Giá Lido Staked Ether

Lido bị hack và $RPL tăng giá. Quá quen thuộc.

Sáng nay, một trong các khóa ký của oracle Lido, được vận hành bởi Chorus One, đã bị xâm phạm. Điều này có ý nghĩa gì? () Quan trọng nhất: Oracle không phải là multi-sig. Nó không lưu giữ quỹ và không thể rút cạn giao thức. Không có khoản tiền gửi nào của người dùng từng gặp rủi ro. Vậy chính xác thì oracle này dùng để làm gì? Lido sử dụng một oracle 5-trong-9 để báo cáo trạng thái lớp đồng thuận Ethereum cho các hợp đồng thông minh lớp thực thi Ethereum. Về cơ bản, nó thông báo cho các hợp đồng Lido về số tiền mà các validator kiếm được cho người dùng trong ngày, liệu có bất kỳ sự cắt giảm nào xảy ra, v.v. Kịch bản xấu nhất là gì? Nếu toàn bộ oracle bị xâm phạm, nó có thể báo cáo sai trạng thái lớp đồng thuận, khiến stETH điều chỉnh nhẹ theo cả hai hướng. Tuy nhiên, tác động bị giới hạn đáng kể, vì giao thức Lido nghiêm ngặt giới hạn các cập nhật oracle mà nó chấp nhận. Bạn có thể đã nghe nói rằng kẻ tấn công đã đánh cắp 1.4 ETH. Đúng vậy—nhưng đây chỉ là tiền gas nằm trong tài khoản bị xâm phạm, không liên quan đến giao thức. Do cách oracle tổng hợp báo cáo từ nhiều người ký, việc xâm phạm thậm chí bốn khóa cũng không ảnh hưởng đến kết quả cuối cùng. Ngay cả với năm hoặc nhiều hơn, thiệt hại tiềm năng cũng bị giới hạn chặt chẽ. Việc trạng thái CL không trực tiếp có sẵn trên EL là một hạn chế đã biết của Ethereum mà tất cả các nhóm staking đều phải đối mặt. Thực tế, đây là một ví dụ hoàn hảo về cách Lido tiếp cận bảo mật—tích cực củng cố tất cả các phụ thuộc bên ngoài. Không chỉ Lido có các kiểm tra hợp lý chặt chẽ đối với các cập nhật được phép, mà vào năm tới, toàn bộ cơ chế sẽ chuyển sang bằng chứng ZK. ( Để biết thêm chi tiết về sự cố hôm nay, những hiểu biết kỹ thuật về thiết kế oracle của Lido, và điều gì làm cho văn hóa bảo mật của chúng tôi nổi bật, hãy xem chuỗi bài viết của Izzy nhé:

Một sự cố liên quan đến oracle nghe có vẻ (và thực sự) tồi tệ. Tuy nhiên, thiết kế của Lido, tinh thần của các bên liên quan, và văn hóa đóng góp hướng đến bảo mật có nghĩa là sự kiện này có rất ít tác động, và ngay cả khi oracle bị xâm phạm hoàn toàn cũng không phải là thảm họa. Đây là điều làm @lidofinance trở nên khác biệt.

anh bạn có thể đã đánh cắp 8 con số & đã chấp nhận 1.4 eth vì anh ấy không thể chờ đợi thiên nga đen đã tránh được

Cập nhật Oracle Lido🚨 Vào ngày 9 tháng 5, một ví do Chorus One quản lý và được sử dụng để bỏ phiếu trong Oracle Lido đã bị xâm nhập. Kẻ tấn công đã rút 1.4 ETH từ ví này. Ví đã được loại bỏ khỏi các danh sách cho phép oracle khác và chuyển sang một địa chỉ mới. Một cuộc bỏ phiếu khẩn cấp của DAO đang được tiến hành. Đội ngũ của chúng tôi đã làm việc không ngừng nghỉ cùng với Lido để điều tra nguyên nhân gốc rễ. Những phát hiện sơ bộ cho thấy khóa riêng của ví, được tạo ra vào năm 2021, đã được lưu trữ không đúng cách trong tài khoản LastPass bởi một thành viên trong nhóm. Điều này đã vi phạm các chính sách bảo mật nội bộ của chúng tôi vào thời điểm đó. Chúng tôi đã hoàn toàn ngừng sử dụng LastPass và cải tổ cơ sở hạ tầng quản lý khóa của mình trong quá trình chứng nhận ISO 27001, hoàn thành vào năm 2024. Ví này không được sử dụng để lưu trữ tài sản, điều này có thể đã góp phần vào việc xử lý sai ban đầu. Tại thời điểm viết bài, theo quan điểm của chúng tôi, không có quỹ khách hàng hoặc cơ sở hạ tầng trình xác thực nào bị ảnh hưởng, và sự cố này vẫn là một trường hợp riêng lẻ. Chúng tôi sẽ chia sẻ một báo cáo đầy đủ sau khi cuộc điều tra đang diễn ra kết thúc.