Switchboard pozastavil věštírny na čtyřech sítích. Incident odhaluje riziko sdílené infrastruktury DeFi

Switchboard pozastavil své věštírny založené na jazyce Move na sítích Aptos, Sui, IOTA a Movement poté, co se objevily zprávy o možné kompromitaci. Šlo o preventivní opatření: zastavení potenciálně nespolehlivých cenových aktualizací může zabránit tomu, aby další transakce v decentralizovaných financích (DeFi) vycházely z manipulovaných nebo zastaralých údajů. 2433

Finanční dopad incidentu je významný, jeho konečný rozsah však zatím není znám. Společnost Full Sail potvrdila ztrátu prostředků z trezorů na síti Sui po podezření na kompromitaci věštírny Switchboardu. Vklady i výběry pozastavila, dokud nebude možné ověřit integritu cenových dat. Výši ztráty neuvedla. 23

Na síti IOTA několik zpráv popsalo manipulaci ceny ve věštírně, která měla nahlášenou hodnotu tokenu zvýšit na 10 milionů dolarů. Incident byl spojován s vytěžením přibližně 4,94 milionu VUSD prostřednictvím protokolu Virtue a s likvidacemi pozic 45 uživatelů. Jde však o uváděné odhady, nikoli o definitivně a nezávisle potvrzený součet ztrát. 182425

Co Switchboard pozastavil

Opatření se týká Move-based nasazení Switchboardu na čtyřech ekosystémech:

• Aptos,
• Sui,
• IOTA,
• Movement.

Switchboard uvedl, že jeho přispěvatelé po zprávách o možném průniku koordinují postup s týmy jednotlivých ekosystémů a bezpečnostními organizacemi. Zároveň sdělil, že u jeho implementace pro Solanu nebyl hlášen obdobný incident. Uživatelům přesto doporučil, aby z preventivních důvodů dočasně přešli k alternativním řešením. 3334

Proč případ upozorňuje na riziko sdílené architektury

Současné pozastavení služeb na čtyřech sítích je důležité především kvůli možnému společnému bodu selhání. Riziko může být v samotné sdílené implementaci Switchboardu pro Move, v procesu nasazování, konfiguraci nebo provozní bezpečnosti — nikoli nutně v sítích Aptos, Sui, IOTA či Movement jednotlivě.

Toto rozlišení je zásadní. Dostupné zprávy nepotvrzují, že byl kompromitován jazyk Move nebo některý ze čtyř základních blockchainů. Nejasný zůstává také přesný způsob útoku. Některá média informovala o kompromitovaném klíči, předložené podklady však zatím neprokazují, zda byla příčinou skutečně krádež klíče, chyba při ověřování, nesprávná konfigurace, nebo jiný provozní problém. 1825

Jak může chybná cena z věštírny narušit DeFi

Věštírny poskytují cenové údaje, podle nichž chytré kontrakty vyhodnocují bezpečnost transakcí. Pokud aplikace přijme zmanipulovanou cenu, útočník může například:

• získat půjčku proti uměle nadhodnocenému kolaterálu;
• vytěžit aktiva při nesprávném ocenění;
• vyvolat neoprávněné likvidace;
• nebo provést jinou transakci závislou na ceně.

Po vypnutí věštírny vzniká opačný problém: aplikace nemusí mít k dispozici důvěryhodnou a aktuální cenu. Protokoly proto mohou pozastavit například:

• oceňování kolaterálu a poskytování půjček;
• likvidace;
• otevírání nových pozic;
• vypořádání swapů a derivátů;
• vklady, výběry a účetnictví trezorů;
• další transakce, které vyžadují čerstvý cenový údaj.

Opatrný protokol často raději „selže bezpečně“ a provoz zastaví, než aby pokračoval s daty, která mohou být zastaralá nebo zmanipulovaná. To může omezit další škody, zároveň ale zmrazí prostředky uživatelů a naruší běžné fungování trhu. Rozhodnutí Full Sailu pozastavit vklady i výběry ukazuje právě na tento kompromis. 23

Proč pomáhaly záložní cenové zdroje

Protokoly, které měly nezávisle získávané záložní cenové údaje od poskytovatelů, jako jsou Pyth nebo Chainlink, byly lépe připravené na pokračování provozu nebo rychlejší obnovení funkcí. Mohly porovnávat ceny, přepnout na jiného poskytovatele a vyhnout se tomu, aby jediná věštírna představovala kritický bod selhání.

Redundance samozřejmě není úplnou bezpečnostní zárukou. I záložní zdroje vyžadují správnou integraci, konfiguraci a nastavení řídicích mechanismů. Nezávislé datové zdroje však mohou omezit rozsah škod způsobených výpadkem nebo kompromitací jediného poskytovatele.

Proč se Solana posuzuje odlišně

Implementace Switchboardu pro Solanu a další sítě kompatibilní se Solanou (SVM) je vedena jako samostatné nasazení a používá vlastní způsob aktualizace a ověřování, včetně ověřování podpisů Ed25519. 1 Toto architektonické oddělení pomáhá vysvětlit, proč se hlášený incident zpočátku týkal pouze Move-based nasazení a automaticky se nerozšířil také na Solanu.

Tvrzení, že nebyl hlášen obdobný případ, ale neznamená důkaz, že Solana byla vůči incidentu imunní. Doporučení dočasně přejít k alternativám odráželo nejistotu během probíhajícího vyšetřování — i u implementace, u níž nebyl znám odpovídající incident. 3334

Co zatím zůstává nejasné

Z dostupných zpráv stále nelze odpovědět na několik klíčových otázek:

• Jak přesně k průniku nebo zneužití došlo?
• Byl skutečně kompromitován privátní klíč, nebo šlo o chybu v kódu, konfiguraci či provozních procesech?
• Které aplikace, aktiva, pozice uživatelů a sítě byly zasaženy nad rámec dosud popsaných případů?
• Jaká je celková hodnota ztrát?
• Potvrdí se všechny uváděné údaje o vytěžení tokenů a likvidacích po analýze blockchainových dat?
• Budou poškození uživatelé odškodněni a kdy bude možné Move-based cenové zdroje bezpečně znovu spustit?

Dostupné důkazy umožňují popsat případ jako závažný bezpečnostní incident týkající se DeFi věšteb, s potvrzenými ztrátami v trezorech Full Sailu a s hlášeným zneužitím na IOTA. Nepodporují však definitivní vyčíslení celkových škod ani závěr, že incident sám o sobě dokazuje širší nárůst DeFi útoků. K takovým tvrzením bude potřeba dokončené vyšetřování a spolehlivá data za celý obor.