סאטירה ופרשנות
תקרית ממשל אוצר בדיונית
כיצד עתודת פרסי באגים בסך $500,000 הפכה לפריצה "מתקדמת" לאחר שהאנשים שהחזיקו במפתחות אישרו את ההעברה.
דף זה הוא תרגום מכונה של המאמר המקורי באנגלית, שלא נבדק בידי עורך אנושי; לגרסה הסמכותית, נא לעיין במקור האנגלי.
סאטירה בדיונית לחלוטין: Osprey Finance, האוצר שלה, המשתתפים, העסקאות, הציטוטים והאירועים כולם מומצאים. פרודיה זו אינה מתארת או טוענת להתנהגות פסולה מצד שום פרוטוקול, חברה, אדם, הצעה או אירוע אמיתיים. מדובר בפרשנות סאטירית, ולא בדיווח או בייעוץ השקעות.
איור: תקרית אוצר בדיונית, ממשל חירום ו-multisig מוכר.
I. עתודת אוצר מתגלה, באורח פלא, בדצמבר
בשבוע האחרון והבדיוני לחלוטין של השנה, צוות הליבה ב-Osprey Finance גילה שעדיין קיימת עתודת אוצר לפרסי באגים בסך $500,000. העתודה נועדה לחוקרי אבטחה עצמאיים: אנשים שמוצאים פגמים מסוכנים לפני שהפגמים האלה מוצאים את כולם.
דבר זה נחשב לשימוש אצילי בהון, אך לא לדחוף. השנה עמדה להסתיים. היומנים התמלאו. הזדמנות מיידית יותר הציגה את עצמה: ניתן היה להעביר את הכסף ל-multisig שנשלט בידי אותם חברי צוות שידעו שהעתודה קיימת, שהייתה להם גישת חתימה, ושהיו זמינים לאשר מצב חירום.
עמדת התקריות של Osprey Finance
התראת סוף שנה
ציר זמן מדומה
תקרית ה-78 דקות
- December 27 · 8:12 a.m. — גילוי: לוח מחוונים של הצוות מזהה את עתודת האוצר הרדומה של $500,000 לפרסי באגים.
- December 27 · 8:19 a.m. — מסגור מחדש: העתודה מקבלת תווית חדשה, "נזילות לבלימת תקרית", בתזכיר פנימי.
- December 27 · 8:31 a.m. — הצעה: OFP-365 נפתחת עם תקופת דיון של 17 דקות, משום שהשנה כמעט הסתיימה.
- December 27 · 8:44 a.m. — הרשאה: חותמים קיימים מאשרים העברה ל-multisig משלהם לתגובה למצב חירום.
- December 27 · 8:57 a.m. — תגמול: הנמענים משלמים לעצמם "תגמול חירום על תגובה לתקרית".
II. הצעת הממשל מגיעה כשנעליה עדיין עליה
ההצעה החפוזה, OFP-365, תיארה את ההעברה כ"יישור מחדש של נזילות לבלימת תקרית". בהצעה נאמר כי האוצר חווה "אירוע חשבונאי בלתי מורשה", ביטוי שנשמע מדאיג עד שהקוראים הבחינו כי האירוע החשבונאי אושר בידי האנשים שהחזיקו במפתחות החתימה.
חלון הדיון נקבע ל-17 דקות. זה לא היה זמן מספיק כדי לבחון באופן עצמאי את היסטוריית הארנק, ליצור קשר עם חוקרי אבטחה, לשאול מי שלט ב-multisig של היעד, או לסיים לקרוא את המשפט הכולל את "יישור מחדש של נזילות לבלימת תקרית". עם זאת, זה הספיק למחברי ההצעה לפרסם כי שתיקת הקהילה פורשה כתמיכה.
