Carteira multisig da Parity hackeada ou como assim?

Pano de fundo

Carteiras Multisignature são contratos inteligentes projetados para gerenciar criptoativos com o consentimento de vários donos de carteiras. Este tipo de carteiras geralmente permite estabelecer limites diários de retirada, votar por retiradas, votar por mudanças de propriedade etc.

Com o grande aumento nos preços de criptomoedas este ano, muitas pessoas agora estão mantendo quantidades significativas de criptoativos. Vale a pena levar a segurança mais a sério e colocar seus ativos, ou pelo menos a maioria deles, em uma carteira multisig. Isso melhora a segurança de um processo que movimenta muitos fundos com bastante rapidez. Se você possui uma carteira multisig, você precisa de múltiplas "assinaturas" para mover fundos da carteira. Na verdade, essas assinaturas significam múltiplas chaves privadas.

Esta alternativa para manter o valor em contas de usuário simples apareceu em 2012. As carteiras multisig são especialmente favorecidas por startups de criptomoedas e outros grupos, pois são uma proteção contra ataques de hackers direcionados aos detentores de ativos. Isso ocorre porque eles permitem que algumas das contas dos proprietários sejam comprometidas, mantendo o controle total do dinheiro. Claro, isso também ajuda contra os funcionários maliciosos que podem querer fugir com o dinheiro. Por esta razão, as carteiras multisig também são uma maneira popular de armazenar criptomoedas geradas em ICO.

Há alguns anos, Gavin Wood, cofundador e CTO do Ethereum, estabeleceu a EthCore, uma organização sem fins lucrativos que desenvolve software para a infraestrutura Ethereum, que mais tarde mudou seu nome para Parity Technologies. Um dos seus produtos é o Parity, um cliente Ethereum que fornece uma interface web para o software de nó Ethereum subjacente. Ele permite ao usuário acessar as funções básicas de Ether e token wallet e também interagir com contratos inteligentes implantados no Ethereum Blockchain. A carteira Parity foi projetada para se integrar perfeitamente com todos os tokens padrão, além de gerenciar transferências de Ether. É compatível com Ubuntu, OSX, Docker e Windows. A vasta gama de opções oferecidas pela carteira Parity tornou-a extremamente popular na comunidade cripto.

Ataque

As multisigs são distribuídas aos usuários como código-fonte do contrato inteligente: sempre que alguém quiser obter uma, eles pegarão o código atual do repositório, implementarão o contrato no Ethereum Blockchain, então configura os proprietários, coloca os fundos etc. Cada carteira é uma instância separada do código.

No caso da Parity, alguns dos elementos essenciais da lógica do contrato, incluindo a função de retirada que permite retirar fundos, foram colocados em uma biblioteca. Uma biblioteca é um contrato inteligente já implantado que é utilizado por cada Parity Multisig existente (a partir de uma versão específica). Essa separação de código pode, teoricamente, ser uma coisa boa: por exemplo, evitar custos de gás para usuários que precisam implantar menos código. Infelizmente, também significa que, se a biblioteca estiver quebrada de alguma forma, isso afetará todos os contratos, dependendo disso. E não foram incluídas contingências.

De 6 a 8 de novembro, descobriu-se que era possível inicializar a própria biblioteca como uma carteira, reivindicando os direitos de proprietário para ela, incluindo o direito de matá-la completamente. Todos os contratos dependentes implantados se tornariam inútil. Depois de matar a biblioteca, o atacante penetrou em várias multisigs implantadas para tentar alterar a lista de proprietários e retirar os fundos, traçando de novo os passos do hack de julho. Entre isso e a questão do GitHub alegando incompetência, a questão dos motivos do atacante ainda não está clara.

De acordo com crypto eli5, 151 carteiras foram congeladas, com os saldos sendo 513.743 ETH ou US $ 152 milhões no total. A Parity Technologies anuncia que 573 carteiras foram afetadas e seu saldo total é desconhecido

Reação geral

A descrença foi o primeiro e mais comum sentimento experimentado pelos membros da comunidade cripto. Oh, eles desejavam não ver essa quantidade de cerca de US $ 154 milhões trancados devido às ações supostamente aleatórias de algum novato! Ele não só esmagou a recuperação constante da Parity após o notório hack de julho, mas também fez com que alguns usuários considerassem que o limite de falhas de segurança da Parity chegou.

A primeira reação aos fundos congelados foi o pânico - apenas seis meses após o corte de julho, a repetição parecia impossível, embora os membros mais razoáveis da comunidade, pelo menos, começaram a considerar a segurança da criptomoeda como prioridade. Assim que a Parity forneceu explicações oficiais, o pânico deu lugar à desconfiança, já que os usuários afetados se viram perdidos.

Parity Technologies diz: ATUALIZAÇÃO: Um usuário explorou um problema e com isso removeu o código da biblioteca, ao que parece, não atento às consequências.

A Parity recentemente afirmou que eles levam a sério os problemas de segurança - então, como isso pode acontecer? Uma das principais preocupações é que o bug já existia há algum tempo antes do acidente. Ele afetou as carteiras criadas após 20 de julho de 2017, ou seja, após uma atualização executada pelo hack.

Parity Technologies diz: Os fundos foram congelados em todas as carteiras Parity Multisig abertas depois de 20 de julho. Estamos analisando a situação e divulgaremos mais detalhes em breve.

