Ang 'Critical' MakerDAO Vulnerability ay Maaaring Magkaroon ng Frozen Voter Funds, Sabi ng mga Auditor

Ang isang kritikal na kahinaan sa programmatic lending platform na MakerDAO ay maaaring gumawa ng mga pondo ng user na hindi na mababawi, ayon sa security audit firm na Zeppelin.

Natuklasan sa nakalipas na ilang linggo, naglabas ang MakerDAO noong Lunes ng isang agarang pakiusap sa mga may hawak ng token ng platform ng MakerDAO, na nagsusulat sa Reddit:

"Sa pakikipagtulungan sa Coinbase at Zeppelin, ang Maker Foundation ay nakikilahok sa ikalawang round ng pag-audit ng Maker Voting Contract. Sa prosesong ito, natuklasan namin ang pangangailangang gumawa ng kritikal na update...Pinapayuhan kang alisin ang iyong MKR sa lumang kontrata at bumalik kaagad sa iyong personal na pitaka."

Noong panahong iyon, ang mga may hawak ng token ng MKR ay hindi na-debrief tungkol sa eksaktong uri ng isyu dahil ang kahinaan ay maaari pa ring pagsamantalahan ng isang umaatake kung ibinunyag.

Noong Huwebes, inilabas ni Zeppelin isang buong Disclosure binabalangkas kung paano maaaring ilipat ng kahinaan ang mga token ng user at permanenteng mai-lock ang mga ito sa loob ng kontrata sa pagboto ng MakerDAO. Ayon sa dokumento, natuklasan at nasuri ang kahinaan sa pagitan ng Abril 22 at 26, kung saan ipinaalam ang MakerDAO team, na may nakapirming kontrata na sasailalim sa isang audit noong Mayo 2.

Ang isang hiwalay na post sa MakerDAO subreddit ay tinalakay ang kahinaan at nakabahaging impormasyon tungkol sa bago at walang kompromisong kontrata sa pagboto. "Dahil sa pagsasamantala, ang karaniwang lingguhang ritmo ng Governance Polling at Executive Voting ay na-pause habang ang mga may hawak ng MKR ay inilipat ang kanilang sarili mula sa lumang kontrata," paliwanag ng post.

Sa pag-atras, ang MakerDAO ay ang pangunahing platform ng pagpapautang para sa sikat na dollar-pegged stablecoin DAI. Ang MakerDAO ay isa ring desentralisadong platform ng pamamahala kung saan ang mga may hawak ng token ng MKR ay may kapangyarihang bumoto at magsagawa ng mga pagbabago sa DAI lending protocol.

"Paano gumagana ang sistema ng pamamahala ng MakerDAO ay mayroong ilang mga panukala na naka-encode bilang mga Ethereum address at ang mga tao ay maaaring bumoto para sa ONE o sa isa pa sa pamamagitan ng pag-lock ng kanilang mga token ng MKR sa pangunahing kontrata sa pagboto," paliwanag ng pinuno ng pananaliksik sa Zeppelin Alejo Salles sa CoinDesk.

Sa esensya, ang kahinaan na ibinunyag ng pangkat ng Zeppelin ay nagsapanganib sa mga token ng MKR na hawak sa loob ng kontrata sa pagboto ng MakerDAO. Ang isang attacker ay maaaring magkaroon ng hypothetically moved token staked pabor sa ONE MakerDAO na panukala sa pamamahala sa isa pang nakikipagkumpitensyang panukala at i-lock ang mga ito sa lugar magpakailanman.

Binigyang-diin ni Salles sa CoinDesk na ang mga token ng MKR ay hindi na-withdraw mula sa kontrata sa pagboto ng MakerDAO ngunit sa halip ay naka-lock at inilipat lamang.

Higit pang mga pag-audit

Ang kahinaan na ito, tulad ng kasalukuyang nalalaman ni Zeppelin, ay T napagsasamantalahan sa platform ng MakerDAO.

Gayunpaman, sinabi ni Salles na mayroon itong potensyal na epektibong i-freeze ang $100 milyon na halaga ng mga token ng MKR na hawak sa orihinal na kontrata sa pagboto ng MakerDAO.

"Napakasentro ng kontratang ito sa sistema ng MakerDAO. Nagkaroon ito ng mga pribilehiyo sa maraming iba pang bagay," ang sabi ni Salles sa CoinDesk. "Napakasensitibo ng seguridad sa industriya ng Crypto at sa kasong ito ay posible dahil mayroon pa ring sapat na pondo ang MakerDAO team para gawin ang pagbabago."

