Цього тижня Optimism розкрив критичну вразливість, яка могла дозволити зловмисникам підробляти запити на відшкодування в мережі. Помилка знаходилася в SDM verify path — зокрема, у логіці відшкодувань до Lagoon — і приймала фальшиві запити без перерахунку стану. Команда повідомила, що виправила проблему до того, як будь-який виробничий ланцюг був атакований, і що жодні кошти не були втрачені.
Що робила вразливість
Вразливість знаходилася в тому, що Optimism називає SDM verify path — чутливій частині інфраструктури, яка перевіряє транзакції відшкодування. Зазвичай система перераховує суму відшкодування, щоб переконатися, що вона відповідає оригінальному депозиту. Але ця помилка пропускала перерахунок, тому підроблений запит проходив верифікацію. Будь-хто, хто знайшов цю дірку, міг би вивести кошти з мостового контракту — принаймні теоретично.
Як це виправили
Виправлення було внесено до того, як оновлення Lagoon потрапило в продакшн. Це ключовий момент: Lagoon — це наступне велике оновлення протоколу Optimism, і вразливий код був частиною старого шляху відшкодувань, який Lagoon замінює. Команда виявила проблему внутрішньо, виправила її, а потім опублікувала повне розкриття на форумі управління Optimism. Жоден зовнішній дослідник або спроба експлойту не спричинили виправлення — це було проактивне виявлення.
Чому розкриття важливе
Публічне детальне розкриття серйозної вразливості після виправлення все ще рідкість у криптосвіті. Більшість команд тихо виправляють помилку і рухаються далі. Рішення Optimism викласти технічні деталі — шлях верифікації, логіку повернення, контекст до Lagoon — дає іншим розробникам конкретний приклад того, що може піти не так. Час не ідеальний: розкрита вразливість завжди викликає питання про те, скільки подібних сліпих зон існує. Але команда чітко дала зрозуміти, що вікно для експлойту було нульовим.
Оновлення Lagoon очікується найближчими тижнями, і воно повністю усуне відповідний код. Наразі це розкриття слугує нагадуванням про те, що навіть у перевірених rollup-рішеннях можуть бути логічні прогалини — і що виявити їх до того, як ними скористаються, є головним завданням.
