Книга На шифре. Инсайдерская история криптовалютного бума - Лора Шин
Шрифт:
Интервал:
Закладка:
…
4/ Вы носитесь за легкими деньгами, вместо того чтобы помочь Ethereum стать тем, чем он должен стать. Вы много обещаете, а сами только теряете деньги.
5/ Фейковые адреса, скамботы, фишинг, эксплойты, захваты доменов и телефонов происходят с самого начала, а вы все равно почему-то к этому не готовы.
…
8/ Не думайте, что вы тут ни при чем, инвесторы: вы тоже виноваты.
9/ Швырять деньги на любой адрес, кликать так, будто не было никогда нигерийских писем, и не требовать от инвестиций большего, – это тоже проблема.
10/ Поумнейте уже. 2 тысячи уников[27] за 2 часа попались на ту же схему, которая срабатывает годами. Пора уже подрасти.
Проснувшись на следующее утро, она услышала возбужденные голоса Кевина и менеджера операций. Она спустилась. Кевин сказал: «Мультсиг фонда взломали» (имея в виду EF). Тейлор, все еще спросонья, ответила: «Неправда» – и пошла назад в спальню. Если бы его взломали, ее телефон ломился бы от сообщений. Но тут она увидела, что ее телефон был разряжен.
11. 19 июля 2017 – 4 ноября 2017
Берндт Лапп, президент децентрализованной коммерческой платформы Swarm City, написал в группе скайпа: «Не хочу паниковать, но, кажется, у нас хакнули мультисиг. Как минимум он пустой. Пропало 44к эфира [18,7 миллиона долларов]».
Чтобы разобраться, кто-то из команды Тейлор просмотрел код смарт-контракта мультисига. Наверху говорилось:
// Этот кошелек с мультиподписью основан на контракте кошельков Гэва Вуда.
…
// @авторы:
// Гэв Вуд g@ethdev.com
Видимо, имя Гэва сбило их с толку. Какой самый известный мультисиг-кошелек? Кошелек Ethereum Foundation. Поэтому Кевин и менеджер операций MEW, как в испорченном телефоне, и передали Тейлор, что хакнули мультисиг EF, хотя на самом деле это был мультисиг Swarm City. Тоже плохо, но все-таки не так серьезно, как взлом Ethereum Foundation.
Даже когда выяснилась правда, оставался вопрос: как можно взломать мультисиг? Чтобы провести через него транзакцию, требуется несколько подписей, как в Ethereum Foundation, и, чтобы его взломать, либо несколько человек должны состоять в сговоре, либо их должны взломать одновременно.
Грифф, Джорди и команда нового предприятия Гриффа попивали вино в Барселоне на веранде с видом на Саграда Фамилия, когда насчет взлома Гриффу позвонил по WhatsApp Кинг Фларкел. Грифф решил, что Фларкел ошибся. Но, проверив, сам увидел транзакцию на большую сумму всего с одной подписью, а не с тремя из пяти.
Узнав, что кошелек Swarm City написан Parity, Грифф, Джорди и другие белые шляпы осознали: это значит, что можно взломать любой мультисиг от Parity. Они и понятия не имели, сколько лиц ими пользуются.
Они позвонили Хадсону, который находился в Корнелле, в учебном лагере Ethereum IC3, вместе с Виталиком, Авсой, Мин, Кейси, Мартином Бече и остальными. Но снова информация исказилась, потому что Хадсон влетел в комнату, где он с Мин и Авсой судили конкурс, и закричал: «Тревога! Тревога! Взломали мультисиг Ethereum Foundation!» Хлопнул дверью и побежал по коридору разыскивать Виталика. Проверив кошелек фонда, с которым все было в порядке, все немного успокоились.
Но у Swarm City, Edgeless Casino и æternity все-таки похитили сумму на 153 037 ETH, то есть 37,6 миллиона по самому высокому курсу на тот день (29,3 миллиона – когда стало известно о взломе). У всех трех проектов в логотипе стоял знак бесконечности.
Тем временем на скалистом острове Ибица, среди ящериц и папоротников, команда Parity с друзьями отдыхала в прелестном домике с экзотическими растениями и патио с терракотовой плиткой, который снял Брок Пирс – бывший актер из сериала «Могучие утята», ныне венчурный инвестор в области крипты. У них заканчивался недельный отпуск, временами – как минимум для некоторых – сливавшийся в один сплошной алкогольно-наркотический трип. В предыдущее воскресенье команда отрывалась в VIP-зале клуба «Амнезия».
В среду, последний вечер отпуска, где-то в районе «счастливых часов»[28], кто-то крикнул: «Программисты Parity – быстро наверх!» Все взлетели по лестнице в зону бассейна, где лучше ловил вай-фай. Узнав о взломе, кодеры засели за ноутбуки на шезлонгах вокруг бассейна и джакузи. Как и в случае с DoS-атаками, все хотя бы физически находились в одном месте. Но деньги уже пропали, и Parity оставалось немногое – отвечать на вопросы да готовить обновление.
Исправлять ситуацию опять пришлось Группе белых шляп. Они поняли, в чем суть взлома, но встали перед дилеммой. Они не могли публично объявить об уязвимости, потому что тогда любой человек мог бы разорить очередной Parity-мультисиг. Как и в случае с The DAO, им предстояло украсть/спасти деньги самим и вернуть законным владельцам. Они попросили участников IC3 проанализировать блокчейн и узнать, какие токен-команды пользовались кошельками Parity по байт-коду – своего рода отпечатку пальцев. Но Гэвин сглупил. В 20:32 по времени Ибицы он запостил в Gitter Parity:
ВАЖНО: ТРЕВОГА
Тяжесть: критическая…
Описание: Кошельки Parity Wallet, созданные с опцией «мультисиг», имеют критическую уязвимость. Высок риск кражи средств.
Коррективные меры: пожалуйста, немедленно переведите из них любые активы в альтернативный кошелек.
ЭТО НЕ УЧЕНИЯ
Через восемь минут это увидел WhalePanda – биткойнер, который выкладывал эпичные расследования о связи Ethereum Foundation, Slock.it и The DAO, – и твитнул скриншот со словами: «Критическая тревога для $ETH-кошелька @ParityTech, если вы пользуетесь мультисигом».
Кто-то твитнул: «Вы готовы к Ethereum версии „Very Classic“?» Другой сказал: «Ну что, хардфорк ради 32М долларов? Или эти люди уже не связаны с фондом и могут идти нахер?» (Хардфорк, на который уходят недели планирования и подготовки, все равно бы ничего не исправил, потому что в данном случае действия хакера ничто не ограничивало. Собственно, вор обналичил почти 50 ETH, или 11 300 долларов, уже на следующий день.)
Теперь, когда новости разошлись (в 20:56 Parity написали об этом в блоге и в твиттере), началась гонка со временем, потому что любой, кто узнает принцип атаки, мог бы снять средства с любого числа счетов. В 23:14 Parity выложили обновление для кода кошельков; в посте говорилось, что отныне все новые мультисиги надежно защищены.
Белые шляпы получили таблицу адресов Parity-мультисигов, а также скрипт, который отправлял на них с адреса Джорди транзакции, дающие контроль над мультисигом и позволяющие снять деньги.
После включения скрипта Джорди – или, вернее, его адрес – собрал 377 106 ETH, около 75 миллионов долларов,
