Sekmadienį, liepos 12 d., buvo nulaužtos patvirtintos X paskyros „SpaceX“ ir „Starlink“ ir panaudotos reklamuoti memecoin pavadinimu SCATMAN. Išpuolis užtruko mažiau nei valandą ir užpuolikui uždirbo apie 135 000 USD.
Įrašas pasirodė įprastas, be jokių sugadinimų ar pakeistų reklamjuosčių. Atrodė, kad „SpaceX“ patvirtino žetoną. Pirkėjai sureagavo greitai ir per pirmąsias 20 minučių žetonas padidėjo 575%. Iki to laiko, kai įrašai buvo pašalinti, užpuolikas pardavė dešimt trilijonų žetonų už maždaug 73,7 eterio, kurių vertė buvo maždaug 135 000 USD. Visi, kurie pirko pagal „SpaceX“ įrašą, prarado pinigus.
Dolerio vertė yra nedidelė, palyginti su aštuonių skaitmenų įsilaužimais arba 1,16 mlrd. USD bitkoinų „SpaceX“ balanse. Tačiau ta spraga yra tikroji istorija. Pigiausias kriptovaliutų atakos paviršius nėra išmanioji sutartis ar tiltas – tai prisijungimas.
Kaip atsiskleidė
Atsirado paskyra, pavadinta Sam Catman, su netikru priklausomybės ženkleliu, susietu su SpaceX AI darbu. Pavadinimas buvo kalambūra apie Samą Altmaną, skirtą vykstančiam Elono Musko ir OpenAI vadovo vaidui. Žetonas buvo įdiegtas Robinhood Chain, 2 sluoksnio tinkle, kuris buvo paleistas liepos 1 d. ir leidžia bet kam sukurti prieigos raktą be patvirtinimo. Tada „SpaceX“ ir „Starlink“ paskyros iš naujo paskelbė reklamą.
Prekyba sprogo. Didžiausia rinkos kapitalizacija labai skyrėsi – nuo 800 000 USD iki 32 mln. USD, priklausomai nuo šaltinio. Užpuolikas pardavė per dvi pinigines, išeikvodamas likvidumą. Kaina krito. Sąskaitos buvo atkurtos per kelias valandas, tačiau nepaaiškinta, kaip jos buvo pažeistos.
Patikimumo arbitražas
Užpuolikai nebekuria auditorijos – jie skolinasi jas vienam įrašui. Anoniminės piniginės paleista memecoin niekas nepasiekia. Tas pats žetonas, perkeltas paskyroje, turinčioje milijonus sekėjų, rinką pasiekia akimirksniu. Užpuolikui nereikia pasitikėjimo, kad jis išliktų; jiems tiesiog reikia, kad išgyventų visą prekybos laikotarpį.
Atlyginimo diena yra klaidinanti kaip griežtumo priemonė. Suvaržymas buvo ne auditorija ar patikimumas – jie buvo didžiuliai. Suvaržymas buvo rinkos gylis. Nebuvo pakankamai pirkėjų, kad jie įsisavintų dešimt trilijonų žetonų už didesnę kainą. Gilesnėje grandinėje ta pati ataka gali sukelti daug didesnį skaičių.
Šis modelis nėra naujas. Kai gegužę buvo įsilaužta į Keitho Gillo paskyrą, užpuolikai per pusvalandį išvalė daugiau nei 600 000 USD. Dėl Pump.fun paskyros kompromiso 2025 m. vasario mėn. per mažiau nei minutę buvo uždirbta 135 000 USD. Bendra gija nėra pramonė ar grandinė – tai sekėjų skaičius.
Kodėl esamos apsaugos priemonės neveikia
„Crypto“ praleido metus kurdama apsaugą nuo kitokio grėsmės modelio. Auditas patikrina sutarties kodą. Timelocks ir multisigs saugo iždus. Viskas, kas daro prielaidą, ataka ateina per grandinę. SCATMAN ataka įvyko per socialinio tinklo paskyrą. Sutarties audituoti nebuvo, nes sutartis padarė tai, kas buvo parašyta. Kiekvienas komponentas elgėsi teisingai, o pirkėjai vis tiek prarado pinigus.
Stropus pirkėjas per 20 minučių langą nelabai galėjo nuveikti. Patikrinkite sutartį? Tai buvo standartinis kodas. Čekio laikiklio koncentracija? Užpuolikas laikė viską, kas apibūdina daugumą žetonų per pirmąsias minutes. Patikrinkite šaltinį? Šaltinis buvo SpaceX. Tai buvo visa esmė.
