Vào ngày 22 tháng 5, DEX Cetus thuộc hệ sinh thái Sui đã bị đánh cắp 223 triệu USD. Trong số đó, chỉ có 60 triệu USD được đổi thành ETH thông qua cầu nối chuỗi và vào túi của hacker, trong khi 162 triệu USD còn lại đã bị quỹ Sui phối hợp với các nút đóng băng.
Vào ngày 27 tháng 5, cuộc bỏ phiếu cộng đồng bắt đầu, "để quyết định xem có thực hiện nâng cấp giao thức để thu hồi số tiền bị đóng băng trong tài khoản do hacker kiểm soát hay không". Cuối cùng, nâng cấp giao thức đã được thực hiện, 162 triệu tiền đã được thu hồi thành công.
Quỹ Sui đã có phản ứng nhanh chóng đối với sự cố bị đánh cắp lần này và nhanh chóng đưa ra giải pháp, điều này đã gây ra nhiều tranh cãi trong cộng đồng. Một mặt, họ đã thu hồi được phần lớn số tiền và bảo vệ lợi ích của người dùng bị đánh cắp; mặt khác, cách thu hồi là thông qua sự đồng thuận của các nút để ép buộc sửa đổi quyền sở hữu tài sản, đây là lần đầu tiên trên chuỗi công khai thực hiện "chuyển tài sản không cần khóa riêng".
Trước lợi ích của người dùng, hành động "mạo hiểm" như vậy vi phạm "tinh thần phi tập trung" đã được bỏ qua.
Chuyển tài sản không cần khóa riêng được thực hiện như thế nào?
Vào ngày 22 tháng 5, DEX Cetus thuộc hệ sinh thái Sui đã bị tấn công bởi hacker do một lỗi lập trình nghiêm trọng, gây thiệt hại 2,23 triệu USD. Sau sự kiện, 162 triệu USD trong số tiền bị đánh cắp đã được Quỹ Sui phối hợp với các nút xác minh để đóng băng.
Vào ngày 27 tháng 5, Quỹ Sui đã thúc đẩy việc bỏ phiếu trong cộng đồng, cơ hội bỏ phiếu này nhằm quyết định xem có thực hiện nâng cấp giao thức hay không, nhằm thu hồi tài sản bị đóng băng trong tài khoản do hacker kiểm soát. Cuối cùng, trong vòng 48 giờ, 114 nút đã tham gia, 103 người đã bỏ phiếu, 99 phiếu ủng hộ, 2 phiếu phản đối, 2 phiếu bỏ phiếu trắng, tỷ lệ thông qua đề xuất đạt 90,9%.
Thông qua đề xuất cũng có nghĩa là, nâng cấp giao thức Sui, điều này sẽ cho phép một địa chỉ cụ thể đại diện cho địa chỉ của hacker thực hiện hai giao dịch để thúc đẩy việc thu hồi tài sản. Những giao dịch này sẽ được thiết kế và công bố sau khi địa chỉ phục hồi được xác định cuối cùng. Tài sản được thu hồi sẽ được lưu giữ trong một ví đa chữ ký do Cetus, quỹ Sui và một kiểm toán viên có uy tín trong cộng đồng Sui là OtterSec kiểm soát.
Trong cấp độ nâng cấp giao thức, tính năng aliasing địa chỉ được đưa vào, cụ thể là định nghĩa các quy tắc trong giao thức: ngụy trang các thao tác quản trị cụ thể thành "chữ ký hợp pháp của tài khoản hacker", sau đó các nút xác thực công nhận chữ ký giả mạo này sau khi nâng cấp, hợp pháp hóa việc chuyển nhượng quỹ bị đóng băng. Điều này cho phép thay đổi quyền sở hữu tài sản thông qua sự đồng thuận của các nút mà không cần chạm vào khóa riêng (điều này tương tự như việc ngân hàng trung ương đóng băng tài khoản ngân hàng và chuyển tiền).
Vậy tài sản bị đóng băng đầu tiên được thực hiện như thế nào? Sui bản thân nó hỗ trợ chức năng Danh sách từ chối (Deny list) và token được quản lý (Regulated tokens), lần này chính là gọi trực tiếp giao diện đóng băng để khóa địa chỉ của hacker.
Rủi ro kỹ thuật từ sự can thiệp quyền lực còn lại
Mặc dù hành động này đã thu hồi được phần lớn tài sản bị đóng băng, nhưng cũng không tránh khỏi nỗi lo ngại, vì việc nâng cấp giao thức đã buộc phải sửa đổi quyền sở hữu tài sản thông qua sự đồng thuận của các nút, điều này cũng báo hiệu rằng Sui chính thức có thể thay thế bất kỳ địa chỉ nào để ký tên, từ đó rút đi tài sản bên trong.
