IoTeX предлагает вознаграждение в 10% от украденных средств: хакер, вернувший активы в течение 48 часов, не будет привлечен к ответственности.

Межсетевые мосты, являющиеся ключевой инфраструктурой для соединения различных блокчейнов, всегда были предметом серьезных проблем с безопасностью. Инцидент с IoTeX вновь продемонстрировал уязвимости межсетевых мостов в управлении закрытыми ключами и операционных процессах. Утечка закрытых ключей привела к несанкционированному контролю над контрактом моста, что является типичным примером сбоя многоподписной или доверительной системы. Подобные проблемы часто встречаются в атаках на межсетевые мосты.

В качестве стратегии реагирования команда IoTeX приняла относительно прагматичный подход: отслеживание транзакций в сети для определения направления движения средств, сотрудничество с торговыми платформами для заморозки связанных адресов и предложение "вознаграждения в 10% + отсутствие ответственности" в качестве компромиссного решения. Этот комплексный подход зарекомендовал себя как эффективный способ возврата активов, особенно когда личность злоумышленника может быть установлена или средства еще не были полностью "отмыты". Однако следует отметить, что такой компромисс может быть истолкован как косвенное поощрение злонамеренных действий, и его следует использовать с осторожностью.

Сопутствующие статьи еще раз подчеркивают проблемы безопасности межсетевых мостов: в 2022 году потери от инцидентов безопасности, связанных с межсетевыми мостами, превысили 50% и затронули такие крупные проекты, как THORChain и Poly Network. Основная причина заключается в том, что межсетевые мосты часто требуют централизованных или полуцентрализованных систем управления, что делает их уязвимыми к единичным точкам отказа. Несмотря на то, что отрасль исследует решения для межсетевого взаимодействия без необходимости доверия (например, легкие узлы LayerZero или нативные межсетевые смарт-контракты ZetaChain), их технологическая зрелость и универсальность требуют дополнительного времени для проверки.

В данном инциденте IoTeX подчеркнула, что ее основная сеть и смарт-контракты не были затронуты, что соответствует типичной характеристике атак на межсетевые мосты, которые обычно ограничиваются контрактом самого моста. Однако границы безопасности активов пользователей всегда определяются самым слабым звеном, поэтому необходимо дальнейшее повышение безопасности межсетевых мостов, включая аудит, распределенное управление многоподписными схемами и механизмы мониторинга в реальном времени.

В заключение, внедрение механизма черного списка вредоносных адресов в основной сети является позитивным шагом, но он также подчеркивает парадокс, когда децентрализованные системы требуют централизованного вмешательства при столкновении с атаками. В долгосрочной перспективе безопасность межсетевого взаимодействия требует более фундаментальных решений, таких как использование доказательств с нулевым разглашением для проверки состояния межсетевого взаимодействия или протоколов взаимодействия, интегрированных в уровень консенсуса. Однако реализация таких решений сопряжена со значительными затратами и проблемами совместимости.