bunun hazine, sigorta, ortak destek veya başka bir mekanizma olup olmadığını yayınlamalıdır. Bunu yapmadan, vaat niyet olarak okunur, uzlaşma olarak değil.
Rain, düzeltmeyi anlaşılır hale getirmelidir. “O versiyonu çalıştıran her programı güncelledik” ifadesi, tüccarların net sözleşme versiyon eşleştirmesi ve eski dağıtımların hala canlı olmadığını doğrulayan bir onay ile desteklemek isteyeceği bir iddiadır.
Piyasanın ayrıca eksik maruz kalma haritasına ihtiyacı var. Diğer etkilenen programları ve kayıp toplamlarını belirlemek, tek seferlik bir başlık ile kripto kart demir yollarının sistematik yeniden fiyatlandırılması arasındaki farktır.
Son olarak, on-chain izi, Tornado Cash yönlendirmesinden sonra bile hala canlı bir değişkendir. Bilinen varlıklarla herhangi bir kümelenme veya bağlantı, kurtarma olasılığını değiştirecek ve karşı tarafların gelecekteki girişimlerin riskini nasıl fiyatladığını da değiştirecektir.
Benim Okumam: Bu, Token Volatilitesi Olarak Ortaya Çıkan Altyapı Riski
AVICI hareketini, piyasanın paylaşılan bağımlılık hatasını fiyatlandırması olarak okudum, tek bir uygulama kazası değil. Sayılar bu çerçeveyi destekliyor. Birden fazla programda yaklaşık 1,1 milyon doların boşaltılması, “kullanıcı oltaya düştü” hikayesi değildir. Bu, daha düşük piyasa değerine sahip tokenler aracılığıyla kendini ifade eden bir demir yolu düzeyinde istismar olayıdır.
Önemli olan eşik, $0.217'den geri sıçrama değil. Avici'nin "tam geri ödemeleri" tarihli, finanse edilmiş geri ödemelere dönüştürüp dönüştüremeyeceğidir. Avici net bir takvim ve güvenilir bir finansman kaynağı yayınlarsa, baskı azalır ve token, platform güveni yerine uygulama spesifik temellere geri dönebilir.
Eğer zaman çizelgesi belirsiz kalırsa, token, cüzdan katmanı dokunulmamış olsa bile, yükümlülük gerçek olduğu için finansman indirimini taşımaya devam eder.
Rain'in düzeltme açıklamasının arkasında ikinci bir eşik daha var. Eğer Rain'in "bu sürümü çalıştıran her programı güncellediği" durumu geçerli kalır ve anlamlı kayıplar yaşayan başka programlar ortaya çıkmazsa, olay sınırlı kalır ve piyasa bunu bir miras dağıtım hatası olarak değerlendirebilir.
Eğer daha fazla program kayıplarını açıklarsa veya başka bir eski dağıtım bulunursa, hikaye "eski sözleşme"den "proses kontrolü"ne kayar ve işte o zaman risk primi yapısal hale gelir.
Sömürü mekanikleri ölçeğe işaret ediyor. Birçok kart teminat hesabında yönetici hakları eklemek için imzalı bir yetkilendirmeyi yeniden kullanmak, bir hatayı geniş bir saldırıya dönüştüren türden bir kalıptır. Bu nedenle, diğer etkilenen programların kimliği önemlidir. Bu, birkaç kolay hedef bulan fırsatçı bir tarama mı yoksa daha geniş bir yüzeyde uygulanan tekrarlanabilir bir yöntem mi olduğunu size söyler.
Pratik onay noktası basit: tarihleri ve finansmanı olan iadeler, ayrıca etkilenen programların tam bir muhasebesi, bunu tekrar izole bir olay haline getirecektir. Bu iki açıklama olmadan, AVICI’nindalgalanmapiyasanın altyapı belirsizliğini, bağımlılıklarından kaçamayan bir tokene fiyatlandırma şeklidir.