Việc hạn chế liệu Sui chính thức có thể làm như vậy hay không không phải là mã hợp đồng thông minh, mà là quyền bỏ phiếu của các nút, và kết quả bỏ phiếu của các nút thì do ai nắm giữ? Không ai khác ngoài những nút lớn có sự kiểm soát tài chính từ quỹ! Điều này có nghĩa là các bên liên quan đến Sui chính thức nắm giữ quyền quyết định lớn nhất, ngay cả khi bỏ phiếu, cũng chỉ là một màn kịch mà thôi.
Khóa riêng của người dùng không còn là chứng nhận kiểm soát tuyệt đối tài sản, miễn là sự đồng thuận của nút được đồng ý, lớp giao thức có thể trực tiếp ghi đè quyền hạn của khóa riêng.
Tuy nhiên, mặt khác, điều này đã đạt được hiệu quả cao trong việc thu hồi tài sản, nhanh chóng đóng băng tài sản, nhờ vào chức năng quản lý tích hợp của Sui có thể nhanh chóng cắt lỗ, hoàn thành việc bỏ phiếu trong vòng 48 giờ và thực hiện việc nâng cấp giao thức.
Tuy nhiên, theo ý kiến của tác giả, tính năng aliasing địa chỉ đã tạo ra một tiền lệ nguy hiểm - trên tầng giao thức có thể giả mạo "hành động hợp pháp" của bất kỳ địa chỉ nào, điều này đặt nền tảng cho sự can thiệp của quyền lực.
Và chuỗi hoạt động thu hồi vốn của Sui lần này chỉ là khi lợi ích của người dùng xung đột với nguyên tắc phi tập trung, bên công khai chọn đứng ở góc độ lợi ích của người dùng để đưa ra quyết định. Và liệu điều đó có vi phạm nguyên tắc phi tập trung hay không, có vẻ như không quan trọng đối với người dùng và Sui, vì sau khi bị nghi ngờ cũng có thể phản hồi rằng đó là quyết định "bỏ phiếu".
Trang này có thể chứa nội dung của bên thứ ba, được cung cấp chỉ nhằm mục đích thông tin (không phải là tuyên bố/bảo đảm) và không được coi là sự chứng thực cho quan điểm của Gate hoặc là lời khuyên về tài chính hoặc chuyên môn. Xem Tuyên bố từ chối trách nhiệm để biết chi tiết.
Cetus bị đánh cắp tiền đã được khôi phục "Phi tập trung" nhượng bộ lợi ích người dùng
Jessy, Kinh tế vàng
Vào ngày 22 tháng 5, DEX Cetus thuộc hệ sinh thái Sui đã bị đánh cắp 223 triệu USD. Trong số đó, chỉ có 60 triệu USD được đổi thành ETH thông qua cầu nối chuỗi và vào túi của hacker, trong khi 162 triệu USD còn lại đã bị quỹ Sui phối hợp với các nút đóng băng.
Vào ngày 27 tháng 5, cuộc bỏ phiếu cộng đồng bắt đầu, "để quyết định xem có thực hiện nâng cấp giao thức để thu hồi số tiền bị đóng băng trong tài khoản do hacker kiểm soát hay không". Cuối cùng, nâng cấp giao thức đã được thực hiện, 162 triệu tiền đã được thu hồi thành công.
Quỹ Sui đã có phản ứng nhanh chóng đối với sự cố bị đánh cắp lần này và nhanh chóng đưa ra giải pháp, điều này đã gây ra nhiều tranh cãi trong cộng đồng. Một mặt, họ đã thu hồi được phần lớn số tiền và bảo vệ lợi ích của người dùng bị đánh cắp; mặt khác, cách thu hồi là thông qua sự đồng thuận của các nút để ép buộc sửa đổi quyền sở hữu tài sản, đây là lần đầu tiên trên chuỗi công khai thực hiện "chuyển tài sản không cần khóa riêng".
Trước lợi ích của người dùng, hành động "mạo hiểm" như vậy vi phạm "tinh thần phi tập trung" đã được bỏ qua.
Chuyển tài sản không cần khóa riêng được thực hiện như thế nào?
Vào ngày 22 tháng 5, DEX Cetus thuộc hệ sinh thái Sui đã bị tấn công bởi hacker do một lỗi lập trình nghiêm trọng, gây thiệt hại 2,23 triệu USD. Sau sự kiện, 162 triệu USD trong số tiền bị đánh cắp đã được Quỹ Sui phối hợp với các nút xác minh để đóng băng.
