Apakah Poligon Safu? Kritikus: Multisig Tidak Cukup Aman, $5 Miliar Dalam Bahaya

Diterbitkan Ulang Oleh Plato

Followers: 0

Polygon mungkin merupakan alternatif paling populer untuk bertransaksi langsung di lapisan dasar Ethereum (L1), memberikan pengguna kesempatan untuk melakukan transaksi cepat dengan biaya rendah. poligon (MATIC) paling dikenal sebagai apa yang disebut side-chain untuk Ethereum, yaitu blockchain yang kompatibel dengan Ethereum Virtual Machine (EVM) yang menjalankan kumpulan node validatornya sendiri. Namun, tim Polygon juga diinvestasikan sangat dalam teknologi Layer-2 murni, dan menyediakan layanan seperti solusi penskalaan Miden berbasis zk-STARKs.

Tentu saja, dengan keberhasilan datanglah tanggung jawab untuk melindungi semua dana yang dicurahkan pengguna ke dalam jaringan. Dalam utas tweet, Justin Bons, Pendiri & CIO dari Ibukota Cyber, menuduh tim Polygon menggunakan langkah-langkah keamanan yang longgar, terutama di sekitar kontrak multisig kontrak pintar Polygon yang mengontrol kunci admin kontrak pintar Polygon. Kunci ini, pada gilirannya, mengendalikan lebih dari $5 miliar dana, menurut Bons.

1/14) Poligon dalam kondisi saat ini tidak aman & terpusat!

Hanya perlu 5 orang untuk berkompromi lebih dari $5 miliar!

4 dari orang-orang itu adalah pendiri Poly!

Ini adalah salah satu peretasan terbesar atau penipuan keluar yang menunggu untuk terjadi

Ceroboh & tidak bertanggung jawab, peringatan untuk orang bijak:

- Justin Bons (@Justin_Bons) Februari 12, 2022

“Poligon dalam kondisi saat ini tidak aman dan terpusat! Hanya perlu lima orang untuk berkompromi lebih dari $5 miliar! Empat dari orang-orang itu adalah pendiri Polygon! Ini adalah salah satu peretasan terbesar atau penipuan keluar yang menunggu untuk terjadi, ”tweet Bons

“Tim Polygon bisa mendapatkan kendali penuh atas Polygon”

“Kunci admin kontrak pintar Polygon dikendalikan oleh lima dari delapan kontrak multi-tanda tangan. Ini berarti bahwa [tim] Polygon dapat memperoleh kendali penuh atas Polygon hanya dengan satu dari empat pihak luar yang bersekongkol. Empat partai lainnya dalam multisig juga dipilih oleh Polygon,” lanjut Bons.

Menurut Bons, ini juga berarti bahwa keempat partai lain ini “tidak sepenuhnya tidak memihak.” Kontrol atas kunci admin kontrak sama dengan kekuatan untuk mengubah aturan. Pada titik mana "segala sesuatu menjadi mungkin." Termasuk mengosongkan seluruh kontrak Polygon.

Beberapa kritik juga ditujukan pada dugaan kurangnya transparansi Polygon. Ini bukan pertama kalinya dugaan ketidakjelasan Polygon dibahas. Chris Blek di DeFi Watch sebelumnya mengirim permintaan kepada tim Polygon meminta kejelasan. Menurut Bons dan Blec, Polygon tidak menjawab permintaan Blec.

Namun, Poligon tim tidak semua diam tentang masalah ini karena pertanyaan semacam ini telah muncul sebelumnya. Tim sebelumnya telah diterbitkan laporan transparansi multisig untuk memperjelas masalah ini. Menanggapi tweet Bons, Mihailo Bjelic, salah satu pendiri Polygon, secara tidak langsung mengkonfirmasi kekhawatiran multisig karena Polygon "bekerja untuk menghilangkannya". Multisig diimplementasikan pada "fase awal" dan tampaknya bukan solusi ideal seiring pertumbuhan sistem.

