Chainflip Sikkerhetshendelse
Chainflip har mistet 736,442.17 USDT gjennom seks uautoriserte utbetalinger etter at en angriper utnyttet håndteringen av TRON-transaksjonsmemoer. I en oppdatering om hendelsen den 13. september opplyste Chainflip at angrepet målrettet deres TRON USDT-integrasjon i de tidlige timene den 12. september.
Hendelsesforløp
Det tverrkjedeprotokollet stoppet driften mens utviklerne undersøkte transaksjonene og forberedte en løsning. En legitim brukerbytte verdt 115,654.41 USDT forblir ubetalt. Chainflip opplyste at midlene fortsatt er holdt i sitt hvelv og kan frigjøres etter at nettverket starter på nytt. Protokollen rapporterte at ingen andre midler ble berørt.
«Tapet og angrepssekvensen representerer Chainflips nåværende funn. Ingen uavhengig sikkerhetsvurdering som bekrefter hele kontoen hadde blitt publisert per 13. september.»
Angrepsmetode
Chainflip oppdaget at angriperen fant en måte å feste et nytt memo til en transaksjon som Chainflip-validatorer allerede hadde signert. Systemene tolket det tilleggsmemoet som en separat bytteinstruksjon. Da den nye instruksjonen så ut til å mislykkes, utstedte protokollen en refusjon. Den opprinnelige innskuddet hadde allerede produsert en utbetaling, noe som førte til at Chainflip betalte mot det samme innskuddet for andre gang.
Chainflip tilskrev feilen til sin egen behandling av TRON-transaksjonsmemoer. Protokollen rapporterte ikke om et kompromiss av TRON-blokkjeden, USDT-smartkontrakten eller Tethers reservasjonsystem.
Reaksjon og Tiltak
Chainflip oppdaget hendelsen etter at påfølgende USDT-betalinger begynte å mislykkes. Utviklerne sporet deretter feilene til den gjentatte behandlingen av innskudd gjennom endrede memoer. Protokollen suspenderte nettverksaktiviteten mens den undersøkte om svakheten kunne påvirke andre eiendeler eller integrasjoner.
Den foreløpige gjennomgangen fant at utnyttelsen var begrenset til TRON USDT og at de gjenværende hvelvmidlene var sikre. Chainflip har beskrevet hendelsen som sin første kritiske sikkerhetshendelse som involverer penger tatt fra protokollhvelv.
«Tidligere driftsproblemer hadde ikke forårsaket et sammenlignbart tap fra disse hvelvene, ifølge prosjektet.»
Kompensasjon og Fremtidige Tiltak
Chainflip sa at berørte brukere ville bli kompensert, selv om protokollen ikke hadde valgt eller publisert sin refusjonsmetode per 13. september. Teamet sa at flere alternativer fortsatt var under vurdering. Den ubetalte 115,654.41 USDT-transaksjonen er ikke inkludert blant de seks uautoriserte utbetalingene.
I mellomtiden har protokollen varslet relevante parter om de stjålne midlene i et forsøk på å spore eller gjenvinne inntektene mens de beveger seg mellom adresser og tjenester. Chainflip navnga ikke partene, avslørte ikke om angriperen brukte sentraliserte børser eller bekreftet at noen USDT hadde blitt frosset.
Fremtidige Oppdateringer
Chainflip planlegger å begynne å dekke brukerens tap etter at den trygt gjenopptar. Den foreløpige uttalelsen satte ikke en betalingsdato eller forklarte om kompensasjonen ville komme fra statskassemidler, forsikring eller en annen kilde. Nettverket vil forbli pauset «til mandag tidligst», noe som gjør 14. september til den tidligste mulige gjenopprettingsdatoen.
Chainflip har ikke avslørt om validatorer vil trenge ny programvare, en koordinert oppgradering eller en styringsavstemning. Når systemet gjenopptas, forventer protokollen å behandle det ventende 115,654.41 USDT-bytte og begynne å håndtere kompensasjon for brukere hvis midler ble betalt til angriperen.
En fullstendig teknisk rapport vil følge etter at oppstartsplanen er låst og nettverket opererer sikkert, sa Chainflip. Protokollen har ikke annonsert en publiseringsfrist for den rapporten.