Vienintelė gynyba yra taisyklė: nepatvirtintas paskyros įrašas yra priežastis nusipirkti žetoną, nukalduotą minutėmis anksčiau. Ši taisyklė kainuoja kiekvieną tikrą įžymybės žetoną, kurį dauguma žmonių turėtų su malonumu sumokėti.
Robinhoodo grandinės faktorius
SCATMAN ant grandinės nusileido antrąją gyvenimo savaitę. „Robinhood Chain“ pradėjo veikti liepos 1 d. ir greitai tapo dominuojančia memecoins – daugiau nei 75 % prekybos apimties pirmąją savaitę. Iki liepos 13 d. per vieną dieną buvo sukurta daugiau nei 19 000 naujų žetonų. Cross-chain tiekėjas Relay Protocol perspėjo apie medaus puodo žetonų dauginimąsi tinkle.
Tai yra aplinka, kurią išnaudojo SCATMAN: jaunas tinklas, kreipiantis dėmesį į mažmeninę prekybą, minimalus įrankių kiekis ir per daug žetonų, kuriuos reikia patikrinti. Tai nėra Robinhoodo gedimas; taip atrodo neleistino paleidimo infrastruktūra antrą savaitę. Tačiau grandinė, turinti Robinhoodo vardą, paveldi rūpestingumo pareigą, kurios grynai kriptovaliutos grandinės niekada neturėjo.
Tikra kaina
Atmestinai 135 000 USD laikoma žala. Tačiau tikroji žala yra tikrinimo mechanizmo, kuriuo pasitiki mažmeniniai vartotojai, erozija. Kai įstaigos paskyros gali būti užgrobtos, kiekvienas teisėtas pranešimas gaunamas su išankstine nuolaida. Pramonė išleidžia bendrą reputacijos turtą, kurio negali papildyti.
Ši ataka beveik nieko nekainuoja, jos pasekmės yra nedidelės ir atlyginimas gaunamas per kelias minutes. Bandymų dažnis didės, nes daugiau pagrindinių prekių ženklų įsigys kriptovaliutų paviršių. Kiekviena įmonės sąskaita su kriptovaliuta susijusia istorija dabar yra tiesioginė finansinė priemonė.
Užpuolikui nereikėjo kapitalo, kodo ir maždaug vienos valandos. Gynėjams reikėjo būdo, kaip ką nors pasakyti greičiau, nei gali nusipirkti robotas. Asimetrija yra visiška: ataka vykdoma atkūrimo greičiu, o korekcija vykdoma įmonės apsaugos komandos greičiu.
Kas pakeistų matematiką
Niekas dabartiniame įrankių rinkinyje nepašalina pagrindinės priežasties: patvirtintos paskyros įgaliojimai akimirksniu perduodami prisijungimą valdančiam asmeniui. Platformos pataisymai – aparatinės įrangos raktų vykdymas, įrašų su sutarčių adresais vėlavimo langai, naujų paskyrų prisijungimo ženklelio praradimas – yra techniškai paprasti, bet komerciškai nepatrauklūs platformoms, kurios uždirba pinigus iš spartos.
Grandininis patikrinimas, kaip ir „Relay Protocol“ medaus puodo blokavimas, prieštarauja neleistinų sistemų ideologijai. Tikėtis daugiau tokių savanoriškų sluoksnių ir muštynių, ar tai apdairus valdymas, ar vartų sargų sugrįžimas.
Vartotojo pusės gynyba yra paprasta: patvirtinta paskyra, reklamuojanti prieš kelias minutes nukaldintą žetoną, nėra teisėtumo įrodymas. Esant dabartinėms sąlygoms, tai yra arčiau įrodymų apie priešingą.
Štai nepatogi aritmetika: trilijono dolerių prekės ženklas buvo panaudotas parduodant bevertį turtą. Dėl vagystės atsipirko kuklaus automobilio kaina. Nukentėjusieji neturi jokios žalos. Platforma nieko nesakė. Mechanizmas lieka nepakitęs. Sukčių ekonomika išsiaiškino, kad vertingiausias kriptovaliutų turtas nėra joks žetonas – tai neužtarnaus tikėjimo akimirka. Ir tikėjimas neturi protingos sutarties, kuri jį apsaugotų.
