Radix Weekly
Số trước: lỗ hổng oracle của Weft Finance khiến ~27 triệu XRD bị rút sạch, RAC thông báo việc phê chuẩn Charter đã hoàn tất, và cộng đồng tranh luận xem công tác đẩy mạnh áp dụng có thể tiếp tục song song với quá trình chuyển đổi sang DAO hay không.
Đây là tuần khó khăn nhất trong lịch sử gần đây của Radix. Một lỗi nghiêm trọng ngay trong Radix Engine đã cho phép kẻ tấn công rút hAssets được bridge từ ví người dùng mà không cần xin phép, buộc các validator phải dừng toàn bộ mạng. Mainnet bị đóng băng suốt cả tuần trong khi RAC phối hợp triển khai bản vá, thành viên cộng đồng phân tích ngược cuộc tấn công, và cộng đồng cùng nhau đối diện với những câu hỏi về bồi thường, niềm tin và sự tồn tại.
Lỗi Radix Engine buộc phải dừng mạng
Một lỗi nghiêm trọng trong Radix Engine đã cho phép kẻ tấn công rút hAssets bridge qua Hyperlane từ ví người dùng mà không được phép. Các validator đã dừng mạng để kiểm soát thiệt hại. projectShift xác nhận việc rollback chuỗi là không khả thi; Timan lưu ý bất kỳ loại tài sản nào cũng có thể bị nhắm tới, dù thực tế chỉ có hAssets bị rút ra.
Tìm ra nguyên nhân gốc trong kiểm tra tham chiếu vault
Thành viên cộng đồng L đã phân tích ngược cuộc tấn công và xác định nguyên nhân gốc: phần kiểm tra tham chiếu vault trong system_callback.rs của engine cấp tham chiếu truy cập trực tiếp cho bất kỳ vault nào được nêu trong manifest mà không xác minh quyền sở hữu, cho phép bất kỳ ai gọi take() lên vault của người khác. projectShift đã phối hợp với L để chia sẻ phát hiện với những…
Bước một quản trị DAO được tuyên bố hoàn tất
projectShift thông báo bước một của DAO đã xong — bao gồm việc thành lập pháp nhân, charter và phê chuẩn khung quản trị. Cộng đồng đã triển khai Stokenet và đang tập hợp đội ngũ. Đây đánh dấu sự chuyển đổi chính thức từ Foundation sang quản trị cộng đồng, ngay cả khi mạng vẫn đang bị dừng.
Bồi thường cho nạn nhân hack chia rẽ cộng đồng
Seböööl và David đề xuất chuyển phí XRD bị đốt vào quỹ bồi thường cho nạn nhân, lập luận rằng DAO phải chịu trách nhiệm để giữ vững niềm tin. talifern, btw và Yeahmad phản đối gay gắt, cho rằng Radix không đủ khả năng để cứu trợ, chuyển hướng phí làm tổn thương validator, và hứa hẹn bất cứ điều gì trước khi mạng hoạt động lại là vội vã. Chưa có kết luận.
Nhà phát triển Hyperscale từ chối các khoản cấp của Radix
Radoshi Lazymoto thông báo sẽ không tiếp tục theo đuổi đề xuất, grant hoặc các cam kết dài hạn với Radix. foxylady giải thích flightofthefox muốn xây dựng Hyperscale một cách tự do mà không có ràng buộc chính thức, vẫn có ý định hoàn thành và giúp di chuyển ledger state của Babylon, và có thể có testnet sẵn sàng trong năm nay.
Tranh luận về phí giao dịch thất bại
flightofthefox và projectShift cho rằng mọi chi phí giao dịch đều phải thu để ngăn griefing và tấn công từ chối dịch vụ, vì Radix không thể phân biệt chắc chắn giữa lỗi cố ý và vô tình. Dezza phản biện rằng mô hình của Algorand không thu phí cho giao dịch thất bại chứng minh điều này là khả thi, và ở quy mô lớn thì chi phí đó không đáng kể.
- GENKIPOOL đề xuất thay thế bỏ phiếu theo trọng số token bằng hệ thống dựa trên địa chỉ cho các địa chỉ staking từ 2 năm trở lên, vấp phải phản đối gay gắt từ flightofthefox và projectShift, cho rằng trọng số token là quan trọng.
- L thông báo OTER đã chuyển hướng sang bổ trợ cho ứng dụng Radix DAO thay vì cạnh tranh, hoạt động như hệ thống kiểm phiếu độc lập kèm chức năng bond.
- Vlad B gợi ý chạy mã qua GPT Astra để xem xét, trong khi Punk đề xuất thiết kế mô phỏng tấn công và dùng TLA+ để phân biệt lỗi thuật toán với lỗi triển khai.
- Yeahmad và Radix Superfan chỉ trích đội mod cũ vì dùng cáo buộc 'FUD' để lặng tiếng các câu hỏi chính đáng về tiến trình Xi'an, gọi đó là 'gaslighting rẻ tiền.'
- Blind5ight lập luận rằng mở rộng quy mô một mình sẽ không có ý nghĩa nếu không ai xây một dApp tạo ra giá trị thực, với foxylady gợi ý bán vé dựa trên NFT như một use case thiết thực.
- @Andy.XRD báo cáo rằng cảnh sát đã ghi nhận các báo cáo về vụ exploit và đang tiến hành phân tích pháp y, không chia sẻ thêm chi tiết để bảo vệ cuộc điều tra.
Điều phối phản ứng trước việc dừng mạng suốt cả tuần, cập nhật hàng ngày và xác nhận bản vá đang được phát triển nhưng chưa triển khai. Thông báo bước một của DAO đã hoàn tất và kêu gọi cộng đồng ngừng suy đoán trong lúc bản vá đang được chuẩn bị, cảnh báo rằng những kẻ tấn công bắt chước có thể…
Xác nhận việc sửa chữa mạng sẽ cần thêm ít nhất vài ngày nữa và lỗi có thể không tồn tại từ lúc ra mắt. Trực tiếp hỗ trợ các thành viên gặp lỗi ví.
Lập luận mạnh mẽ cho quản trị theo trọng số token thay vì bỏ phiếu theo danh tính, bảo vệ việc thu phí cho mọi giao dịch để ngăn griefing, và cho rằng lỗi engine có thể được đưa vào sau cuộc kiểm toán gốc của Hacken. Xác nhận sẽ không tiếp tục theo đuổi grant từ Radix nhưng vẫn…
Không — mạng tiến triển theo epoch và phần thưởng staking được cấp mỗi epoch, nên không có epoch nào tiến triển nghĩa là không có phần thưởng nào được cấp.
Phòng dành cho developer bị chi phối bởi vụ lỗi engine. Thành viên cộng đồng L đã xác định nguyên nhân gốc trong system_callback.rs, nơi tham chiếu vault được xác nhận mà không kiểm tra quyền sở hữu, và phân tích pháp y của 0xOmarA về mã WAT viết tay của kẻ tấn công cho thấy một kẻ tinh vi, cẩn thận…
Tâm trạng: Rúng động tận gốc rễ nhưng chưa gãy — cộng đồng đã tiếp nhận một vụ exploit ở cấp độ engine tàn phá và việc dừng mạng kéo dài cả tuần với đau buồn, bức xúc, và một quyết tâm mãnh liệt để vượt qua.