Sátira y comentario
Un incidente ficticio de gobernanza de tesorería
Cómo una reserva de recompensas por errores de $500,000 se convirtió en un hackeo «avanzado» después de que las personas con las claves autorizaran la transferencia.
Esta página es una traducción automática del artículo original en inglés y no ha sido revisada por un editor humano; consulte el original en inglés como versión autorizada.
Sátira enteramente ficticia. Osprey Finance, su tesorería, participantes, transacciones, citas y acontecimientos son inventados. Esta parodia no describe ni alega conducta indebida por parte de ningún protocolo, empresa, persona, propuesta o acontecimiento real.
Ilustración: un incidente ficticio de tesorería, gobernanza de emergencia y un multisig conocido.
I. Una reserva de tesorería es descubierta, milagrosamente, en diciembre
En la semana final enteramente ficticia del año, el equipo central de Osprey Finance descubrió que todavía existía una tesorería de recompensas por errores de $500,000. La reserva estaba destinada a investigadores de seguridad independientes: personas que encuentran fallos peligrosos antes de que esos fallos encuentren a todos los demás.
Esto se consideraba un uso noble del capital, pero no urgente. El año estaba terminando. Los calendarios se estaban llenando. Surgió una oportunidad más inmediata: el dinero podía transferirse a un multisig controlado por los mismos miembros del equipo que sabían que existía la reserva, tenían acceso de firma y estaban disponibles para aprobar una emergencia.
Mesa de incidentes de Osprey Finance · Alerta de fin de año
Cronología simulada: el incidente de 78 minutos
- December 27 · 8:12 a.m. · Descubrimiento: Un panel del equipo detecta la tesorería inactiva de recompensas por errores de $500,000.
- December 27 · 8:19 a.m. · Replanteamiento: La reserva pasa a llamarse «liquidez de contención de incidentes» en un memorando interno.
- December 27 · 8:31 a.m. · Propuesta: OFP-365 se abre con un período de discusión de 17 minutos, porque el año está casi terminado.
- December 27 · 8:44 a.m. · Autorización: Los firmantes existentes aprueban una transferencia a su propio multisig de respuesta de emergencia.
- December 27 · 8:57 a.m. · Compensación: Los receptores se pagan a sí mismos una «compensación por respuesta de emergencia al incidente».
II. La propuesta de gobernanza llega sin siquiera quitarse los zapatos
La propuesta apresurada, OFP-365, describía la transferencia como una «realineación de liquidez para la contención de incidentes». Afirmaba que la tesorería había sufrido un «evento contable no autorizado», una frase que sonaba alarmante hasta que los lectores advirtieron que el evento contable había sido autorizado por las personas que tenían las claves de firma.
La ventana de discusión se fijó en 17 minutos. No era tiempo suficiente para revisar de forma independiente el historial de la cartera, contactar a investigadores de seguridad, preguntar quién controlaba el multisig de destino o terminar de leer la frase que contenía «realineación de liquidez para la contención de incidentes». Sin embargo, sí fue tiempo suficiente para que los autores de la propuesta publicaran que el silencio de la comunidad se había interpretado como apoyo.
Osprey Finance · OFP-365 · Reclasificación de emergencia de la tesorería
Acción solicitada: realinear $500,000 de la reserva independiente de recompensas por errores hacia un multisig de emergencia controlado por el equipo y, posteriormente, distribuir compensación por respuesta al incidente entre los respondedores autorizados.
«El evento está siendo tratado como un hackeo porque los fondos se movieron inesperadamente de su propósito original.»
Período de discusión: 17 minutos. Revisión independiente: no programada. Firmantes de destino: ya autorizados.
III. La comunidad plantea varias preguntas extremadamente avanzadas
Un miembro de la comunidad, que operaba bajo el nombre de usuario ficticio «PleaseCheckTheSigners», preguntó por qué las personas que firmaron la transacción eran también los investigadores, los autores de la propuesta y los receptores de la compensación. La pregunta se publicó a las 8:39 a.m., dejando ocho minutos para una respuesta sustantiva y nueve minutos para que el equipo la describiera como resuelta.
«Si los firmantes, los investigadores, los autores de la propuesta y los receptores son las mismas personas, ¿quién exactamente está investigando a quién?» — PleaseCheckTheSigners, miembro ficticio de la comunidad
El equipo central respondió que el acuerdo demostraba una sofisticación inusual. «Era avanzado precisamente porque estaba autorizado», dijo un líder ficticio del incidente. «Un hackeo común requeriría un atacante. Este fue un evento interno coordinado de seguridad que involucraba a personas con permiso, lo cual es mucho más difícil de explicar en un informe trimestral.»
Un segundo miembro del equipo añadió que calificar la transferencia como una operación en beneficio propio sería «prematuro hasta que se complete la revisión de operaciones en beneficio propio, realizada por los receptores». Se esperaba que la revisión fuera objetiva porque la compensación ya había sido aprobada.
IV. El informe del incidente concluye que todo salió conforme al plan
El informe de incidentes de fin de año de Osprey Finance concluyó que la tesorería de recompensas por errores no había sido robada en el sentido convencional. En su lugar, había experimentado una «sorpresa controlada», en la que firmantes autorizados movieron fondos que conocían a una cartera que controlaban y luego transformaron la emergencia resultante en un marco de compensación.
«La ausencia de un atacante externo no debería disminuir la complejidad del evento», declaró el informe. «El equipo identificó con éxito la reserva, aprobó la respuesta, transfirió la reserva y documentó la respuesta antes de que alguien pudiera confundir la secuencia de acontecimientos con un pago normal.»
Traducción del dialecto de gobernanza
Las personas con acceso al dinero decidieron moverlo, votaron rápidamente, lo enviaron a un multisig que controlaban y se pagaron a sí mismas por gestionar la situación.
V. La tesorería está a salvo de los investigadores independientes
Para cuando terminó el año ficticio, la reserva de recompensas por errores de $500,000 había sido protegida con éxito de su propósito previsto. Osprey Finance calificó el resultado como un triunfo de la gobernanza rápida, la respuesta avanzada a incidentes y un vocabulario capaz de hacer que una transferencia firmada sonara como un fenómeno meteorológico.
El equipo redactó el informe del incidente, aprobó la respuesta, movió el dinero y recibió la compensación. La única pregunta sin resolver era si la palabra «hackeo» describía la transacción, la contabilidad o la notable rapidez con que una reserva de seguridad se convirtió en una bonificación de fin de año.
En la gobernanza, el camino más corto entre «¿quién aprobó esto?» y «el incidente está contenido» puede ser un multisig con firmantes muy conocidos.