Switchboard wstrzymuje wyrocznie na czterech sieciach. Incydent odsłania ryzyko wspólnej infrastruktury DeFi

Switchboard wstrzymał usługi wyroczni oparte na języku Move na Aptos, Sui, IOTA i Movement. Decyzja była działaniem ograniczającym ryzyko: zatrzymanie potencjalnie niewiarygodnych aktualizacji cen miało zapobiec kolejnym transakcjom DeFi opartym na zmanipulowanych lub nieaktualnych danych. 2433

Skala finansowych konsekwencji jest poważna, ale nadal nie została w pełni ustalona. Full Sail potwierdził utratę środków z sejfów na Sui po podejrzeniu przejęcia wyroczni Switchboarda. Protokół wstrzymał wpłaty i wypłaty do czasu potwierdzenia integralności danych oracle, nie podając kwoty strat. 23

Na IOTA liczne relacje opisywały manipulację ceną wyroczni, która miała podnieść raportowaną wartość tokena do 10 mln dolarów. Według tych doniesień przez protokół Virtue wybito około 4,94 mln VUSD, a likwidacje dotknęły 45 użytkowników. Virtue miało następnie wyłączyć działalność. Są to jednak raportowane szacunki, a nie ostatecznie i niezależnie potwierdzona suma strat. 182425

Co dokładnie zawiesił Switchboard

Tymczasowym zatrzymaniem objęto wdrożenia Switchboarda wykorzystujące Move na czterech ekosystemach:

• Aptos,
• Sui,
• IOTA,
• Movement.

Switchboard poinformował, że jego współtwórcy i kontrybutorzy koordynują działania z zespołami poszczególnych ekosystemów oraz organizacjami zajmującymi się bezpieczeństwem. Firma przekazała również, że nie otrzymała podobnych zgłoszeń dotyczących implementacji Solany, ale z ostrożności zaleciła użytkownikom tymczasowe przejście na alternatywne rozwiązania oracle. 3334

Dlaczego incydent dotyczy wspólnej architektury

Jednoczesne zawieszenie usług na czterech sieciach jest istotne, ponieważ sugeruje istnienie wspólnego punktu awarii. Problem może znajdować się we współdzielonej implementacji Move Switchboarda, procesie wdrażania, konfiguracji albo zabezpieczeniach operacyjnych — a nie w samych sieciach Aptos, Sui, IOTA czy Movement.

To ważne rozróżnienie. Dostępne informacje nie dowodzą, że przejęty został język Move ani którakolwiek z czterech warstw bazowych. Nie potwierdzają też dokładnego wektora ataku. Niektóre publikacje wskazują na możliwe przejęcie klucza, ale przedstawione dowody nie pozwalają jeszcze rozstrzygnąć, czy źródłem problemu był skompromitowany klucz, luka w weryfikacji, błąd konfiguracji czy inna słabość operacyjna. 1825

Jak błędna cena z wyroczni może sparaliżować DeFi

Wyrocznie dostarczają smart kontraktom danych o cenach. Aplikacje wykorzystują je między innymi do oceny zabezpieczeń i ustalania, czy dana transakcja spełnia warunki bezpieczeństwa. Jeśli protokół zaakceptuje zmanipulowaną cenę, atakujący może próbować:

• pożyczyć środki pod zawyżone zabezpieczenie;
• wybić aktywa przy błędnej wycenie;
• wywołać nieuzasadnione likwidacje;
• przeprowadzić inne operacje zależne od ceny.

Zatrzymanie wyroczni tworzy z kolei odwrotny problem: aplikacja może stracić dostęp do zaufanej, aktualnej ceny. Dlatego protokoły często blokują:

• wycenę zabezpieczeń i zaciąganie pożyczek;
• likwidacje;
• otwieranie nowych pozycji;
• rozliczenia swapów i instrumentów pochodnych;
• wpłaty, wypłaty i księgowanie w sejfach;
• inne transakcje wymagające świeżych danych cenowych.

Konserwatywny protokół zazwyczaj zatrzymuje działanie zamiast korzystać z nieaktualnego lub podejrzanego źródła — mówiąc technicznie, „zamyka się bezpiecznie”. Ogranicza to ryzyko dalszych strat, ale może też zamrozić środki użytkowników i przerwać normalne funkcjonowanie rynku. Decyzja Full Sail o wstrzymaniu wpłat i wypłat dobrze pokazuje ten kompromis. 23

Dlaczego zapasowe źródła danych miały znaczenie

Protokoły, które korzystały z niezależnie zasilanych awaryjnych feedów od dostawców takich jak Pyth lub Chainlink, były lepiej przygotowane do dalszego działania albo szybszego przywrócenia funkcji. Kilka źródeł pozwala porównywać ceny, zmienić dostawcę lub uniknąć uzależnienia całego protokołu od jednej wyroczni.

Redundancja nie jest pełną gwarancją bezpieczeństwa. Zapasowe feedy także wymagają prawidłowej integracji, konfiguracji i kontroli zarządczych. Niezależne źródła danych mogą jednak ograniczyć skutki pojedynczej awarii lub przejęcia jednego wdrożenia.

Dlaczego Solana została potraktowana inaczej

Implementacja Switchboarda dla Solany i innych sieci SVM jest odrębnym wdrożeniem i korzysta z własnego procesu aktualizacji oraz weryfikacji, w tym z weryfikacji podpisów Ed25519. 1 Taka separacja architektoniczna pomaga wyjaśnić, dlaczego doniesienia początkowo dotyczyły wdrożeń Move, a nie automatycznie także Solany.

Brak podobnych zgłoszeń nie oznacza jednak dowodu, że Solana była całkowicie odporna. Zalecenie tymczasowego przejścia na alternatywne rozwiązania wynikało z niepewności towarzyszącej trwającemu dochodzeniu — także w przypadku implementacji, dla której nie odnotowano analogicznego incydentu. 3334

Co nadal pozostaje niewyjaśnione

Dostępne relacje nie odpowiadają jeszcze na kilka kluczowych pytań:

• Jaka była dokładna ścieżka włamania lub wykorzystania luki?
• Czy rzeczywiście przejęto klucz prywatny, czy problem dotyczył kodu, konfiguracji albo procedur operatora?
• Które aplikacje, aktywa, pozycje użytkowników i sieci zostały dotknięte poza opisanymi przypadkami?
• Jaka była łączna wartość strat?
• Czy dane o wybiciu tokenów i likwidacjach zostaną w pełni potwierdzone w łańcuchu?
• Czy poszkodowani otrzymają zwrot środków i kiedy usługi Move będą mogły bezpiecznie wrócić do działania?

Dostępne dowody uzasadniają określenie sprawy jako poważnego incydentu bezpieczeństwa wyroczni: Full Sail potwierdził straty, a w przypadku IOTA opisywano wykorzystanie zmanipulowanych danych cenowych. Nie pozwalają jednak podać ostatecznej kwoty strat ani stwierdzić, że incydent sam w sobie dowodzi szerszego wzrostu liczby ataków na DeFi. Do takich wniosków potrzebne są zakończone analizy techniczne i wiarygodne dane obejmujące całą branżę.