Vào ngày 27 tháng 5, Quỹ Sui đã thúc đẩy việc bỏ phiếu trong cộng đồng, cơ hội bỏ phiếu này nhằm quyết định xem có thực hiện nâng cấp giao thức hay không, nhằm thu hồi tài sản bị đóng băng trong tài khoản do hacker kiểm soát. Cuối cùng, trong vòng 48 giờ, 114 nút đã tham gia, 103 người đã bỏ phiếu, 99 phiếu ủng hộ, 2 phiếu phản đối, 2 phiếu bỏ phiếu trắng, tỷ lệ thông qua đề xuất đạt 90,9%.
Thông qua đề xuất cũng có nghĩa là, nâng cấp giao thức Sui, điều này sẽ cho phép một địa chỉ cụ thể đại diện cho địa chỉ của hacker thực hiện hai giao dịch để thúc đẩy việc thu hồi tài sản. Những giao dịch này sẽ được thiết kế và công bố sau khi địa chỉ phục hồi được xác định cuối cùng. Tài sản được thu hồi sẽ được lưu giữ trong một ví đa chữ ký do Cetus, quỹ Sui và một kiểm toán viên có uy tín trong cộng đồng Sui là OtterSec kiểm soát.
Trong cấp độ nâng cấp giao thức, tính năng aliasing địa chỉ được đưa vào, cụ thể là định nghĩa các quy tắc trong giao thức: ngụy trang các thao tác quản trị cụ thể thành "chữ ký hợp pháp của tài khoản hacker", sau đó các nút xác thực công nhận chữ ký giả mạo này sau khi nâng cấp, hợp pháp hóa việc chuyển nhượng quỹ bị đóng băng. Điều này cho phép thay đổi quyền sở hữu tài sản thông qua sự đồng thuận của các nút mà không cần chạm vào khóa riêng (điều này tương tự như việc ngân hàng trung ương đóng băng tài khoản ngân hàng và chuyển tiền).
Vậy tài sản bị đóng băng đầu tiên được thực hiện như thế nào? Sui bản thân nó hỗ trợ chức năng Danh sách từ chối (Deny list) và token được quản lý (Regulated tokens), lần này chính là gọi trực tiếp giao diện đóng băng để khóa địa chỉ của hacker.
Rủi ro kỹ thuật từ sự can thiệp quyền lực còn lại
Mặc dù hành động này đã thu hồi được phần lớn tài sản bị đóng băng, nhưng cũng không tránh khỏi nỗi lo ngại, vì việc nâng cấp giao thức đã buộc phải sửa đổi quyền sở hữu tài sản thông qua sự đồng thuận của các nút, điều này cũng báo hiệu rằng Sui chính thức có thể thay thế bất kỳ địa chỉ nào để ký tên, từ đó rút đi tài sản bên trong.
Việc hạn chế liệu Sui chính thức có thể làm như vậy hay không không phải là mã hợp đồng thông minh, mà là quyền bỏ phiếu của các nút, và kết quả bỏ phiếu của các nút thì do ai nắm giữ? Không ai khác ngoài những nút lớn có sự kiểm soát tài chính từ quỹ! Điều này có nghĩa là các bên liên quan đến Sui chính thức nắm giữ quyền quyết định lớn nhất, ngay cả khi bỏ phiếu, cũng chỉ là một màn kịch mà thôi.
Khóa riêng của người dùng không còn là chứng nhận kiểm soát tuyệt đối tài sản, miễn là sự đồng thuận của nút được đồng ý, lớp giao thức có thể trực tiếp ghi đè quyền hạn của khóa riêng.
Tuy nhiên, mặt khác, điều này đã đạt được hiệu quả cao trong việc thu hồi tài sản, nhanh chóng đóng băng tài sản, nhờ vào chức năng quản lý tích hợp của Sui có thể nhanh chóng cắt lỗ, hoàn thành việc bỏ phiếu trong vòng 48 giờ và thực hiện việc nâng cấp giao thức.
Tuy nhiên, theo ý kiến của tác giả, tính năng aliasing địa chỉ đã tạo ra một tiền lệ nguy hiểm - trên tầng giao thức có thể giả mạo "hành động hợp pháp" của bất kỳ địa chỉ nào, điều này đặt nền tảng cho sự can thiệp của quyền lực.
Và chuỗi hoạt động thu hồi vốn của Sui lần này chỉ là khi lợi ích của người dùng xung đột với nguyên tắc phi tập trung, bên công khai chọn đứng ở góc độ lợi ích của người dùng để đưa ra quyết định. Và liệu điều đó có vi phạm nguyên tắc phi tập trung hay không, có vẻ như không quan trọng đối với người dùng và Sui, vì sau khi bị nghi ngờ cũng có thể phản hồi rằng đó là quyết định "bỏ phiếu".