Sa katunayan, hawak ng non-profit na MakerDAO Foundation ang pinakamalaking bahagi ng mga token ng MKR , na may higit sa 25 porsiyento ng 1 milyong kabuuang supply. Dahil sa napakasensitibong katangian ng kahinaan sa seguridad, ginamit ng MakerDAO Foundation ang mga pondong magagamit nito upang palihim na magsagawa ng pagbabago ng estado nang walang mas malawak na kaalaman sa publiko.

"Sa isang mas desentralisadong sistema, na kung ano ang magiging MakerDAO sa NEAR na hinaharap, ito ay magiging mas masahol pa," babala ni Salles. "Dahil kailangan mong i-coordinate ang lahat ng mga taong ito ngunit sa parehong oras ay hindi itaas ang masyadong maraming kamalayan sa kung ano ang nangyayari. Iyan ay uri ng imposible."

Ang code sa likod ng kontrata sa pagboto ng MakerDAO ay bahagi ng mas malaking library ng code na ganap na siniyasat noong 2017 ng security firm na Trail of Bits.

Nang tanungin kung alam ng Trail of Bits ang tungkol sa kahinaan na ibinunyag ngayon, pinatunayan ng CEO na si Dan Guido na hindi nila ito ginawa ngunit idinagdag na mula noong 2017 "mayroong maraming commit sa partikular na code na iyon at sa marami sa mga dependency nito."

Nakumpleto ng Trail of Bits ngayong buwan ang isang bagong pag-audit sa pinaka-inaasahang MakerDAO code upang suportahan multi-collateral DAI.Tulad ng sinabi ni Guido sa CoinDesk:

"Sa kurso ng aming pagtatasa ng multi-collateral DAI, natuklasan namin ang dalawang mababang kalubhaan ng mga isyu sa seguridad na nakatakas sa pagkakakilanlan sa pamamagitan ng pag-verify. Ang unang isyu ay nakatakas sa pag-verify dahil sa pag-asa ng pag-atake sa paglipas ng panahon upang maalis ito. Ang pangalawang isyu ay pang-ekonomiya sa kalikasan, at inilarawan ang isang diskarte sa pag-atake upang abusuhin ang system batay sa tamang gawi nito. Ang mga isyung ito ay naayos kaagad ng MakerDAO."

Due diligence

Ang pangalawang pag-audit ng kontrata sa pagboto ng MakerDAO ng Zeppelin ay aktwal na kinontrata ng Cryptocurrency exchange na Coinbase. Ang Coinbase ay para sa ilang oras nagpaplanong paganahin ang isang walang putol na interface sa platform ng pagboto ng MakerDAO para sa mga may hawak ng mga token ng MKR .

"Kami ang nanguna sa pag-audit bilang bahagi ng aming proseso ng angkop na pagsisikap sa pagsuporta sa kakayahan sa pagboto ng MakerDAO sa loob ng produkto ng Coinbase Custody," sabi ni Alan Leung, pinuno ng seguridad para sa Coinbase Custody.

Ipinaliwanag ni Leung na ang mga kliyente ng Coinbase na may hawak na mga token ng MKR ay hindi komportable na direktang makipag-interface sa protocol ng pagboto ng MakerDAO dahil "T nila alam ang panganib o ang mga panganib ay mas malaki kaysa sa pagkilos ng pakikilahok."

Ayon kay Leung, bahagi ng mga pagsisikap ng Coinbase sa pagsuporta sa isang third-party na pag-audit ng MakerDAO voting contact code ay upang matiyak na ang mga kakayahan na binuo sa Coinbase upang makipag-ugnayan sa MakerDAO ay ligtas.

"Ang aming pananaw ay upang bigyan ang aming mga customer ng isang secure na channel para sa pakikilahok sa network at bilang bahagi ng prosesong ito kami ay sumisid nang malalim sa kung paano gumagana ang kontrata ng MakerDAO at kung paano gumagana ang pagboto," sabi ni Leung sa CoinDesk.

Dahil ang kahinaan ay naibunyag at natugunan, pinatunayan ni Leung sa CoinDesk na ang intensyon na ilunsad ang kakayahan sa pagboto ng MKR sa Coinbase Custody ay nananatiling hindi nagbabago.

“Ginawa namin ang aming takdang-aralin sa pagtiyak na [ang aming interface] ang pinakasecure na paraan upang lumahok sa network ng MakerDAO dahil inilalagay namin ang aming label sa likod ng pagkilos," sinabi niya sa CoinDesk.

Lock larawan sa pamamagitan ng Shutterstock