Radix Weekly
Önceki sayıda: Weft Finance oracle açığı yaklaşık 27M XRD boşalttı, RAC Charter onaylamasının geldiğini duyurdu ve topluluk, benimseme çalışmalarının DAO geçişiyle paralel ilerleyip ilerleyemeyeceğini tartıştı.
Bu, Radix'in yakın tarihindeki en zor haftaydı. Radix Engine'deki kritik bir hata, saldırganın kullanıcı cüzdanlarından köprülenmiş hAssets'lere izinsiz çekim yapmasına olanak tanıdı ve validator'ları tüm ağı durdurmaya zorladı. RAC bir yama koordine ederken, topluluk üyeleri saldırıyı tersine mühendislikle analiz ederken ve topluluk tazminat, güven ve hayatta kalma sorularıyla boğuşurken mainnet tüm hafta donmuş halde kaldı.
Radix Engine açığı ağı durdurdu
Radix Engine'deki kritik bir hata, saldırganın Hyperlane üzerinden köprülenmiş hAssets'leri kullanıcı cüzdanlarından izinsiz çekmesini sağladı. Validator'lar hasarı sınırlamak için ağı durdurdu. projectShift, zinciri geri sarmanın bir seçenek olmadığını doğruladı; Timan, herhangi bir varlık türünün hedef alınabileceğini, ancak yalnızca hAssets'lerin dışarı çıktığını belirtti.
Kök neden vault referans doğrulamasında bulundu
Topluluk üyesi L saldırıyı tersine mühendislikle analiz etti ve kök nedeni belirledi: system_callback.rs'deki engine vault referans doğrulaması, bir manifestte adı geçen herhangi bir vault'a sahipliği kontrol etmeden doğrudan erişim referansı veriyor ve bu da herkesin başkalarının vault'larında take() çağırmasına olanak tanıyor. projectShift, L ile koordinasyon sağlayarak bulguları ilgili kişilerle paylaştı…
DAO yönetişiminin ilk adımı tamamlandı
projectShift, DAO'nun ilk adımının tamamlandığını duyurdu — bu adım kuruluş, charter ve yönetişim çerçevesinin onaylanmasını kapsıyor. Topluluk halihazırda Stokenet'i çalıştırıyor ve bir ekip oluşturuyor. Bu, ağ hala durdurulmuş olsa da, Vakıftan topluluk yönetişimine resmi geçişi işaret ediyor.
Hack mağdurlarını tazmin etme konusu topluluğu böldü
Seböööl ve David, yakılan XRD ücretlerinin hack mağdurları için bir tazminat fonuna yönlendirilmesini önerdi ve güveni korumak için DAO'nun sorumluluk alması gerektiğini savundu. talifern, btw ve Yeahmad buna sert karşı çıktı; Radix'in bir kurtarma paketi karşılayamayacağını, ücretlerin yönlendirilmesinin validator'lara zarar vereceğini ve ağ yeniden çalışır duruma gelmeden herhangi bir şey söz etmenin erken olduğunu belirttiler. Çözüm yok.
Hyperscale geliştiricisi Radix hibelerinden vazgeçti
Radoshi Lazymoto, artık Radix ile hiçbir teklif, hibe veya devam eden anlaşma peşinde koşmayacağını duyurdu. foxylady, flightofthefox'un Hyperscale'i resmi bağlantılar olmadan özgürce inşa etmek istediğini, yine de teslim etmeyi ve Babylon'un ledger durumunu taşımaya yardım etmeyi planladığını ve bu yıl içinde testnet'i hazır edebileceğini açıkladı.
Başarısız işlem ücretleri tartışıldı
flightofthefox ve projectShift, Radix'in kötü niyetli başarısızlıkları masum olanlardan güvenilir şekilde ayırt edememesi nedeniyle griefing ve denial-of-service saldırılarını önlemek için tüm işlem maliyetlerinin alınması gerektiğini savundu. Dezza, Algorand'ın başarısız işlemler için ücret almama modelinin bunun mümkün olduğunu kanıtladığını ve ölçeklendiğinde maliyetin önemsiz olduğunu belirterek karşı çıktı.
- GENKIPOOL, token ağırlıklı oylama yerine 2+ yıllık staking adresleri için adres tabanlı bir sistem önerdi; flightofthefox ve projectShift, token ağırlıklı sistemin… diyerek sert karşı çıktı.
- L, OTER'in Radix DAO uygulamasıyla rekabet etmek yerine onu tamamlayacak şekilde pivot yaptığını duyurdu; bağımsız bir oy sayım sistemi ve bond işlevselliği sunuyor.
- Vlad B, kodu inceleme için GPT Astra'dan geçirmeyi önerdi; Punk ise saldırı simülasyonları tasarlamayı ve algoritmik hataları uygulama hatalarından ayırmak için TLA+ kullanmayı tavsiye etti.
- Yeahmad ve Radix Superfan, eski mod ekibini Xi'an ilerlemesiyle ilgili meşru soruları susturmak için 'FUD' suçlamaları kullanarak 'ucuz gaslighting' yapmakla eleştirdi.
- Blind5ight, tek başına ölçeklendirmenin gerçek değer yaratan bir dApp inşa edilmediği sürece anlamlı olmayacağını savundu; foxylady pratik bir kullanım örneği olarak NFT tabanlı biletlemeyi önerdi.
- @Andy.XRD, polisin açık raporlarını aldığını ve adli analizlerin devam ettiğini bildirdi; soruşturmayı korumak için ek detay paylaşılmadı.
Tüm hafta boyunca ağ durdurma yanıtını koordine etti, günlük güncellemeler paylaştı ve düzeltmenin üzerinde çalışıldığını ama henüz uygulanmadığını doğruladı. DAO'nun ilk adımının tamamlandığını duyurdu ve yama hazırlanırken topluluğu spekülasyon yapmaktan kaçınmaya çağırdı ve taklitçi saldırganların…
Ağ düzeltmesinin en az birkaç gün daha süreceğini ve hatanın başlangıçtan beri var olmamış olabileceğini doğruladı. Cüzdan hataları yaşayan üyelere doğrudan yardım etti.
Kimlik tabanlı oylama yerine token ağırlıklı yönetişimi güçlü bir şekilde savundu, griefing'i önlemek için tüm işlemler için ücret alınmasını savundu ve engine hatasının muhtemelen Hacken'ın orijinal denetiminden sonra ortaya çıktığını öne sürdü. Artık Radix hibelerini peşinde koşmayacağını ama hala…
Hayır — ağ epoch'lar halinde ilerler ve stake ödülleri epoch başına verilir, dolayısıyla epoch ilerlememesi ödül verilmemesi demektir.
Geliştirici odası, engine açığı tarafından tamamen işgal edildi. Topluluk üyesi L, vault referanslarının sahiplilik kontrolü yapılmadan doğrulandığı system_callback.rs'deki kök nedeni belirledi ve 0xOmarA'nın saldırganın el yazımı WAT kodunun adli analizi, sofistike ve dikkatli bir…
Hava: Sarsıldı ama kırılmadı — topluluk, engine seviyesinde yıkıcı bir açığı ve haftalarca süren ağ durdurmasını keder, hayal kırıklığı ve bunun üstesinden gelme kararlılığıyla karşıladı.