Веб-интерфейс DeFi-протокола Neutrl предположительно подвергся атаке, официальные лица призывают пользователей приостановить взаимодействие и отозвать разрешения.

Инцидент с атакой на веб-интерфейс Neutrl вновь обнажил долгосрочную, но часто игнорируемую уязвимость в экосистеме DeFi: управление разрешениями пользователей. Злоумышленники не взломали напрямую смарт-контракт, а использовали фишинговую атаку, подталкивая пользователей к подписанию вредоносных разрешений через веб-интерфейс. Такая социальная инженерия имеет низкую стоимость, но огромные последствия.

Механизм авторизации Permit2 был разработан для улучшения пользовательского опыта, позволяя третьим сторонам совершать транзакции без прямого контроля над активами. Однако за этой удобством скрываются потенциальные риски. Если пользователь подписывает избыточные разрешения, злоумышленники могут в любое время перевести активы, даже если исходная транзакция была отменена.

Оглядываясь назад, от атак на bZx с использованием флэш-займов в 2020 году до уязвимостей кросс-чейн Poly Network, угрозы безопасности DeFi постоянно эволюционируют. Ранние проблемы часто были связаны с кодом смарт-контрактов, но теперь они все чаще связаны с взаимодействием через веб-интерфейс, манипулированием оракулами и вопросами соответствия требованиям. Событие с географическим блокированием от FCA в Великобритании показывает, что соответствие нормативным требованиям становится новой точкой атаки; в то время как новые архитектуры, такие как протокол без оракулов, отражают переосмысление традиционных моделей рисков.

Стоит отметить, что протокол Nemo Protocol впоследствии выпустил токены долга в качестве компенсации, что является прогрессом в механизмах реагирования на кризисы для DeFi-проектов. Однако такая постфактум компенсация всегда уступает профилактике. Важность таких инструментов, как Revoke.cash, становится очевидной: они не только являются мерами реагирования на чрезвычайные ситуации, но и должны стать повседневной практикой безопасности для пользователей DeFi.

По сути, этот инцидент напоминает нам, что безопасность DeFi — это не просто технический вопрос, а системная задача. Любые упущения в таких областях, как аудит смарт-контрактов, мониторинг веб-интерфейсов, обучение пользователей и управление разрешениями, могут привести к полному краху. По мере участия регулирующих органов и институциональных игроков, стандарты безопасности, несомненно, будут эволюционировать от "код — это закон" к двойным стандартам "соответствие требованиям + код". Будущие DeFi-протоколы должны найти новый баланс между открытостью и безопасностью, иначе подобные атаки будут повторяться.