Monad, a co-founder of Monad, released a 10-item security self-check checklist for protocols, emphasizing key risks associated with multi-signature and access control.
Monad, один из основателей компании Monad, опубликовал контрольный список из 10 пунктов для оценки безопасности протоколов, подчеркивающий ключевые риски, связанные с многосторонней подписью и контролем доступа.
PANews сообщила 3 апреля, что Кеоне Хон, сооснователь Monad, опубликовал в социальной сети X контрольный список, посвященный основным вопросам, таким как права управления, безопасность средств и проектирование механизма многосторонней подписи. Контрольный список включает десять ключевых пунктов:
- Определите, какие административные функции могут привести к финансовым потерям.
- Убедитесь, что все связанные операции имеют временные ограничения.
- Создайте механизм мониторинга в режиме реального времени.
- Предоставляйте своевременные уведомления при вызове административных функций.
- Просмотрите все привилегированные учетные записи и, по возможности, используйте структуру многосторонней подписи (k-of-n).
- Четко определите параметры пороговых значений для подписи.
- Подписывающие стороны, использующие многостороннюю подпись, должны использовать отдельное защищенное устройство, предназначенное исключительно для операций подписи, и следовать передовым практикам (например, независимо проверять хеши транзакций).
- Установите лимиты на вывод средств и избегайте того, чтобы они контролировались одной и той же группой многосторонней подписи.
- Убедитесь, что устройства сотрудников имеют возможность обнаруживать и управлять вредоносным программным обеспечением.
- Заранее определите экстремальные сценарии, в которых скомпрометированы несколько подписывающих сторон, проведите обратную разработку потенциальных путей атаки с точки зрения злоумышленника и оптимизируйте структуру системы соответствующим образом, чтобы увеличить стоимость и сложность атаки.
Согласно предыдущим сообщениям, за неделю до хакерской атаки, в результате которой было украдено 285 миллионов долларов, протокол Drift Protocol изменил механизм многосторонней подписи на "2/5" (1 старый подписант + 4 новых подписанта) и не установил временное ограничение. Затем злоумышленники получили административные привилегии, подделали токены CVT, манипулировали оракулами, отключили механизмы безопасности и перевели активы с высоким значением из пула ликвидности.