Superrare NFT Trading Platform Superrare перенесла эксплуатацию в размере 730 000 долларов в понедельник из -за основной ошибки с интеллектуальным контрактом, которая, по словам экспертов, можно было легко предотвратить при стандартной практике тестирования.
По словам криптовальных компаний Cyvers Cyvers Cyvers Cyvers Cyvers Cyvers Cyvers Cyvers Cyvers Cyvers Cyvers Cyvers Cyvers Cyvers.
Уязвимость проистекает из функции, предназначенной для того, чтобы позволить только конкретным адресам модифицировать корень Меркл, критическую структуру данных, которая определяет баланс становления пользователя. Однако логика была ошибочно написана, чтобы позволить любому адресу взаимодействовать с функцией.
0xaw, ведущий разработчик на базовой децентрализованной базе инопланетян обмена, отметил, что рассматриваемая ошибка была достаточно очевидна, чтобы быть пойманным CHATGPT. Cointelegraph независимо подтвердил, что модель O3 O3 успешно определила недостаток при тестировании.
«Чатгпт поймал бы это, любая половина компетентной солидности поймал бы это. В основном кто -то, если бы они выглядели. Скорее всего, никто не сделал», — сказал 0XAW Cointelegraph.
Соучредитель Superrare Джонатан Перкинс сказал Cointelegraph, что никакие основные фонды протокола не потеряны, и затронутые пользователи будут становятся целыми. Он сказал, что кажется, что 61 кошелек поражаются.
«Мы узнали из этого, и теперь будущие изменения пройдут гораздо более надежный обзорный трубопровод», — сказал он.
Связанный: Крипто -хакеры превзойдут 3,1 млрд долларов в 2025 году, так как недостатки доступа сохраняются: Hacken
Анатомия уязвимости
Чтобы определить, следует ли разрешить изменение корня Меркл, смарт -контракт проверил, был ли взаимодействующий адрес не конкретным адресом или владельцем контракта. Это противоположная логика к тому, что было предназначено для применения, позволяя кому -либо просеять поставку редко из контракта.
Старший инженер в крипто -страховой компании Nexus Mutual сказал Cointelegraph, что «единичные тесты поймали бы эту ошибку».
Майк Тиутин, архитектор блокчейна и директор по технологиям фирмы Amlbot, сказал: «Это глупая ошибка разработчика, которая не была покрыта тестами (поэтому важно полное покрытие)».
Генеральный директор Amlbot Slava Dspanchuk также пришел к тому же выводу, отметив, что «не было никаких обширных испытаний (или программы наградных закусок), которые могли бы найти его предварительное развертывание». Он подчеркнул важность тестирования, отметив, что это «классический пример, почему логика интеллектуального контракта должна быть тщательно проверена». Он добавил:
«Это является резким напоминанием: в децентрализованных системах даже ошибка с одним символом может иметь серьезные последствия».
В то время как Перкинс настаивал на том, что контракты были проверены и проверены на единицу, он признал, что ошибка была введена в конце процесса, и не было освещено в последних сценариях тестирования:
«Это болезненное напоминание о том, как даже небольшие изменения в сложных системах могут иметь непреднамеренные последствия».
Связанный: Индийская крипто биржа Coindcx взломана, 44 миллиона долларов
Важность модульного тестирования
Модульные тесты представляют собой небольшие автоматизированные тесты, которые проверяют, работают ли отдельные детали («единицы») программы — обычно функции или методы — работают, как и ожидалось. Каждый тест предназначен для конкретного поведения или вывода на основе данного ввода, помогая рано поймать ошибки.
В этом случае, тесты, которые подтверждают, могут ли адреса или не могут вызвать функцию для изменения корня Меркл, были бы не удалось.
«Благодаря надзору или неадекватному тестированию эффект был таким же: уязвимость, которую можно избежать, стоимостью значительно», — сказал Демхук Cointelegraph.
0xaw аналогично сказал, что «проблема была, конечно, явно полным отсутствием тестирования». Он сказал, что «это даже не какой -то код, который хорошо работает в нормальных условиях, и терпит неудачу, если вы толкуте его в нужных местах».
«Этот код просто противоположна тому, что вы ожидаете», — добавил он.
Перкинс сказал Cointelegraph, что продвигаясь вперед, Superrare ввел новые рабочие процессы, которые требуют повторных автоматов для любых пост-аудитных изменений, независимо от того, насколько незначительным.
Большинство уязвимостей — это упущение
0xaw сказал, что ошибка — «нормальная человеческая ошибка». Вместо этого он рассматривает как «монументальную ошибку», так это то, что она «добралась до производства и остался там».
0xaw подчеркнул, что подавляющее большинство серьезных уязвимостей происходят из «действительно глупых и легко предотвратимых ошибок». Тем не менее, он признал, что «их обычно немного сложнее заметить, чем это».
Глава ответа Хакена по инциденту, Йехор Рудица, согласился с тем, что тщательный тестовый охват поймал бы недостаток.
«Если просмотреть эту функцию, это довольно очевидная ошибка», — сказал он.
Журнал: Крипто -хакеры Северной Кореи, хакерские хакеры, затронув Чатгпт, Малайзийская дорога.