Uma vulnerabilidade na então versão atual da carteira Parity Multisig foi explorada, levando a US $ 30 milhões serem roubados e outros US $ 180 milhões resgatados por um grupo de hackers de chapéu branco e posteriormente retornados aos legítimos proprietários. Após o ataque, a Parity Tech implantou uma nova versão da carteira que, como se mostra, introduziu outra vulnerabilidade. Isso levou alguns usuários a se queixarem da insatisfação da Parity em relação aos seus fundos e ao processo de depuração desatento antes da atualização. O fato de que a façanha foi provavelmente desencadeada por um novato desajeitado (como ele mesmo alegou), também não dá crédito à empresa.

A Parity responde da maneira mais cuidadosa, evitando qualquer certeza. Quem pode culpá-los por tentar acalmar o tumulto? No entanto, um usuário que vê frases como "até onde chega nosso conhecimento" acredita que os desenvolvedores não controlam a situação.

Parity Technologies diz: Até onde chega nosso conhecimento, os fundos estão congelados e não podem ser movidos para lugar nenhum. O total de ETH circulando nas mídias sociais é especulativo.

Como resultado, vemos uma flutuabilidade acelerada entre adversários da Parity e Ethereum, por exemplo, de Charlie Lee, criador do Litecoin

Charlie Lee diz: Eu fui inflexivelmente contra o hard fork do DAO por essa razão de risco moral. O Ethereum não é mais um código imparável, conforme anunciado em seu site. Quanto em $/% é suficiente para fazer um HF? E quem decide? Não há pagamentos irreconciliáveis.

Os atacantes dividiram-se em duas partes quase iguais: aqueles que culpam os desenvolvedores do contrato inteligente e aqueles que acreditam que toda a empresa é culpada. Isso sem mencionar algumas vozes alegando que a arquitetura Ethereum (como contratos inteligentes imutáveis) é culpada. Eles geralmente são atendidos com a contrarreivindicação de que são as práticas de codificação e a maturidade do ciclo de desenvolvimento são o problema.

Consequências

Cerca de US $ 154 milhões permanecem presos nas carteiras afetadas. Uma vez que os contratos inteligentes em Ethereum são imutáveis, e nenhuma medida de alívio foi incluída no código, a única maneira de recuperar os fundos parece ser com um hard fork da rede Ethereum. Caso contrário, o Ether permanecerá nos contratos afetados para sempre. Isso causou mais discórdia na comunidade Ethereum. As pesquisas não oficiais do twitter mostram aproximadamente a divisão 50/50 de apoiadores e opositores à iniciativa, já que o fork anterior acabou quebrando o Ethereum em duas redes em conflito.

Existem várias possibilidades técnicas de como tal hard fork pode funcionar, inclusive implementando o EIP 156 ou colocando uma versão fixa da biblioteca no local. No entanto, esta é uma questão controversa, trazendo de volta tudo o que foi discutido em relação ao hack do DAO e ao resgate subsequente.

Partes afetadas

Os principais jogadores não se aproximam das proposições "pegar ou largar", esperando por mais detalhes da Parity. Como os fundos foram realmente congelados, não roubados, o desenvolvedor não está pressionado por limites de tempo - embora alguns considerem o crescente descontentamento dos usuários ser um teste mais duro.

No entanto, a maioria das empresas afetadas pelo hack já publicou declarações para confortar clientes e garantir que, de uma forma ou de outra, a questão será resolvida.

O multisig usado pela Web3 Foundation aceitar má contribuições para a Polkadot, também estabelecida por Gavin Wood, que foi o maior dos afetados, colocando o ETH fora de acesso. Felizmente a carteira de multisig afetada não continha todos os fundos. Portanto, a empresa alega que seu roteiro original não foi afetado. Eles ainda estão no processo de avaliar a perda e procurar soluções possíveis, mas parecem bastante serenos e confiantes sobre o futuro.

A plataforma Iconomi e seu sistema de armazenamento também afirma estar segura. US $ 35 milhões foram armazenados usando o contrato Parity Multisig afetado e permanecerão bloqueados até que a situação seja resolvida. Mas os recursos digitais de todos os usuários armazenados na plataforma estão completamente seguros e o funcionamento da plataforma não foi afetado. Os desenvolvedores da plataforma ficam positivos. Eles afirmam que o ecossistema Ethereum já provou ser capaz de responder rapidamente e se adaptar a desafios inesperados.

A plataforma Cappasity também assegura aos usuários que a plataforma e o conteúdo armazenado são seguros e a funcionalidade da plataforma não foi afetada. Embora os fundos levantados até agora durante o seu financiamento coletivo tenham sido armazenados em uma carteira multisig afetada da Parity, a empresa mantém a confiança. O financiamento coletivo foi retomado em modo regular, tendo trocado prontamente a outra carteira multisig após o ataque. Parece que a Cappasity estava totalmente pronta para o desafio: os parceiros existentes da empresa poderiam compensar os fundos bloqueados, se necessário. A equipe também realizou suas próprias pesquisas sobre o ataque, chegando a uma conclusão de que existe uma grande probabilidade de que este seja um hack deliberado (a evidência é fornecida no final da primeira declaração oficial da empresa).

Em geral, vemos que os principais jogadores estavam agindo com sabedoria, pois não colocaram todos os ovos em uma cesta. Esta parece ser a melhor estratégia possível, já que o Blockchain ainda é uma indústria nascente, e tem que passar por vários altos e baixos para elaborar as estratégias melhores e mais seguras.

O artigo foi escrito por Collis Aventinus, um especialista Blockchain no Modern Token.


Siga-nos no Facebook