Автор: Nicky, Foresight News
15 июля на запускающей платформе vlad.fun в сети Robinhood Chain в день ее запуска произошел инцидент со злонамеренными действиями внутренних разработчиков. По официальной информации, двое внешних разработчиков, участвовавших в создании платформы, тайно создали собственный токен и жестко прописали его в код фронтенда. В результате при запуске платформы пользователи видели только этот токен, а все токены других создателей были невидимы. Команда обнаружила аномалию в течение двух часов, после чего немедленно уволила замешанных разработчиков и удалила вредоносный код.
В официальном заявлении подчеркивается, что команда никогда не соглашалась выпускать токен платформы vlad.fun, двое разработчиков самостоятельно решили выпустить его ради «просмотров». После переговоров двое вернули около 15 000 долларов США комиссий создателям и доходов от тестовых токенов. Общая сумма возвращенных средств составила около 7,8 ETH, которые были переведены в безопасный кошелек команды. Кроме того, протокольные комиссии, полученные при запуске платформы, в размере около 4,16 ETH хранятся на мультиподписном адресе команды.
Согласно открытым данным, vlad.fun был быстро создан небольшой командой из 5 человек за 48 часов. В настоящее время два члена проекта, связанные с проектом, сделали заявления, но на момент публикации конкретная информация о двух внешних разработчиках не раскрывается. Согласно ветке объяснения событий, опубликованной официальным аккаунтом проекта 18 июля, двое внешних разработчиков отвечали за предоставление основного репозитория кода для запуска. Во время последней отправки кода перед запуском платформы они вручную добавили в фронтенд строку жесткого кодирования, которая принудительно отображала их собственный токен на главной странице, в то время как токены других создателей были полностью скрыты из-за проблем с загрузкой.
После запуска пользователи быстро заметили аномалию — на всей платформе отображался только один токен. Члены команды начали проверять код и в истории коммитов обнаружили строку с жестким кодированием, добавленную вручную. Когда команда стала их расспрашивать, двое разработчиков сначала ссылались на технические причины, такие как сбой RPC, проблемы с переменными окружения и кэшированием, но факт постоянной видимости соответствующего токена явно противоречил таким объяснениям.
По официальной информации, затем один из разработчиков потребовал отключить защиту веток в репозитории кода, заявив, что необходимо «откатить некоторые изменения». Перед снятием защиты команда сделала резервную копию всего репозитория с отметкой времени и обнаружила, что двое удалили строку кода, содержащую жесткое кодирование. В официальном заявлении отмечается, что эта попытка уничтожить улики в конечном итоге раскрыла их намерения. Перед лицом доказательств двое разработчиков признали содеянное.
Этот инцидент отражает риски доверия, с которыми сталкиваются быстро создаваемые криптопроекты при привлечении внешних разработчиков. Личности двух замешанных разработчиков пока не раскрыты, команда заявила, что последовала совету и временно не будет их разглашать. В vlad.fun заявили, что в будущем не будут допускать внешних лиц к чувствительным системам и склоняются к разработке на основе открытых контрактов.
Согласно информации на официальном сайте, vlad.fun в настоящее время приостановил работу. Команда заявила, что приоритетом является решение вопросов пострадавших пользователей.
Член сообщества Will Mexi после инцидента публично разъяснил свою роль. Он заявил, что отвечал за подачу заявок на участие в проекте, оптимизацию фронтенда, дизайн, брендинг и анимацию, и не является одним из двух замешанных разработчиков, а также не участвовал в планировании или выполнении данной операции. По его словам, примерно за 20 минут до запуска он тестировал нормальную версию сайта, поэтому не заметил аномалий.
Will Mexi сообщил, что после официального запуска платформы он увидел, что токен уже появился, и это было нелогично. Он сразу же прочитал новый код и обнаружил строку с жестким кодированием, после чего немедленно сообщил об этом основной команде. Он также отметил, что ранее включил защиту веток именно из-за осторожности по отношению к внешнему коду, и эта настройка в конечном итоге сохранила полную историю коммитов и доказательства намерений. Он также отрицал покупку любых токенов платформы и заявил, что понес убытки из-за дорогостоящих расходов на RPC, API и развертывание серверов.
Член основной команды @SOLsesame также выразил поддержку в ветке обсуждения инцидента. Он входит в постоянную небольшую команду, которая сотрудничает с Will Mexi и другими более года, и не является замешанным внешним разработчиком. Его прошлый опыт показывает, что он является активным разработчиком в экосистеме Solana, глубоко участвовал в проектах ai16z, включая PartnersNFT и PartnersDAO. Недавно он также вместе с Will Mexi за 24 часа с нуля создал и запустил серию NFT Black Bull для сообщества ANSEM.
Будучи запускающей платформой в сети Robinhood Chain, vlad.fun отличается от традиционных платформ с bonding curve. Целью дизайна vlad.fun является возможность завершить развертывание токена и его прямой запуск в Uniswap V3 или V4 одной транзакцией. Токен становится доступным для торговли на децентрализованной бирже мгновенно, без необходимости прохождения этапа «выпуска» и миграции. Позиции пула ликвидности навсегда блокируются смарт-контрактом locker и не могут быть изъяты командой, что снижает риск rug pull на уровне механизма.
В плане справедливости дизайна платформа использует механизмы фиксированного предложения, без пресейлов и без крупных распределений команде. При этом предоставляется опция приоритетной покупки для разработчиков, позволяющая им покупать токены при запуске с нулевой торговой комиссией. Антикитовый механизм ограничивает максимальную долю одного кошелька в 2%, предотвращая концентрацию активов на одном адресе. Что касается маршрутизации комиссий, платформа поддерживает установку торговой комиссии от 1% до 5%, которая может мгновенно направляться указанному получателю, включая адрес кошелька, социальный аккаунт или прокси для обратного выкупа и сжигания. Комиссии блокируются при запуске и не могут быть изменены. Кроме того, платформа также планирует внедрить опциональные модели, такие как стейкинг с дивидендами.
Хотя vlad.fun приостановил работу из-за внутреннего инцидента, экосистема запускающих платформ в сети Robinhood Chain не остывает. Согласно данным DefiLlama, текущий TVL сети составляет около 258 миллионов долларов США, комиссии за 24 часа — около 118 000 долларов, доход — около 106 000 долларов, при этом расходы Uniswap на комиссии за 24 часа достигли 1,95 миллиона долларов. В настоящее время в экосистеме уже собралось несколько запускающих платформ, каждая из которых формирует свою конкурентную нишу: новичок PONS благодаря интенсивной разработке и постоянным обновлениям занял лидирующую позицию среди запускающих платформ, рыночная капитализация его токена платформы составляет около 12 миллионов долларов, а рост за последние 7 дней превысил 4200%. Кроме того, платформа Butterfly делает ставку на акцио-мемы, но пока не создала хита. Инновационные механические токены на базе Uniswap, такие как токены с дивидендами RWA, как index, получили внимание со стороны официальных лиц, и их рыночная капитализация 17 июля временно достигла 30 миллионов долларов.
