PMX торговий робот зазнав хакерської атаки, кошти користувачів на суму 230 000 доларів США пошкоджені, офіційні особи обіцяють компенсацію

Торгівельний бот Polycule від PMX зазнав хакерської атаки, що призвело до крадіжки близько 230 тисяч доларів коштів користувачів. Інцидент стався ночі 7 січня, офіційні представники швидко визначили джерело вразливості, а виправлення та аудит будуть запущені наприкінці цього тижня. Це ще один інцидент безпеки в галузі торгівельних ботів після попередньої крадіжки meme TG-бота, що знову виявляє ризики безпеки таких продуктів.

Основна інформація про інцидент

Деталі атаки та подолання

PMX офіційно повідомив, що хакер використав вразливість коду торгівельного бота Polycule для здійснення атаки, що призвело до крадіжки коштів користувачів. За словами офіційних представників, масштаб залучених коштів близько 230 тисяч доларів, що стосується переважно користувачів у мережі Polygon.

Швидкість реагування офіціалу порівняно висока:

• Визначено джерело вразливості
• Виправлення та аудит будуть завершені наприкінці тижня
• Обіцяна компенсація постраждалим користувачам через казначейство
• Обіцяна відновлення залишків постраждалих користувачів до рівня до атаки

Оцінка плану компенсації

Судячи з компенсаційних зобов’язань офіціалу, такий підхід “повної компенсації” порівняно відповідальний. Однак конкретні деталі реалізації компенсації (графік, процес тощо) потребують подальшого підтвердження. Для постраждалих користувачів ключовим моментом є те, що офіціал справді обіцяв компенсацію, що краще за позицію деяких проектів щодо “абсолютної байдужості”.

Рефлексія над ризиками у галузі

Дилема безпеки торгівельних ботів

Це не перший випадок проблем з торгівельними ботами. Відповідні новини свідчать про те, що meme TG-бот раніше теж був скомпрометований, а це означає, що подібні ризики безпеки можуть повторитися в сфері прогнозних ринків, арбітражних інструментів та інших галузей.

Основні проблеми, з якими стикаються продукти торгівельних ботів:

• Потребують доступу до коштів користувачів або прав торгівлі, мають вроджені ризики
• Висока складність коду, вразливості важко повністю запобігти
• Стандарти аудиту та безпеки не уніфіковані
• Користувачі часто мають недостатню усвідомленість ризиків

Висновок для користувачів

Цей тип інцидентів для користувачів дає чіткий сигнал:

• Хоча торгівельні боти зручні, вони не безризикові
• При виборі продукту треба ретельно розглянути можливості безпеки проекту та його історію
• Не варто покладати все свої кошти на жодний автоматизований інструмент
• Позиція офіціалу щодо реагування та компенсаційні зобов’язання також є важливим параметром вибору

Підсумок

Швидке визначення вразливості офіціалом PMX та обіцяна компенсація заслуговують похвали, але цей інцидент по суті відображає системні проблеми безпеки в галузі торгівельних ботів. З розповсюджуванням таких інструментів інциденти безпеки можуть і далі повторюватися. Для проектів необхідні суворіші аудити коду та стандарти безпеки; для користувачів потрібна більш обережна оцінка ризиків. Це не означає, що не варто використовувати торгівельні боти, а означає, що треба розуміти пов’язані з ними ризики та приймати більш раціональні рішення.