incrypted.com
- Hacken выявила риски концентрации админконтроля $USDT в трех блокчейнах/
- Около 91 млрд $USDT в сети TRON контролирует смартконтракт с двумя ключами подписи.
- В контракте нет временной блокировки, механизма отмены или другого способа откатить административные изменения.
Компания по кибербезопасности Hacken провела оценку стейблкоина $USDT в блокчейнах TRON, Ethereum и Solana, на которые совокупно приходится 98% его нативного предложения. Общий объем $USDT в этих сетях составляет около $184,6 млрд.
Практический анализ показал, что некоторые критические элементы управления стейблкоином зависят от небольшого количества подписантов и могут применяться без временной задержки.
Почти половина $USDT приходится на TRON
В сети TRON сосредоточено около половины всего предложения $USDT — ориентировочно $91,3 млрд.
Привилегированный контроль над этим объемом обеспечивается мультисиг-схемой 2-из-3. Для выполнения административной транзакции необходимо одобрение двух из трех определенных владельцев ключей.
Таким образом, компрометация двух ключей подписи потенциально может предоставить злоумышленнику контроль над привилегированными действиями, которые влияют на весь этот объем $USDT.
В то же время Hacken не выявила возможности захвата административного контроля с помощью только одного ключа.
Ключи используются в нескольких сетях
Hacken также обратила внимание на повторное использование одного набора ключей подписи в нескольких сетях. Ethereum, Avalanche и Celo используют один и тот же набор из шести ключей по схеме подтверждения 3-из-6. В Avalanche и Celo эти ключи дополнительно контролируют возможность замены кода токена.
Следовательно, компрометация трех подписантов потенциально может повлиять сразу на несколько развертываний $USDT, а не только на одну сеть.
Кроме того, по результатам оценки, для привилегированных операций $USDT не предусмотрены временные задержки. Выпуск новых токенов, заморозка адресов и, где это применимо, обновление смартконтрактов вступают в силу сразу после получения необходимого количества подписей.
По словам Hacken, наличие временной задержки создало бы промежуток между одобрением и выполнением транзакции, в течение которого защитники могли бы выявить и остановить потенциально вредоносную операцию.
Эмиссия не имеет ончейн-ограничений
Hacken полностью учла подтверждение резервов $USDT в своей оценке. В то же время компания снизила оценку из-за отсутствия ончейн-связи между проверкой резервов и непосредственной эмиссией токенов.
В проверенных путях выпуска стейблкоинов не выявили ончейн-ограничений на объем выпуска. После авторизации транзакции необходимым кворумом подписантов контракты не устанавливают дополнительных лимитов на сумму $USDT, которую можно выпустить.