$340 милиона в MakerDAO oбезпечения можеха да бъдат лесно откраднати

Фондацията Maker представи ново предложение за сигурност.

Това стана след като известен софтуерен инженер разкри, че злонамерен актьор с достатъчно Maker (MKR) може да открадне всички обезпечения в MakerDAO, вземайки със себе си над 340 милиона долара.

 

В скорошна публикация на Medium, разработчикът на свободна практика Мика Золту разкри, че всеки с приблизително 80,000 MKR може да заличи всички обезпечения в MakerDAO. Това включва DAI и SAI, както и всички активи в други интегрирани системи, като Compound и Uniswap. Хакерът потенциално може да реализира печалба от над $340 милиона.

 

Золту разкри, че "Multi-Collateral Dai " (MCD) е трябвало да стартира със защитни функции, за да не позволи на лошите участници да се възползват от системата. Фондацията Maker обаче не успя да приложи по-строги защитни мерки.

 

Липсата на протоколи, относно аварийното спиране и забавянето на управлението, позволява на злонамерените участници да откраднат всички обезпечения в MarkerDao. И защитниците не биха разполагали с възможност да защитят системата срещу атака.

 

“Нападателят може да направи следното: да придобие 80,000 MKR чрез всякакви възможни средства. Създайте изпълнителен договор, който е програмиран да прехвърли всички обезпечения от Maker на вас. Незабавно (в същата транзакция) гласувайте за договора. Веднага (в същата транзакция) активирайте договора. Оттам, се озовавате с ETH на стойност 340 милиона долара”, обясни Золту.

 

Няколко часа след като Золту пусна скандалната статия, MakerDAO публикува официално изявление, в което твърди, че ще бъдат предприети мерки за отстраняване на тази вратичка.

 

Фирмата въведе модула “Governance Security Module” (GSM) в основния протокол. GSM увеличава закъсненията на управлението (Governance delay) от 0 до 24 часа. Това позволява на притежателите на MKR да имат достатъчно време за преглед на изпълнителните договори, преди да бъдат внедрени.

 

“GSM е създаден така, че да даде възможност на притежателите на MKR токени да преразгледат всички промени, които ще влязат в системата и да действат съответно, ако тези промени се считат за злонамерени”, се казва в съобщението.

 

Въпреки недостатъка, който Золту намери в протокола на MakerDAO, изглежда, че екипът действа бързо. Засега няма съобщения за атаки. Същото може да се види и в цената на Maker, която не беше засегната от новините.