Ошибка в контракте о предоставлении токенов в библиотеке программ Solana (SPL) была недавно обнаружена и исправлена компанией Neodyme, занимающейся аудитом безопасности. Ошибка, обнаруженная пару месяцев назад, могла затронуть несколько протоколов децентрализованного финансирования, в которых общая заблокированная стоимость (TVL) составила более 2 миллиардов долларов. Их команда определила возможные протоколы, использующие этот контракт (или его производные), и немедленно обнаружила ошибку.
Ошибка округления Solana SPL ставит под угрозу средства
Ошибка в одном из контрактов на предоставление токенов, который является частью библиотеки программ Solana (SPL), группы сетевых программ, нацеленных на параллельную среду выполнения Sealevel на Solana, подвергает риску средства нескольких протоколов. Неодим, охранное агентство, раскрыт об этой уязвимости несколько месяцев назад и предупредил о ней, но ошибка из-за ее явно безобидного эффекта не была устранена.
Ошибка вызвала ошибку округления, из-за которой доставлялось больше токенов, чем было внесено пользователями в контракт. Однако ошибку нельзя было использовать без организованной атаки, направленной непосредственно на уязвимость. Аудиторской группе Neodyme удалось воспроизвести это и создать сценарий, который использовал это преимущество.
Важность открытого исходного кода
Несколько токенов на эти протоколы на сумму более 2 миллиардов долларов могли медленно истощиться из-за использования этого эксплойта. Более того, если бы атака была проведена разумно, она не вызвала бы никаких сигналов тревоги и была бы просто обнаружена как медленное истощение APY в некоторых пулах. Неодим отметил важность открытого исходного кода для привлечения аудиторов и помощи в исправлении подобных ошибок. В нем говорилось:
Мы считаем, что наиболее безопасным является код с открытым исходным кодом, и, как аудиторы, мы считаем, что один из лучших способов написать лучший код — это понять уязвимости.
Обнаружив этот эксплойт, Neodyme поделилась его существованием с группами, которые, вероятно, использовали бы программу в качестве инструмента для своих операций. Среди них были некоторые протоколы, которые не являются открытыми в цепочке Solana и не могут быть напрямую проверены их пользователями. Из-за этого им было сложно напрямую проверить, можно ли использовать эти платформы с помощью ошибки. Тем не менее, они связались с командами, стоящими за этими протоколами, которые отвечают за решение проблемы в индивидуальном порядке.
Контракт о предоставлении токенов SPL уже был рассмотрен ранее, и два проекта, использующих его, также прошли независимый аудит: Solend Кудельски и Larix Slowmist.
Что вы думаете об эксплойте, исправленном в контракте на кредитование токенов Solana? Расскажите нам в комментариях ниже.
Кредиты изображений: Shutterstock, Pixabay, Wiki Commons
Отказ от ответственности: Эта статья предназначена только для информационных целей. Это не прямое предложение или ходатайство о покупке или продаже, а также рекомендация или одобрение каких-либо продуктов, услуг или компаний. CryptoBots.pro не предоставляет инвестиционных, налоговых, юридических или бухгалтерских консультаций. Ни компания, ни автор не несут ответственности, прямо или косвенно, за любой ущерб или убытки, вызванные или предположительно вызванные использованием или использованием любого контента, товаров или услуг, упомянутых в этой статье, или в связи с ними.