GetBlock Magazine - Что произошло? Специалисты компании-разработчика блокчейна Polygon и аудиторской фирмы SlowMist сообщили об уязвимости проекта Blast, который был запущен командой NFT-маркетплейса Blur 21 ноября. По словам аналитиков, в основе проекта лежит мультиподписной контракт с возможностью мгновенного обновления, для внесения изменений в который необходимо 3 из 5 подписей. В свою очередь все пять адресов с правом подписи анонимны и созданы недавно.
Источник: Twitter (NYSE:TWTR).com
Что еще известно? В случае эксплойта или недобросовестных действий владельцев адресов с правом подписи контракт Blast может мгновенно внедрить вредоносные обновления кода с целью кражи средств.
Эксперты добавили, что Blast, в отличие от других проектов со схожими функциями, например Arbitrum, не является сетью второго уровня (L2) и представляет собой просто смарт-контракт, который принимает депозиты и инвестирует их в доходные протоколы, такие как протокол ликвидного стекинга монет ETH Lido.
Джеррод Уоттс из Polygon Labs подчеркнул, что Blast не имеет тестнета, мостов и роллапов, и даже не отправляет данные о транзакциях в Ethereum.
«Отправляя деньги в контракт Blast, вы, по сути, доверяете 3-5 анонимам осуществление стекинга от вашего имени. Вы не сможете вывести средства без их одобрения», — пояснил разработчик.Примечательно, что в настоящий момент в Blast отсутствует функция вывода средств. Согласно дорожной карте, она будет активирована только 24 февраля следующего года. При этом пользователи уже заблокировали в контракте проекта свыше 303 млн долларов.
В свою очередь основатель SlowMist Юй Сян заявил, что Blast является централизованным Web 2.0-проектом, который получил поддержку финансовых учреждений. Так, одним из инвесторов проекта является венчурная фирма Paradigm, которая ранее поддержала и маркетплейс Blur.
Сян выразил негодование тем, что пользователи не изучают технические особенности работы проекта, оценивая его надежность только по наличию институциональных партнеров.