Osprey Finance · OFP-365
סיווג מחדש לשעת חירום של האוצר
פעולה מבוקשת: ליישר מחדש $500,000 מעתודת פרסי הבאגים העצמאית אל multisig לשעת חירום הנשלט בידי הצוות, ולאחר מכן לחלק תגמול על תגובה לתקרית למגיבים המורשים.
“האירוע מטופל כפריצה משום שהכספים נעו באופן בלתי צפוי מן הייעוד המקורי שלהם.”
תקופת דיון: 17 דקות. בחינה עצמאית: לא תוכננה. חותמי היעד: כבר מורשים.
III. הקהילה שואלת כמה שאלות מתקדמות במיוחד
חבר קהילה אחד, שפעל תחת שם המשתמש הבדיוני "PleaseCheckTheSigners", שאל מדוע האנשים שחתמו על העסקה היו גם החוקרים, מחברי ההצעה ומקבלי התגמול. השאלה פורסמה ב-8:39 a.m., והותירה שמונה דקות לתשובה משמעותית ותשע דקות לצוות כדי לתאר אותה כפתורה.
“אם החותמים, החוקרים, מחברי ההצעה והנמענים הם אותם אנשים, מי בדיוק חוקר את מי?” — PleaseCheckTheSigners, חבר קהילה בדיוני
צוות הליבה השיב כי ההסדר הפגין תחכום חריג. "זה היה מתקדם בדיוק משום שהוא היה מורשה", אמר אחד ממובילי התקרית הבדיוניים. "פריצה רגילה הייתה דורשת תוקף. זה היה אירוע אבטחה פנימי מתואם, שכלל אנשים בעלי הרשאה, ולכן קשה הרבה יותר להסביר אותו בדוח רבעוני."
חבר צוות שני הוסיף כי כינוי ההעברה עסקה עצמית יהיה "מוקדם מדי עד שתושלם בחינת העסקה העצמית, המנוהלת בידי הנמענים". הבדיקה הייתה צפויה להיות אובייקטיבית משום שהתגמול כבר אושר.
IV. דוח התקרית קובע שהכול התנהל לפי התוכנית
דוח התקרית לסוף השנה של Osprey Finance הסיק כי אוצר פרסי הבאגים לא נגנב במובן המקובל. במקום זאת, הוא עבר "הפתעה מבוקרת", שבה חותמים מורשים העבירו כספים שידעו עליהם לארנק שהיה בשליטתם, ולאחר מכן המירו את מצב החירום שנוצר למסגרת תגמול.
“היעדרו של תוקף חיצוני לא אמור להפחית ממורכבות האירוע”, צוין בדוח. “הצוות זיהה בהצלחה את העתודה, אישר את התגובה, העביר את העתודה ותיעד את התגובה, לפני שמישהו יכול היה לבלבל בין רצף האירועים לבין תשלום רגיל.”
תרגום מניב הממשל
האנשים שהייתה להם גישה לכסף החליטו להעביר אותו, הצביעו במהירות, שלחו אותו ל-multisig שבשליטתם, ושילמו לעצמם עבור הטיפול במצב.
V. האוצר בטוח מפני חוקרים עצמאיים
עד שהשנה הבדיונית הסתיימה, עתודת פרסי הבאגים בסך $500,000 הוגנה בהצלחה מפני ייעודה המקורי. Osprey Finance כינתה את התוצאה ניצחון של ממשל מהיר, תגובה מתקדמת לתקריות ואוצר מילים שיכול לגרום להעברה חתומה להישמע כמו אירוע מזג אוויר.
הצוות כתב את דוח התקרית, אישר את התגובה, העביר את הכסף וקיבל את התגמול. השאלה הפתוחה היחידה הייתה אם המילה "פריצה" תיארה את העסקה, את החשבונאות, או את המהירות המרשימה שבה עתודת אבטחה הפכה לבונוס סוף שנה.
בממשל, המסלול הקצר ביותר מ"מי אישר את זה?" ל"התקרית נבלמה" עשוי להיות multisig עם חותמים מוכרים מאוד.