ทีมรักษาความปลอดภัยบล็อคเชนพบช่องโหว่ใน Convex Finance ซึ่งแก้ไขได้ในที่สุด

OpenZeppelin บริษัทตรวจสอบความปลอดภัยสำหรับ Coinbase ระบุช่องโหว่ rugpull มูลค่า 15 พันล้านดอลลาร์ใน Convex Finance ซึ่งนักพัฒนาที่ไม่ระบุชื่อได้แก้ไขความเสี่ยงในภายหลัง การค้นพบที่น่าประหลาดใจนี้เกิดขึ้นระหว่างการตรวจสอบความปลอดภัยของโปรโตคอล Convex Finance

บั๊กที่ใช้ประโยชน์ได้จากภายในเท่านั้น

ทีมวิจัยด้านความปลอดภัยจาก OpenZeppelin พบว่าในช่วงปลายปี 2564 ข้อบกพร่องที่สำคัญในโปรโตคอลอาจทำให้ทรัพย์สินที่ถูกล็อคมูลค่า 15 พันล้านดอลลาร์ตกอยู่ในความเสี่ยง การสอบสวนเปิดเผยว่า “หากผู้ลงนามสองในสามคนของ Convex multisig ดำเนินการตามขั้นตอนเฉพาะ ผู้ใช้จะสามารถเข้าถึงโทเค็น LP ทั้งหมดที่เดิมพันในกลุ่มเป้าหมายและดำเนินการ rugpull – ขโมยทรัพย์สินทั้งหมดจากพูล ”

เอกสารจาก Convex ในขณะนั้นระบุว่าภัยพิบัติที่เกิดขึ้นกับพูล LP นั้นเป็นไปไม่ได้ อย่างไรก็ตาม ทีมรักษาความปลอดภัยได้ระบุวิธีการใช้ประโยชน์จากช่องโหว่ในเวลาต่อมา ซึ่งโชคดีที่ Convex ได้ทำการแก้ไขเมื่อวันที่ 14 ธันวาคม พ.ศ. 2564

Convex Finance เป็นโปรโตคอลโอเพ่นซอร์สที่นักพัฒนาไม่เปิดเผยตัวตนตั้งแต่เปิดตัว ในกรณีนี้ ตามที่ระบุโดย OpenZeppelin มีเพียงผู้พัฒนา Convex Finance เท่านั้นที่สามารถใช้ประโยชน์จากช่องโหว่นี้ได้ การเปิดเผยเกี่ยวกับเหตุการณ์นั้นซับซ้อนเป็นพิเศษเนื่องจากลักษณะของการไม่เปิดเผยตัว

ภาวะแทรกซ้อนในการเปิดเผยข้อมูล

หลังจากวิเคราะห์โค้ดและความพยายามที่ Convex ต้องการเพื่อใช้ประโยชน์จากช่องโหว่นี้ OpenZeppelin ยืนยันว่าช่องโหว่นี้ไม่ได้ตั้งใจและนักพัฒนาของ Convex เป็นผู้กระทำโดยสุจริต

“การเปิดเผยต่อสาธารณะจะสร้างแรงจูงใจในทางที่ผิดสำหรับนักพัฒนาของ Convex” และมีส่วนทำให้สูญเสียการไม่เปิดเผยตัวตนที่สำคัญต่อทีม Convex ด้วยเหตุนี้ OpenZeppelin จึงตัดสินใจ “ติดต่อ Immunefi ซึ่งเป็นพันธมิตรด้านแมลงเพื่อแนะนำตัวกลางระหว่าง OpenZeppelin และ Convex”

หลังจากที่ทั้งสองฝ่ายตกลงที่จะเชิญหน่วยงานที่เป็นที่รู้จักในที่สาธารณะเข้าสู่ multisig ซึ่งทำให้ rugpull เป็นไปไม่ได้ OpenZeppelin ได้เปิดเผยจุดบกพร่องแก่ Convex โดยให้คำมั่นว่าทีมจะไม่ใช้ประโยชน์จากช่องโหว่ดังกล่าว นูนได้แก้ไขปัญหาหลังจากนั้นไม่นาน และด้วยเหตุนี้จึงยุติความเสี่ยงของ rugpull ที่จะมีมูลค่า 15 พันล้านดอลลาร์

อ่านบทความข่าวสารอื่น ๆ เพิ่มเติมได้ที่ ariesbikecompany.com อัพเดตทุกสัปดาห์