X100 və Arkadiko İdarəetmə Hücumunun İcmalı: Niyə Kilidləmə və Uzun Səsvermə Müddətləri Uğursuz Oldu?

Kripto layihələrində idarəetmə tampon mexanizmləri tələb edir.

Yazdı: Liam Akiba Wright

Tərtib etdi: Chopper, Foresight News

Son dövrlərdə baş verən idarəetmə hücumları eyni dizayn qüsurlarını ortaya çıxardı. Hücumçular Ethereum ekosistem layihəsi X100-də iki idarəetmə yerini ələ keçirərək, 24 oktyabrda on-chain əməliyyat vasitəsilə xəzinə köçürmələrini təsdiqlədilər, eyni zamanda bir flash kreditini geri ödədilər.

Arkadiko kredit protokolu istifadəçilərə xəzinə aktivləri ilə borc almağa imkan tanıyır. Layihə üçün səsvermə, əvvəlcə 5 gün üçün təyin edilsə də, erkən başa çatdı; hücumçular səsvermə bitməzdən əvvəl tokenləri alaraq iştirak etdilər. Zərərli təklif təsdiqləndikdən sonra, heç bir soyuma müddəti olmadı və müqavilə dərhal xəzinə aktivlərini ələ keçirdi.

Bu iki hadisə eyni problemi ortaya qoyur: fondların kilidlənməsi, səsvermə hüquqlarının əldə edilməsi və təklifin icrası arasında bir dizayn boşluğu var. X100 tokeninin bir illik kilidləmə müddəti var ki, bu da zərərli fəaliyyətlərin xərclərini artırır, lakin səsvermə hüquqlarının effektivliyini gecikdirmir; Arkadiko uzun səsvermə müddətinə malikdir, bu da bazar müşahidəsi üçün vaxt tanıyır, lakin səsvermənin sonunda ani fond axınını əngəlləmir. Hər iki dizayn, təklif təsdiqləndikdən sonra icma üçün risklərə cavab vermək üçün bir tampon pəncərə buraxmır.

X100 Staked Tokenləri Kilidli, Lakin İdarəetmə Hüquqları Qazanır

X100-ün Freezer müqaviləsi kilidli X tokenlərini saxlayır, stake edilmiş paylar idarəetmə komitəsi namizədlərinin sıralamasını müəyyən edir. Kilidləmə müddətləri 1 il, 3 il və 5 il olaraq bölünür, lakin müqavilə stake etmək üçün minimum saxlanma müddətini tələb etmir. 24 oktyabrda baş verən hücumda, iki köməkçi müqavilə hər biri 19000.000001 X tokenini stake etdi, bir illik kilidləmə seçərək. Onlar kimliklərini qeyd etdilər, idarəetmə komitəsi sıralamasına daxil oldular və iki kritik səs verdilər, bu da 7-ci təklifin icra olunmasına imkan tanıdı. Bütün əməliyyat tək bir əməliyyatla tamamlandı.

Bu idarəetmə mexanizmi məcburi gözləmə müddətini tətbiq etmir: təklifin açıq mərhələsində, idarəetmə komitəsinin əksəriyyəti icranı birbaşa səlahiyyət verə bilər. Hücumçular 3 yerin 2-sini idarə edirdilər, artıq dərhal icra hüquqlarına sahib idilər. Təklif keçdikdən sonra, xəzinədən 400,000 X tokeni hücumçular tərəfindən yaradılan yeni bir hovuzda köçürüldü, Freezer müqaviləsi isə yalnız 35.675313 USDT aldı. Hücumçular daha sonra hovuzdan tokenləri çıxardaraq X satdılar və flash kreditini geri ödəmək üçün vəsait əldə etdilər.

Stake edilmiş tokenlər bütün müddət ərzində kilidli qaldı və hücumçular stake edilmiş paylarını açmağa ehtiyac duymadılar; onlar sadəcə xəzinədən aktivləri oğurladılar və token satışlarından əldə etdikləri gəliri geri ödəmək üçün istifadə etdilər. Hücum əməliyyatı əsas + faiz ödəməsini tamamladıqdan sonra, təxminən 4.75 milyon USDT son qəbul ünvanına axdı. ChainBounty iştirakçısı Philippark bu vəsaitləri izləyib, bunlar satılmamış X tokenlərini və onların dəyişkən dəyərini əhatə etmir, yalnız izlənilə bilən köçürmələri nəzərə alır.

