Radix Weekly
Ранее: эксплойт oracle Weft Finance вывел ~27M XRD, RAC объявил о ратификации Charter, и сообщество обсуждало, может ли работа над adoption идти параллельно с переходом к DAO.
Это была самая тяжёлая неделя в новейшей истории Radix. Критический баг в самом Radix Engine позволил атакующему выводить переброшенные через мост hAssets из кошельков пользователей без разрешения, что заставило валидаторов остановить всю сеть. Mainnet оставался замороженным всю неделю, пока RAC координировал патч, участники сообщества реверс-инжинирингили атаку, и все вместе искали ответы на вопросы о компенсациях, доверии и выживании.
Эксплойт Radix Engine останавливает сеть
Критический баг в Radix Engine позволил атакующему выводить переброшенные через Hyperlane hAssets из кошельков пользователей без разрешения. Валидаторы остановили сеть, чтобы локализовать ущерб. projectShift подтвердил, что откат цепи не рассматривается; Timan отметил, что мишенью мог стать любой тип активов, хотя выведены были только hAssets.
Первопричина найдена в валидации ссылок на vault
Участник сообщества L провёл реверс-инжиниринг атаки и определил первопричину: валидация ссылок на vault в system_callback.rs движка выдаёт прямые ссылки на любой vault, указанный в манифесте, без проверки владения, позволяя любому вызывать take() для чужих vault. projectShift координировался с L, чтобы поделиться выводами с теми, кто…
Первый этап DAO-управления объявлен завершённым
projectShift объявил, что первый этап DAO завершён — он охватывает инкорпорацию, Charter и ратификацию рамок governance. Сообщество уже запустило Stokenet и формирует команду. Это знаменует формальный переход от Foundation к управлению сообществом, даже при остановленной сети.
Компенсация жертв эксплойта раскалывает сообщество
Seböööl и David предложили направить сожжённые комиссии XRD в фонд компенсаций для жертв, утверждая, что DAO обязано взять ответственность, чтобы сохранить доверие. talifern, btw и Yeahmad резко возразили: Radix не может позволить себе bailout, перенаправление комиссий вредит валидаторам, а обещать что-либо до перезапуска сети преждевременно. Решения нет.
Разработчик Hyperscale отказывается от грантов Radix
Radoshi Lazymoto объявил, что больше не будет подавать пропоузалы, запрашивать гранты или поддерживать текущее сотрудничество с Radix. foxylady пояснила, что flightofthefox хочет свободно развивать Hyperscale без официальных обязательств, по-прежнему намерен реализовать и помочь мигрировать ledger state Babylon, и, возможно, в этом году подготовит testnet.
Спор о комиссиях за неудачные транзакции
flightofthefox и projectShift утверждали, что все комиссии за транзакции необходимо взимать, чтобы предотвратить griefing и DoS-атаки, поскольку Radix не может надёжно отличить злонамеренные сбои от случайных. Dezza возразил, что модель Algorand, где за неудачные транзакции комиссия не списывается, доказывает жизнеспособность такого подхода, а при масштабировании издержки пренебрежимо малы.
- GENKIPOOL предложил заменить голосование по весу токенов на систему по адресам со staking-адресами старше 2+ лет, что вызвало резкие возражения flightofthefox и projectShift, утверждавших, что голосование по весу токенов…
- L объявил, что OTER сменил курс и будет дополнять приложение Radix DAO, а не конкурировать — как независимую систему подсчёта голосов с функционалом bond.
- Vlad B предложил прогонять код через GPT Astra для ревью, а Punk порекомендовал разработать симуляции атак и использовать TLA+, чтобы отличать алгоритмические баги от багов реализации.
- Yeahmad и Radix Superfan раскритиковали прежнюю команду модераторов за использование обвинений в 'FUD' для подавления正当ных вопросов о прогрессе Xi'an, назвав это 'дешёвым gaslighting.'
- Blind5ight заявил, что один лишь скейлинг не будет иметь значения, если кто-то не построит dApp, создающий реальную ценность, а foxylady предложила NFT-билетинг как практический use case.
- @Andy.XRD сообщил, что полиция подтвердила получение заявлений об эксплойте и ведётся форензик-расследование; дополнительные детали не раскрываются ради защиты расследования.
Всю неделю координировал реакцию на остановку сети, публиковал ежедневные обновления и подтверждал, что фикс в работе, но ещё не внедрён. Объявил о завершении первого этапа DAO и призвал сообщество прекратить спекуляции, пока готовится патч, предупредив, что копирующие атакующие…
Подтвердил, что исправление сети займёт как минимум ещё несколько дней и что баг мог появиться не с момента запуска. Помогал участникам с ошибками в кошельках напрямую.
Активно выступал за governance по весу токенов вместо голосования по идентичности, защищал необходимость взимания комиссии за все транзакции для предотвращения griefing и предположил, что баг в движке, скорее всего, был добавлен после первоначального аудита Hacken. Подтвердил, что больше не будет запрашивать гранты Radix, но по-прежнему…
Нет — сеть продвигается эпохами, и награды за staking начисляются за каждую эпоху, поэтому без продвижения эпох наград нет.
Раздел для разработчиков был полностью поглощён эксплойтом в движке. Участник сообщества L нашёл первопричину в system_callback.rs, где валидация ссылок на vault проводится без проверки владения, а форензик-анализ 0xOmarA написанного вручную WAT-кода атакующего выявил сложную, тщательно проработанную…
Настроение: Сотрясены до основания, но не сломлены — сообщество приняло разрушительный эксплойт на уровне движка и недельную остановку сети с горем, разочарованием и ярой решимостью прорваться.