L2 Beat викликає запитання щодо управління Multichain мільйонними фондами користувачів

Переважна більшість криптовалюти, втраченої через хакерські атаки цього року, була викрадена з бриджів, технології, яка дозволяє користувачам передавати цифрові активи між блокчейнами.

Причини зрозумілі: мости складні, що дає зловмисникам більше можливостей для використання. 

Крім того, вони забезпечують єдину точку відмови:  смарт-контракт, який зберігає гроші користувача на умовному депонуванні, тоді як «передані» токени — по суті, боргові боргові зобов’язання — використовуються в ланцюжку призначення.

Незвичайний хід

Тож дослідники з L2 Beat були здивовані, коли дослідили Multichain, платформу-прохідник із заблокованою загальною вартістю 1 мільярд доларів, і виявили очевидну загрозу зсередини.

Згідно з L2 Beat, дослідницьким проектом, який аналізує простір блокчейну рівня 2, Multichain перевела мільйони коштів користувачів із умовного депонування, щоб забезпечити ліквідність у своїй мережі.

«Це гроші користувачів, тому або це погоджено з користувачами в цьому ланцюжку, або вони порушили соціальний договір з користувачами», — сказав The Defiant Бартек Кепушевскі, дослідник L2 Beat.

Це гроші користувачів, тож або це домовлено з користувачами в цьому ланцюжку, або вони розірвали соціальний договір з користувачами.

Бартек Кепушевський

Хоча передачу токенів із умовного депонування можна побачити в ланцюжку, куди ці токени зрештою поділися, за словами Кепушевського, залишається загадкою. 

Multichain стверджує, що токени використовувалися для забезпечення ліквідності в іншій мережі, але розмір цієї мережі означає, що підтвердити претензії надзвичайно важко для невеликої команди, як L2 Beat.

Майкл Левелен, керівник відділу рішень у фірмі криптобезпеки Open Zeppelin, сказав, що ця практика справді проблематична.

«Якщо немає чіткого способу визначити, що активи, на які претендує міст, не присутні десь, що можна було б публічно перевірити, я б точно заявив про це як про особливе занепокоєння щодо мосту», — сказав Левеллен The Defiant. 

Звинувачення L2 ставлять під сумнів поведінку та методи безпеки в організації, відповідальній за понад 1 мільярд доларів США у коштах користувачів. Multichain з’єднує десятки блокчейнів і підтримує тисячі токенів. Підтвердити, що Multichain все ще має цю криптовалюту — що вона не була вкрадена чи програна через протоколи DeFi — було б важким завданням.

Свіжий сумнів

Крім того, ці звинувачення можуть викликати нові сумніви в технології мостів, які цього року зазнали величезної шкоди від рук хакерів.

Згідно з експлойтом Rekt, три з п’яти найбільших зломів в історії криптографії відбулися цього року, і кожен з них був зломом мосту. лідерів. Понад 600 мільйонів доларів було вилучено з Ronin Network. Майже 600 мільйонів доларів було вилучено з мосту Binance. З мосту «Червоточина» вилучено понад 300 мільйонів доларів. 

Multichain не відповіла на численні запити про коментарі, надіслані через контактну електронну адресу, указану на її веб-сайті.

Припущення безпеки

Епізод підкреслює роль L2 у ретельному дослідженні простору масштабування блокчейна. Коли lending protocol Maker розглядав можливість розширення на блокчейни рівня 2, такі як Optimism і Arbitrum, йому потрібно було краще зрозуміти, як ці блокчейни працюють. 

Наступний проект зрештою відокремився від Maker і став L2 Beat — веб-сайтом, на якому перераховано безліч блокчейнів рівня 2, суму грошей, яку вони мають, і припущення щодо безпеки, які вони роблять.

[Вбудоване вміст]

Цього місяця проект розширився завдяки запуску інформаційної панелі для протоколів мосту. Поруч із Multichain, другим за величиною протоколом мосту в світі, команда L2 Beat додала маленький жовтий щит із знаком оклику, попереджаючи користувачів про ймовірну некоректність.

«Кожен окремий міст працює більш-менш однаково», — пояснив Кепушевський. «Ви надсилаєте токени на адресу, і [нові] токени карбуватимуть валідатори в цільовому [блокчейні]. Якщо ви хочете повернутися назад, відбувається зворотне, тож ви спалюєте токени в місці призначення, а валідатори повинні вивільнити токени з адреси депонування, на яку ви спочатку надіслали токени».

Мережа ліквідності

Протоколи мосту, які не можуть карбувати нові токени в ланцюжку призначення, замість цього використовують метод «мережі ліквідності». Постачальники ліквідності розміщують токени в пулах ліквідності в ланцюжку призначення. Ці токени доступні користувачам, які підключаються до цього блокчейну, і повертаються до пулу, коли користувачі мосту виходять у вихідний ланцюг.

Згідно з L2 Beat, мультичейн, який з’єднує десятки блокчейнів, є гібридом. У деяких випадках він карбує жетони. В інших він використовує пули ліквідності.

Згідно з дослідженням Кепушевського, валідатори Multichain вилучили майже 80 мільйонів доларів у стейблкойнах і 300 біткойнів із договору депонування, залишивши більше криптовалюти в ланцюжку призначення, ніж залишилося в контракті.

Кепушевський сказав, що звернувся до Multichain, і представники повідомили йому, що криптовалюта використовувалася для забезпечення пулів ліквідності в різних мережах.

«Вони стверджують, що, на їхню думку, це не проблема, оскільки гроші все ще знаходяться в екосистемі Multichain, і користувачі, на їхню думку, повинні завжди мати можливість зняти потрібну їм суму», — сказав Кепушевський. Але проведення аудиту «зараз стає надзвичайно складним, оскільки вам потрібно проаналізувати всю екосистему Multichain, чи не так?»

Левеллен з Open Zeppelin погодився. «Навіть для мереж ліквідності», — сказав він. «Є принаймні спосіб переглянути різні пули [постачальників ліквідності] та різні ланцюги та визначити, що загальні активи, випущені мостом, збігаються з деяким пулом ліквідності в іншому місці».

Левелен і Кепушевський заявили, що інформаційна панель, яка показує маршрут, яким йдуть їхні кошти, значною мірою допоможе розвіяти занепокоєння щодо руху криптовалюти користувачів.

Уразливості програмного забезпечення

Це також додає нову складку при оцінці того, чи є Multichain безпечним місцем для паркування грошей. Як правило, перевірка підтверджує наявність будь-яких уразливостей програмного забезпечення. Тепер користувачі також повинні замислитися над тим, чи можна довіряти свої гроші самій Multichain, сказав Кепушевський.

Навіть якщо кошти зберігаються, отримати до них своєчасний доступ може бути важко. І це створює свої проблеми, за словами Левеллена, який вказав на той факт, що в мосту Fantom Multichain менше Dai, ніж токенів Dai, викарбуваних Multichain у Fantom. 

Немає ясності

За даними L52 Beat, понад 1 мільйони доларів Dai, підключених до Fantom, блокчейну рівня 2, було видалено з умовного депонування валідаторами Multichain. 

Якщо Dai втратить прив’язку до долара США, а люди з Dai на Fantom захочуть обміняти цей Dai на долари США, вони можуть втратити значну суму грошей за час, необхідний для пошуку та передачі Dai, який мав бути в умовне депонування, відповідно до Левеллена. 

«Це не те, що це станеться сьогодні, але це може статися, якщо ці фактори будуть не дуже сприятливими для Multichain, — сказав він, — і я думаю, що це, зрештою, причина занепокоєння. Просто немає ясності щодо того, як Multichain керує цим ризиком».