Freezer müqaviləsinin özündə bir məhdudiyyət var: əməliyyat icra edildikdən sonra, müqavilədəki X balansı bütün istifadəçilərin stake edilmiş kilidli əsasını əhatə etməlidir. Bu qayda yalnız istifadəçilərin stake edilmiş əsasını qoruyur və xarici fondların likvidliyini və ya tokenlərin ikinci bazar qiymətini təmin etmir.

Arkadiko: Gec Giriş Fondları Səsvermədə İştirak Edə Bilər

Arkadiko-nun 12-ci təklifi 17 oktyabr UTC 20:35-də təqdim edilib və 22 oktyabr UTC 16:04-də icra olunub. İdarəetmə müqaviləsi səsvermə pəncərəsini 720 Bitcoin blokuna təyin edir ki, bu da adətən 5 gün olaraq adlandırılır.

Qaydalar tələb edir ki, təklifçi uyğun DIKO (Arkadiko-nun idarəetmə tokeni) təchizatının 0.25%-ni saxlamalıdır və səsvermə iştirak nisbəti 5%-i keçməlidir ki, bu da kvorum təşkil etsin; təklif, lehinə olan səs sayı əleyhinə olanlardan çox olduqda keçmiş sayılır. Dolaşım təchizatı hesablaması ilkin ayrılma müqaviləsindəki DIKO-ları istisna edir. Müqavilə qaydaları səs verənlərin təklif təqdim edilməzdən əvvəl token saxlamalarını tələb etmir. Hücumçunun cüzdanı 22 oktyabr UTC 15:03-də tokenləri alıb və 15:06-da səs verməyi tamamlayıb, təxminən 4.573 milyon DIKO səs verib.

Bitquery tərəfindən on-chain izləmə göstərir ki, hücumçunun səsvermə cüzdanına daxil olan STX-in 77%-i daha əvvəl StackSwap-dan oğurlanmış vəsaitlərdən gəlib. (Qeyd: StackSwap 20 oktyabrda idarəetmə hücumuna məruz qalan Stacks ekosistemində bir DEX-dir.)

Hücumçular bir neçə gün ərzində bir neçə əməliyyat vasitəsilə vəsait hazırladılar ki, bu da X100-ün tək əməliyyat flash kredit modelindən açıq bir fərqdir. Bu hücumun açarı, açıq səsvermə müddətində, sonradan alınan tokenlərin dərhal səsvermə hüququ qazanmasıdır. Səsvermə bağlandıqdan sonra, təklif birbaşa qüvvəyə minir, səsin keçməsi ilə müqavilə səlahiyyətləri arasında heç bir soyuma müddəti olmadan.

Aktivləşdirilmiş Arkadiko xəzinə əməliyyat müqaviləsi bir zəifliyə malikdir: çıxarış və USDA minting funksiyaları çağıran icazə yoxlamalarından məhrumdur. 12-ci təklif bu zərərli müqaviləni xəzinə əməliyyat müqaviləsi kimi qeyd etdi, minting icazələri verdi. Təklif qüvvəyə mindikdən bir neçə dəqiqə sonra, UTC 16:06-da, hücumçular sBTC-ni köçürdülər; 16:09-da, stSTX-i köçürdülər. Bitquery bu hadisədə Arkadiko-nun itkisinin təxminən 1.09 milyon dollar olduğunu qiymətləndirir: 780,000 dollar stSTX, 135,000 dollar sBTC və hücumçuların təminatsız USDT minting edib satmasından 173,000 dollar.

22 oktyabrda yayımlanan cavab yazısında Arkadiko, zərərli müqaviləni deaktiv etdiyini və idarəetməni, xəzinə geri alımlarını və likvidasiyaları dayandırdığını bildirdi. Şirkət, təsirə məruz qalan stSTX və sBTC xəzinəsinin dəyişdirilə bilmədiyini, çünki onların təminatı mövcud olmadığını qeyd etdi. 27 oktyabrda 14-cü təklif