Безпека в дії - реальний злам і як DAO повернула бізнес

Учора DAO голосувала за дещо серйозніше, ніж тест.

Одного з наших користувачів зламали. У нього вкрали весь бізнес - NFT і партнерську структуру. І вчора, голосуванням спільноти, його повернули законному власнику.

Багато хто з вас просив повну історію. Ось вона, відкрито: що сталося, як це вирішили, що це доводить про будову цього протоколу, і який новий рівень безпеки ми додаємо через цей випадок.

Що сталося

В одного з наших учасників скомпрометували гаманець. Зловмисник отримав доступ до seed phrase гаманця - головного ключа до всього, що в ньому було.

Будьмо точними в одному: це не був злам платформи чи смартконтрактів. Сам протокол не був скомпрометований. Зловмисник потрапив у гаманець користувача старим способом - укравши ключі.

У той момент функція Business Sale була тимчасово ввімкнена. Ми активували її раніше як частину тесту DAO governance і публічно про це оголосили. Зловмисник використав це відкрите вікно. Контролюючи скомпрометований гаманець, він запустив transfer бізнесу й перемістив увесь акаунт жертви - NFT та повну структуру partner-tree - на власну адресу.

Бізнес, який будували місяцями, зник за одну транзакцію.

Передусім - найважливіше

Щоб зрозуміти, як це вирішили, вам спершу треба зрозуміти, чого НЕ могло статися.

Команда не має доступу до вашого бізнесу. Жодного.

Ми не можемо перемістити ваш NFT. Не можемо торкнутися вашої структури. Не можемо заморозити, вилучити чи переказати будь-що у вашому акаунті. Це не політика, яку ми могли б тихо змінити завтра, це те, як побудовані смартконтракти, підтверджено в аудиті CertiK і забезпечено самим блокчейном.

Ось що насправді означає децентралізація. Якби ми могли залізти в акаунти й самі "виправляти" ситуації, ваші активи були б захищені лише настільки, наскільки ви вірите в нашу добру волю, і вам довелося б довіряти нам так само, як банку. Саме цю модель цей протокол і створений замінити.

Тож коли стався злам, не було адмін-кнопки, яку можна натиснути. Її й не могло бути. І так задумано.

Як це насправді вирішили

Але є DAO.

Жертва звернулася до підтримки. Її upline-лідер, людина, яка спочатку привела її в екосистему, стала на її бік і підтвердила ситуацію. Команда перевірила особу власника та його одноосібний контроль над новим, безпечним гаманцем. І тоді запустили єдиний механізм, який має право діяти: голосування спільноти.

На on-chain винесли дві пропозиції:

1. Вимкнути Business Sale. Фаза тестування governance і так була завершена, а відкритий шлях transfer був саме тією поверхнею, якою скористався зловмисник. DAO проголосувала за вимкнення функції на рівні всього протоколу. Вона лишається вимкненою, доки майбутнє голосування не вирішить інакше.

2. Відновити вкрадений акаунт. DAO дозволила міграцію вкраденої позиції - NFT, структури й усього, що до неї прив’язано, - з адреси зловмисника на новий гаманець, який контролює лише перевірений власник. Не назад на початковий гаманець: він досі скомпрометований, і повернення бізнесу туди просто віддало б його тому самому зловмиснику.

Обидві пропозиції пройшли. Обидві виконано on-chain. Повні тексти пропозицій відкриті на сторінці DAO для кожного, хто хоче бачити всі деталі.

Результат: власник знову веде бізнес із безпечного гаманця. Адреса зловмисника залишилася ні з чим.

Для протоколу: DAO також має право повністю заморозити шкідливий акаунт. У цьому випадку це навіть не знадобилося, сама міграція забрала в зловмисника всі позиції, які він утримував.

Що це доводить

Ми планували тест governance, щоб перевірити пропозиції, голосування й виконання. Натомість отримали живий інцидент, який по-справжньому натиснув на всю модель безпеки.

Модель витримала:

• Команда сама нічого не могла зробити, і саме так задумано.

• Спільнота через DAO могла зробити все потрібне: закрити поверхню атаки, позбавити зловмисника позицій, відновити власника.

У цьому поєднанні весь сенс. Жодна окрема сторона, ні команда, ні будь-яка людина, не може торкнутися ваших активів. Але спільнота, діючи разом через відкрите on-chain-голосування, може відновити справедливість, коли щось іде не так.

Централізовані платформи дають вам друге без першого. Більшість DeFi дає перше без другого. У цього протоколу є обидва.

Що вам варто зробити просто зараз

Захист протоколу спрацював. Але цей інцидент почався там, де починається більшість інцидентів: зі скомпрометованого гаманця. Найсильніший рівень безпеки, той, який ви налаштовуєте самі.

Три речі, сьогодні:

1. Встановіть фінансовий пароль. Окремий пароль, потрібний для переміщення коштів, незалежний від вашого логіна. Якщо шахрай потрапить у ваш акаунт без нього, він упреться в стіну.

2. Увімкніть усі рівні безпеки, які дає вам платформа. TAN-коди для транзакцій, 2FA та офіційний Telegram-бот для перевірки дій. Кожен рівень, це ще одна річ, яку зловмиснику треба зламати.

3. Захищайте свою seed phrase так, ніби це сам бізнес. Бо так і є. Ніколи не вводьте її на жодному сайті, нікому не передавайте, не зберігайте в хмарних нотатках чи скриншотах.

Якщо ці рівні не налаштовані, зловмисник, який потрапив усередину, може діяти швидко. Кожен увімкнений вами рівень сповільнює його або повністю зупиняє.

Нове: Secret Code

Цей випадок показав нам, де має сенс ще один рівень. Тож ми його додаємо.

Протягом наступного тижня ми запускаємо Secret Code - новий елемент системи безпеки акаунта.

Як це працює:

• Коли ви генеруєте фінансовий пароль, система створює Secret Code - одне випадкове слово, яке показують вам один раз.

• Якщо у вас уже є фінансовий пароль, ваш код також буде вам показано.

• Запишіть його й зберігайте offline. Ставтеся до нього так само, як до seed phrase.

• Відтоді будь-який чутливий до безпеки запит у підтримку, скидання фінансового пароля, recovery-дії, усе з цієї категорії, вимагатиме від вас назвати ваш Secret Code.

Немає коду, немає змін. Навіть якщо зловмисник захопить вашу пошту чи повідомлення, він не зможе видати себе за вас у підтримці без цього слова.

Учорашнє голосування зробило більше, ніж виправило один акаунт. Воно показало в production, з реальними ставками, що цей протокол може захищати своїх користувачів без того, щоб хтось мав централізовану владу над ними.

Користувач, якого атакували, повернув свій бізнес. Зловмисник пішов ні з чим. Спільнота зробила це можливим, відкрито, on-chain, голосуванням.

Справедливість перемогла. Саме так система й мала працювати.