Трёхместный орган управления X 100 Global, называемый «сенатом», был скомпрометирован. Проект столкнулся с сообщениями об ущербе в несколько миллионов долларов. Точные детали инцидента пока не подтверждены. Случай вновь привлёк внимание к безопасности мультиподписного управления, концентрации прав доступа и защите средств криптопроектов.
Доступная информация указывает, что под удар попал не обычный пользовательский аккаунт, а коллегиальный орган управления из трёх участников. Поскольку этот орган отвечал за решения проекта или операции с активами, захват его мест мог затронуть средства и другие критически важные полномочия. Сумма потерь, виды переведённых активов, личности злоумышленников и адреса назначения средств пока не раскрыты.
В центре инцидента — трёхместный «сенат»
X 100 Global использовал структуру управления из трёх мест, построенную по модели «сената». Обычно такие схемы требуют одобрения нескольких администраторов для ключевых действий, что снижает последствия ошибки или взлома одного аккаунта. Однако если одновременно получить контроль над большинством или всеми местами либо связанными с ними правами подписи, встроенные в мультиподписную систему ограничения могут перестать работать.
Ключевой вопрос заключается в том, был ли полностью захвачен уровень управления проектом и получили ли злоумышленники возможность перемещать активы. Изменение страницы управления, аккаунта или прав голосования само по себе ещё не доказывает, что были выведены все средства проекта. Окончательную сумму ущерба предстоит сопоставить с данными транзакций в блокчейне, раскрытиями проекта и остатками на затронутых кошельках.
Сообщения об ущербе в несколько миллионов долларов не подтверждены
В публичных описаниях инцидента ущерб оценивается как «несколько миллионов долларов», однако независимого подтверждения этой суммы нет. Для криптопроекта расчёт может включать не только токены, напрямую переведённые с кошельков. В него также могут войти активы пулов ликвидности, средства казначейства, застейканные позиции и последующие обязательства, возникшие после изменения прав управления.
Участники рынка, вероятно, будут отслеживать три группы данных: изменение остатков на кошельках до и после компрометации; переводы в адреса криптобирж или другие пока не идентифицированные адреса; а также возможность проекта в штатном режиме обрабатывать вывод средств и выполнять операции со смарт-контрактами. Пока эти сведения не опубликованы, внешним наблюдателям сложно определить, прекратился ли отток активов или сохраняется возможность новых переводов.
Права управления и средства пользователей требуют разъяснений
X 100 Global предстоит уточнить полномочия трёх мест в органе управления, время начала подозрительной активности, затронутые контракты и кошельки, а также приостанавливал ли проект соответствующие разрешения. Если участники «сената» могли менять адреса казначейства, обновлять контракты или корректировать параметры фондов, проекту также необходимо сообщить, были ли права доступа заморожены или отозваны и переводились ли активы на новые кошельки.
Пользователей прежде всего интересует, доступен ли вывод средств, какие активы затронуты и завершил ли проект инвентаризацию потерь и подготовку возможных компенсаций. Данные об индивидуальных потерях пользователей, статусе вывода и плане восстановления остаются неполными. По мере раскрытия новых адресов кошельков и записей управления должны проясниться масштаб инцидента и распределение ответственности.