Дебати віри в індустрії Блокчейн: роздуми, викликані подією Sui

У нещодавньому випадку сила капіталу, здається, перемогла інтереси користувачів, що може стати кроком назад для розвитку галузі. З кожним випадком підриву ідеї децентралізації віра людей у біткойн стає ще сильнішою.

Світ потребує не лише набору кращих глобальних фінансових інфраструктур, але й необхідно постійно зберігати вільний простір. Озираючись у минуле, альянс-блоки колись були популярніші за публічні блоки, адже вони відповідали регуляторним вимогам того часу. Сьогодні занепад альянс-блоків насправді означає, що просте дотримання регуляторних вимог не може задовольнити реальні потреби користувачів.

Огляд подій

22 травня 2025 року найбільша децентралізована біржа в екосистемі блокчейну Sui зазнала хакерської атаки, що призвела до різкого зменшення ліквідності, обвалу цін на кілька торгових пар і збитків, що перевищують 220 мільйонів доларів.

Після події зацікавлені сторони швидко вжили заходів:

• 22 травня: Біржа терміново призупинила контракти та опублікувала оголошення; Хакер перевів частину коштів через мережу; Верифікаційні вузли внесли адресу хакера до "чорного списку" для відмови в обслуговуванні, заморозивши залишкові кошти.
• 23-24 травня: Біржа починає виправлення вразливостей та оновлення контракту; публічна блокчейн-PR, що пояснює, як незабаром буде здійснено повернення коштів через механізм псевдонімів та білий список.
• З 26 по 29 травня: запуск голосування з управління в блокчейні, пропозиція щодо виконання оновлення протоколу, переведення активів хакера на ескроу-адресу; результати голосування показують, що понад 2/3 ваги валідаційних вузлів підтримують.
• З 30 травня до початку червня: оновлення протоколу вступає в силу, виконуються вказані хеші транзакцій, активи хакера "легально переводяться".

Принцип атаки

Зловмисники спочатку скористалися кредитом на блискавичну позику, взявши в борг велику кількість токенів, що призвело до обвалу ціни в торговому пулі на 99.90%. Потім зловмисники створили ліквідність у дуже вузькому ціновому діапазоні, що посилило вплив наступних обчислювальних помилок на потрібну кількість токенів.

Атаку викликано тим, що в функції, яка використовується біржею для розрахунку необхідної кількості токенів, є вразливість до переповнення цілого числа. Зловмисник заявляє, що хоче додати величезну ліквідність, але насправді інвестує лише невелику кількість токенів. Через помилку в умовах перевірки система під час розрахунків зазнає обрізання старших розрядів, що призводить до серйозного заниження необхідної кількості токенів, в результаті чого зловмисник отримує величезну ліквідність за дуже низьку вартість.

Заходи для публічних блокчейнів

Громадський блокчейн використовує два етапи операцій: "замороження" та "повернення".

1. Етап замороження: здійснюється за допомогою вбудованого механізму списку відмов і консенсусу вузлів.
2. Стадія повернення: обхід чорного списку шляхом оновлення протоколу в мережі, голосування спільноти та виконання призначених транзакцій.

Токен стандарту публічної блокчейн-системи сам по собі має режим "регульованих токенів" з вбудованою функцією заморожування. Вузли-верифікатори можуть швидко додавати адреси, пов'язані з вкраденими коштами, у локальному конфігураційному файлі. Для забезпечення узгодженості мережі фонд, як первинний постачальник конфігурації, здійснив централізовану координацію.

Потім команда публічної блокчейн-мережі запровадила патч механізму білого списку, який дозволяє попередньо додавати певні транзакції до "списку без перевірки", завдяки чому ці транзакції можуть пропустити всі перевірки безпеки, включаючи підписи, права доступу та чорний список тощо.

Реалізація "передачі коштів"

Громадський блокчейн не лише заморозив активи хакерів, а й планує через оновлення в ланцюгу "перенести повернуті" викрадені кошти. Після схвалення голосуванням спільноти, громадський блокчейн запровадив механізм псевдонімів адрес. Оновлення включає попереднє визначення правил псевдонімів у налаштуваннях протоколу, що дозволяє певним дозволеним транзакціям вважати легітимні підписи відправленими з рахунків хакерів.

Конкретна реалізація полягає в тому, щоб зв'язати список хешів рятувальних транзакцій, які потрібно виконати, з цільовою адресою (тобто адресою хакера); будь-який виконавець, який підписує та публікує ці фіксовані підсумки транзакцій, вважається, що є дійсним власником адреси хакера, який ініціював транзакцію. Для цих конкретних транзакцій система вузлів перевірки обійде перевірку списку відмов.

Вплив на індустрію та роздуми

Ця подія підриває традиційний консенсус у індустрії Блокчейн "код є законом", формуючи нову модель "голосування, яке вирішує результати коду". На відміну від попередніх практик, коли для скасування транзакцій використовували жорстке розгалуження, ця операція зберегла безперервність ланцюга, але також показала, що базовий протокол може бути використаний для реалізації цільових "рятувальних дій".

Цей підхід викликав сумніви щодо основних принципів Блокчейн: якщо ланцюг може порушити правила заради справедливості, чи не має він також прецеденту для порушення будь-яких правил? Чи означає це, що принцип "Not your keys, not your coins" в деяких ланцюгах руйнується?

З довгострокової перспективи це може стати новою моделлю для Блокчейн у відповідь на великі безпекові інциденти. Проте це також приносить цілу низку проблем:

1. Яка основа для голосування? Це залежить від кількості токенів чи від кількості людей?
2. Якщо хакери контролюють велику кількість голосів, чи можуть вони "легально відбілити" свої дії?
3. Чи призведе така практика до того, що Блокчейн стане регіональним інструментом, стискаючи загальну цінність галузі?

Справжня цінність Блокчейн полягає в тому, що навіть якщо група має можливість втрутитися, вона обирає цього не робити. Майбутнє ланцюга визначається не лише його технологічною архітектурою, а й набором вірувань, які він обирає захищати. Під час прагнення до ефективності та регулювання, питання про те, як зберегти душу децентралізації, стане темою для глибоких роздумів у всій індустрії.