Огляд інциденту з вразливістю Multichain та підсумок дій білих капелюшків

18 січня 2022 року система моніторингу аномальної торгівлі виявила атаку на проект Multichain. Через неправильну реалізацію механізму перевірки функції anySwapOutUnderlyingWithPermit(), зловмисники змогли вилучити токени, які користувачі надали цьому проекту.

Незважаючи на те, що команда проекту намагалася різними способами нагадати постраждалим користувачам, багато з них не змогли своєчасно відреагувати, що дозволило зловмисникам продовжувати здійснювати атаки та отримувати прибуток.

Для захисту потенційних жертв команда BlockSec вирішила вжити заходів для реагування на надзвичайні ситуації. Ця операція рятування спрямована на облікові записи, що постраждали на Ethereum, і кошти відповідних облікових записів будуть переведені на спеціально створений мультипідписний обліковий запис для білих капелюхів. Щоб забезпечити прозорість дій, хеш документів відповідного плану буде опубліковано для спільноти. Операція рятування розпочалася 21 січня 2022 року і закінчилася 11 березня 2022 року.

Екстрене рятування стикається з багатьма технічними та нетехнічними викликами. У цій статті ми знову переглянемо весь процес, поділимося відповідними думками та досвідом, сподіваючись, що це допоможе в безпеці екосистеми DeFi.

Короткий підсумок

• Між групами білих капелюхів і атакуючих, а також всередині кожної з цих груп виникла запекла конкуренція щодо використання Flashbots, а витрати на оплату швидко зросли.

• Flashbots не завжди ефективні. Деякі зловмисники переходять на використання mempool, успішно здійснюючи атаки за допомогою хитрих стратегій.

• Деякі зловмисники досягли угоди з командою проєкту, повернувши частину прибутку та залишивши частину як винагороду, успішно "відмивши" свої доходи. Це явище викликало суперечки в спільноті щодо справедливості стимулювання.

• Білі капелюхи можуть публічно оголошувати свої дії в спільноті без розкриття чутливої інформації, заручившись довірою спільноти.

• Співпраця всіх сил громади може зробити рятувальні дії більш швидкими та ефективними.

Огляд ситуації з атакою та порятунком

Загальний результат

В межах спостереження ( з 18 січня 2022 року по 20 березня 2022 року ) загальна ситуація така:

• 9 рятувальних рахунків захистили 483.027693 ETH, сплатили комісії Flashbots 295.970554 ETH( частка 61.27%)
• 21 атакуючих рахунків отримали прибуток 1433.092224 ETH, сплативши комісію Flashbots 148.903707 ETH( частка 10.39%)

!

Тенденції зміни витрат Flashbots

Початкові витрати на транзакції Flashbots становили 0, що свідчить про те, що зловмисник ще не використав Flashbots. Після цього частка витрат швидко зросла, у деяких блоках навіть досягла 80%-91%, що відображає жорстку конкуренцію за права на запис.

!

Впровадження рятувальної операції та виклики, з якими стикаються

Основні ідеї рятувальної операції

1. Моніторинг потенційних жертв рахунків
2. Виявлення WETH при переказі, використання вразливості контракту для виведення його до мультипідписного гаманця білих капелюхів

Ключові вимоги:

• Ефективне виявлення транзакцій, що передаються жертві
• Правильне складання рятувальної транзакції
• Успішна атака на торговця-рейдера

Основні виклики полягають у торгівлі атаками на випередження. Хоча можна використовувати Flashbots, потрібно враховувати стратегію налаштування витрат. Одночасно, через наявність конкуренції, Flashbots не завжди є найкращим вибором.

Конкурентна ситуація

Спробуйте захистити 171 потенційний рахунок жертви, зокрема:

• 10 способів самозахисту
• 14 успішних рятувань
• 147 невдалих рятувань

Причини невдачі пов'язані з конкуренцією між 3 рахунками для порятунку та 16 рахунками для атаки.

!

Уроки досвіду

Налаштування зборів Flashbots

Консервативна стратегія має погані результати, конкуренти зазвичай використовують більш агресивні стратегії:

• Деякий атакуючий встановив пропорцію на рівні 70%-86%
• Білий капелюшник встановив пропорцію на 79%-81%

Це здається нульовою грою, яка потребує пошуку балансу між зниженням витрат і перемогою в конкурентній боротьбі.

!

Стратегія сортування транзакцій Mempool

Через жорстку конкуренцію Flashbots не завжди ефективні. Надсилаючи звичайні транзакції через mempool, також можна досягти мети, якщо правильно їх розташувати.

Деякий атакуючий успішно використав цю стратегію для отримання прибутку в 312 ETH, і при цьому не сплачуючи витрати Flashbots. Ключовим моментом є те, що атакуюча транзакція повинна бути розташована після переказу і якомога ближче до нього.

!

Інші роздуми

Розрізнення білих капелюхів та зловмисників

Не завжди можна просто розрізнити. Один рахунок спочатку був позначений як атакуючий, потім з командою проєкту було домовлено про повернення частини прибутку, залишивши 50 ETH як винагороду, в результаті чого його знову позначили як білий капелюх. Це явище викликало суперечки щодо справедливості стимулів.

Конкуренція в середовищі білих капелюхів

Необхідно створити координаційний механізм для зниження/уникнення конкуренції між білими капелюхами, щоб уникнути марнотратства ресурсів і збільшення витрат.

Пропозиції щодо покращення рятувальних операцій

• Білий капелюх оголошує свої дії громаді без розкриття чутливої інформації
• Flashbots/Майнери надають зелену дорогу для надійних білих капелюшків
• Проектна команда несе витрати на Flashbots
• Проектна команда впровадила зручніший механізм попередження користувачів
• Проектна команда вживає необхідних аварійних заходів у коді

!