1/9 Penggunaan multisig telah dibahas berkali-kali. Terutama demi pendatang baru, mari kita bahas poin-poin kuncinya sekali lagi.

TL;DR: Multisig digunakan untuk meningkatkan keamanan, bukan untuk menguranginya. Polygon menggunakannya secara bertanggung jawab, dan kami sedang berupaya menghapusnya. https://t.co/vSlSQUaRmX

- Mihailo Bjelic (@MihailoBjelic) Februari 14, 2022

“Mereka [multisig] dianggap sebagai pendekatan optimal untuk mengamankan dana pengguna di fase awal pengembangan dan digunakan oleh hampir setiap proyek penskalaan dan bridging.”

Bjelic menunjuk pada laporan transparansi yang merinci “rencana untuk meningkatkan dan akhirnya menghapus multisig.” Bjelic kemudian membahas beberapa poin dalam tweet Bons.

“Keluar scam bukan masalah realistis untuk Polygon”

Menurut BjelicI, exit scam bukanlah masalah yang realistis bagi Polygon; multisig digunakan untuk melindungi pengguna dari peretasan, dan Polygon menggunakan multisig seperti itu karena mereka bertanggung jawab, bertentangan dengan tuduhan.

Sesuai kritik Bons, lima dari delapan multisig "sama sekali tidak cukup" untuk melindungi dana sebanyak $5 miliar, dan empat dari delapan multisig itu "diberikan" kepada pihak luar yang dipilih oleh Polygon. Bagi Bons, ini mungkin merupakan risiko kolusi.

Namun, menurut BjelicI, pihak luar adalah “proyek Ethereum/Polygon yang bereputasi baik dan tidak dipilih oleh Polygon, mereka memutuskan untuk berpartisipasi.”

“Semakin banyak penandatangan, semakin sulit untuk mengoordinasikan mereka jika diperlukan reaksi segera. Kami mencoba menemukan keseimbangan yang tepat di sini; kami sudah memiliki lebih banyak penandatangan daripada kebanyakan proyek penskalaan lainnya, ”jawab BjelicI.

Inilah yang harus dilakukan Polygon

Dalam tweetnya, Bons juga berbagi beberapa saran dengan tim Polygon.

Menurut pendapat Bons, Polygon harus mendesentralisasikan pemerintahan mereka sendiri berdasarkan pemegang token Matic. Saat ini, ini masih terlalu terpusat mengikuti model DPoS (Delegated Proof of Stake) dengan jumlah validator yang rendah. Berdasarkan data dari penjelajah blok Polygon Plygonscan, hanya empat validator yang menambang sebagian besar blok selama tujuh hari terakhir.

Setelah Polygon mendesentralisasikan pemerintahan mereka. Mereka harus mentransfer kunci admin kontrak pintar ke pemegang token Matic, saran Bons. Secara efektif mengubah kontrol ke "Matic DAO". Ini kemungkinan besar akan membutuhkan migrasi ke kontrak Smart Polygon baru.

“Ini jelas akan sangat sulit dan mahal untuk dilakukan. Namun, itulah harga yang harus dibayar karena tidak melakukan sesuatu dengan benar, sejak awal. Ini adalah harga yang kita bayar untuk desentralisasi dan keamanan yang menyertainya. Inilah yang seharusnya menjadi cryptocurrency, ”tweet Bons.

Dalam jawabannya, BjelicI mengatakan bahwa solusi yang disarankan “pasti menjadi tujuan kami, seperti yang dijelaskan dalam laporan transparansi. Namun, ini akan meningkatkan waktu reaksi jika terjadi bug, sehingga akan diterapkan dan diaktifkan secara bertahap.”

CryptoSlate telah menghubungi Polygon untuk memberikan komentar, tetapi tidak menerima jawaban pada saat penulisan. Beberapa kutipan telah diedit untuk kejelasan.