Hegic, een DeFi-handelsprotocol voor opties, is gedwongen om zijn smart contracts opnieuw te implementeren, nadat er een bug gevonden is in de codebase. Als gevolg van deze bug is er nu $30.000 aan ETH voor eeuwig verloren. Wat hierop volgde was een twitteroorlog tussen de anonieme maker van Hegic en de smart contract-auditor Trail of Bits.
Een vergeten ‘s’ kost $30.000
Er was geen exploit of hacker die een aanval op Hegic lanceerde. In plaats daarvan was een simpele typfout de boosdoener. In plaats van “OptionsIDs”, de coderegel die liquiditeit ontgrendelt, schreef en publiceerde de ontwikkelaar “OptionIDs”. Een enkele weggelaten ‘s’ in een regel code zorgde ervoor dat de functie voor het ontgrendelen van liquiditeit verkeerd ging.
Gebruikers konden hun geld opnemen, maar het geld kon niet meer worden ontgrendeld, nadat de opties waren verlopen.
Molly Wintermute, de maker en enige ontwikkelaar van Hegic, gaf onmiddellijk waarschuwingen op Discord, Twitter en Telegram toen ze de fout ontdekte.
Hegic beloofde direct de slachtoffers terug te betalen. In totaal waren er 19 opties, waardoor bijna $30.000 aan ETH voor eeuwig verloren ging.
Wat is het nut van een audit?
Het verhaal is echter nog niet voorbij. Dan Guido, CEO van Trail of Bits, dook op Twitter om de lucht te klaren, nadat zijn bedrijf onder vuur kwam te liggen voor het herzien van de code van Hegic.
Guido verklaarde dat een codebeoordeling geen veiligheidscertificering is, maar eerder een raamwerk voor ontwikkelaars om de gebreken in hun code te begrijpen en ze te corrigeren.
Hij zei het volgende:
Ten tweede gaf hij aan dat Trail of Bits niet genoeg tijd had om de code van Hegic voldoende te controleren.
Wintermute zei echter dat ze om een beoordeling van een week had gevraagd en vroeg of de beveiligingsaudit geheel of gedeeltelijk zou zijn, volgens een reeks openbaar gemaakte e-mails.
Het bedrijf zei dat een driedaagse codebeoordeling voldoende zou zijn om “een goede beoordeling van de smart contracts” te bieden.
De ontwikkelaar van Hegic verklaarde ook dat ze de suggesties heeft geïmplementeerd die in de samenvatting van de codebeoordeling worden weergegeven.
Dit debacle bevestigt echter dat deze experts audits beschouwen als een samenvatting voor ontwikkelaars om hun code te verbeteren, en niet als een document met de tekst ‘deze code is klaar voor massaconsumptie’. Dit zou dus anders moeten om dit soort dingen in de toekomst te voorkomen.
Wat uiteindelijk de oplossing ook mag zijn, het is duidelijk dat het beter moet.
