Uxlink Hack Shows Urgência de cronogramas, tampas e auditorias codificadas

A plataforma social descentralizada Uxlink disse na quarta -feira que implantou um novo contrato do Ethereum depois que uma exploração de carteira de multispensatura permitiu que os atacantes cunham bilhões de tokens não autorizados e colidam com o valor de seu ativo nativo.

Uxlink disse Seu novo contrato inteligente passou por uma auditoria de segurança e será implantado no Ethereum Mainnet. O projeto disse que o novo contrato retirou a função de queima de hortelã para evitar incidentes semelhantes no horizonte.

O projeto confirmou a violação na terça -feira, dizendo que uma quantidade significativa de criptografia foi transferida para trocas. As estimativas das perdas do hack variam, com alertas de Cyvers estimando -o serra pelo menos US $ 11 milhões roubados e hacken colocação O número de mais de US $ 30 milhões.

O que está evidente é que o incidente destacou as falhas de segurança do contrato inteligente que os projetos devem abordar. Marwan Hachem, co-fundador e CEO da empresa de segurança da Web3 Fearsoff, disse a Cointelegraph que o incidente destacou os riscos de progredir sem as camadas de segurança necessárias.

UXLink Explorar destaca os riscos de “controle concentrado”

Os atacantes assumiram o controle do contrato inteligente da UXLink por meio de uma violação de carteira de multispensaturas e inicialmente cunhou 2 bilhões de tokens UXLink. O preço do token caiu 90% de US $ 0,33 para US $ 0,033, enquanto o atacante continuava cuidando, com a empresa de segurança Hacken estimando que quase 10 trilhões de tokens foram criados.

Hachem disse a Cointelegraph que a violação do UXLink vem de uma vulnerabilidade de chamadas delegadas em sua carteira de multispensaturas. Isso permitiu ao hacker executar código facultativo e assumir o controle administrativo do contrato. Ele acrescentou que isso levou à cunhagem de tokens não autorizados.

“Isso realmente destaca algumas falhas de design na feição da Uxlink”, disse Hachem ao Cointelegraph. “Uma carteira multipersinatura que não foi protegida corretamente das explorações de chamadas delegadas, controles negligentes sobre quem poderia ter hortelã e nenhum código encastoado para fazer satisfazer o limite de suprimentos”.

Hachem disse que, no final do dia, isso mostra o quão perigoso é “manter muito controle concentrado em projetos que afirmam ser descentralizados”.

Relacionado: Crypto.com diz que o relatório de vazamento de dados de usuário não divulgado ‘infundado’

A urgência de cronogramas, tampas codificadas e melhores auditorias

Do ponto de vista técnico, Hachem disse que o hack do UXLink poderia ter sido evitado com algumas salvaguardas padrão.

Isso inclui a soma de timelocks a ações confidenciais, porquê cuidados de novos tokens ou mudança de propriedade do contrato. “Um tardança de 24 a 48 horas oferece à comunidade a chance de identificar qualquer coisa incomum antes de passar”, disse Hachem.

A segunda solução inclui renunciar aos privilégios de cunhagem mal os tokens são lançados, para que nem os insiders possam fabricar mais. Hachem disse que os limites de suprimento de codificação rígida diretamente em contratos inteligentes impediriam os riscos de novos tokens serem cunhados.

No lado operacional, Hachem enfatizou a valor de revisões independentes e a transparência contínua.

“Você não pode simplesmente auditar o contrato de token. A feição multisig também precisa de escrutínio”, disse ele, pedindo projetos para tornar públicos os endereços da carteira e exigem vários assinantes em todas as transações.

A prelecção mais ampla, de congraçamento com Hachem, é que até ferramentas comumente usadas, porquê carteiras multisig, não devem ser tratadas porquê à prova de balas. Ele disse que pressionar por uma governança mais descentralizada e paradas de emergência para funções críticas também são de extrema valor.

“O incidente da UXLink destaca que se precipitar sem segurança sólida e contínua pode destruir a crédito da comunidade. Melhor para colocar as defesas desde o início”, disse Hachem ao Cointelegraph.