Er polygon Safu? Kritikere: Multisig er ikke sikkert nok, $5 mia i fare

Genudgivet af Platon

Abonnenter: 0

Polygon er måske det mest populære alternativ til at handle direkte på Ethereum baselayer (L1), hvilket giver brugerne mulighed for at lave hurtige transaktioner med lave gebyrer. Polygon (MATIC) er bedst kendt som en såkaldt sidekæde til Ethereum, altså en Ethereum Virtual Machine (EVM)-kompatibel blockchain, der kører sit eget sæt af validatorknudepunkter. Polygon-teamet har dog også investeret stærkt i ren Layer-2-teknologi og leverer tjenester som den zk-STARKs baserede Miden-skaleringsløsning.

Selvfølgelig følger med succes ansvaret for at beskytte alle de midler, som brugerne hælder ind i netværket. I en tweet-tråd, Justin Bons, grundlægger og CIO af Cyberhovedstad, anklager Polygon-teamet for at anvende lempelige sikkerhedsforanstaltninger, primært omkring Polygon smart contract multisig-kontrakten, som styrer Polygon smart contract admin-nøglen. Denne nøgle kontrollerer til gengæld over 5 milliarder dollars i midler, ifølge Bons.

1/14) Polygon i sin nuværende tilstand er usikker og centraliseret!

Det ville kun tage 5 personer at gå på kompromis med over $5B!

4 af disse mennesker er grundlæggerne af Poly!

Dette er et af de største hacks eller exit-svindel, der bare venter på at ske

Hensynsløs og uansvarlig, en advarsel til de kloge:

- Justin Bons (@Justin_Bons) Februar 12, 2022

"Polygon i sin nuværende tilstand er usikker og centraliseret! Det ville kun tage fem personer at gå på kompromis med over 5 milliarder dollars! Fire af disse mennesker er grundlæggerne af Polygon! Dette er et af de største hacks eller exit-svindel, der bare venter på at ske,« tweeter Bons

"Polygon-teamet kan få fuldstændig kontrol over Polygon"

"Polygon smart contract admin-nøglen styres af en fem ud af otte multi-signatur kontrakt. Dette betyder, at Polygon [holdet] kan få fuldstændig kontrol over Polygon med kun én af de fire eksterne parter, der konspirerer. De øvrige fire partier i multisig blev også udvalgt af Polygon,” fortsætter Bons.

Ifølge Bons betyder det også, at disse fire andre partier "ikke ligefrem er upartiske." Kontrol over kontraktadministratornøglen svarer til magten til at ændre reglerne. På hvilket tidspunkt "alt bliver muligt." Herunder tømning af hele Polygon kontrakten.

En vis kritik er også peget på Polygons påståede mangel på gennemsigtighed. Det er ikke første gang, at Polygons påståede uigennemsigtighed er på bordet. Chris Bleck hos DeFi Watch tidligere sendt en anmode til Polygon-teamet, der beder om klarhed. Ifølge både Bons og Blec svarede Polygon ikke på Blecs anmodning.

Imidlertid Polygon team er ikke helt stille om sagen, da spørgsmål af denne type er opstået før. Holdet har tidligere offentliggjort en multisig gennemsigtighedsrapport for at skabe klarhed i sagen. I et svar på Bons' tweet bekræfter Mihailo Bjelic, medstifter af Polygon, indirekte multisig-bekymringerne, da Polygon "arbejder på at fjerne dem". Multisig blev implementeret i en "tidlig fase" og er tilsyneladende ikke en ideel løsning, efterhånden som systemet vokser.

1/9 Brugen af multisigs er blevet behandlet mange gange. Hovedsageligt af hensyn til nytilkomne, lad os dække de vigtigste punkter igen.

TL;DR: Multisigs bruges til at øge sikkerheden, ikke for at mindske den. Polygon bruger dem ansvarligt, og vi arbejder på at fjerne dem. https://t.co/vSlSQUaRmX

- Mihailo Bjelic (@MihailoBjelic) Februar 14, 2022

"De [multisigs] betragtes som den optimale tilgang til at sikre brugermidler i de tidlige udviklingsfaser og bruges af næsten alle skalerings- og brobygningsprojekter."

Bjelic peger på gennemsigtighedsrapporten, der beskriver "planen for at forbedre og i sidste ende fjerne multisigs." Bjelic adresserer derefter nogle af punkterne i Bons' tweet.

"Afslut-svindel er ikke en realistisk bekymring for Polygon"

Ifølge BjelicI er en exit-svindel ikke en realistisk bekymring for Polygon; multisigs bruges til at beskytte brugere mod hacks, og Polygon bruger multisig, som det gør, fordi de er ansvarlige, i modsætning til anklagerne.

Ifølge Bons' kritik er en fem ud af otte multisig "helt utilstrækkelig" til at beskytte så meget som $5 milliarder af midler, og at fire af disse otte multisigs blev "givet" til eksterne parter udvalgt af Polygon. For Bons kan dette udgøre en risiko for samordning.

Ifølge BjelicI er de eksterne parter imidlertid "velansete Ethereum/Polygon-projekter og blev ikke udvalgt af Polygon, de besluttede at deltage."

"Jo flere underskrivere, jo sværere er det at koordinere dem, hvis en øjeblikkelig reaktion er påkrævet. Vi forsøger at finde den rigtige balance her; vi har allerede flere underskrivere end de fleste af de andre skaleringsprojekter,” svarer BjelicI.

Her er, hvad Polygon skal gøre

I sine tweets deler Bons også nogle råd med Polygon-teamet.

Efter Bons' mening er Polygon nødt til at decentralisere deres egen styring baseret på Matic-tokenholderne. I øjeblikket er dette stadig alt for centraliseret efter en DPoS-model (Delegated Proof of Stake) med et lavt antal validatorer. Ifølge data fra Polygon-blokudforskeren Plygonscan, var det kun fire validatorer, der minede størstedelen af blokkene de sidste syv dage.

Når Polygon har decentraliseret deres styring. De bliver nødt til at overføre den smarte kontraktadministrationsnøgle til Matic-tokenholderne, foreslår Bons. Effektivt at vende kontrollen over til "Matic DAO". Dette vil højst sandsynligt kræve en migrering over til en ny Polygon Smart-kontrakt.

"Dette ville naturligvis være meget vanskeligt og dyrt at gøre. Det er dog prisen, man skal betale for ikke at gøre tingene rigtigt, til at begynde med. Det er prisen, vi betaler for decentralisering og den sikkerhed, der følger med. Det er, hvad kryptovaluta skal handle om,« tweeter Bons.

I sit svar siger BjelicI, at den foreslåede løsning "afgjort er vores mål, som beskrevet i gennemsigtighedsrapporten. Dette vil dog øge reaktionstiden i tilfælde af en fejl, så det vil blive implementeret og aktiveret gradvist."

CryptoSlate har kontaktet Polygon for kommentarer, men modtog ingen svar i skrivende stund. Nogle af citaterne er blevet redigeret for klarhedens skyld.