Protocol Labs culpa “uso impróprio” de ferramentas da Filecoin por falha recente

19 mar 2021, 14:46 - atualizado em 29 mar 2021, 14:08

Uma brecha permitiu que alguns usuários conseguissem ter seus depósitos em FIL creditados duas vezes em corretoras (Imagem: Filecoin)

Protocol Labs, a equipe por trás da rede Filecoin, negou que qualquer tipo de falha por sua parte no problema de depósitos duplos de FIL, que chamou a atenção nessa quinta-feira (18).

Protocol Labs, de São Francisco, publicou uma declaração, afirmando que relatos sobre “gastos duplos por conta de uma séria falha” no código da rede são “incorretos e enganosos”.

“A equipe Lotus analisou cuidadosamente o artigo e não encontrou problemas na rede Filecoin ou na interface de programação de aplicações (API) do código de solicitação de procedimentos remotos (RPC). Não existem gastos duplos no próprio blockchain nem falhas no código da API”, confirmou a equipe.

A publicação do Protocol Labs respondeu relatos que haviam surgido ainda na quinta-feira. Alguns mineradores chineses da Filecoin notificaram corretoras cripto de que havia uma possível brecha de gastos duplos na rede.

A notícia de um possível gasto duplo rapidamente se espalhou pelas redes sociais. Não houve gasto duplo na rede. Porém, o verdadeiro problema em questão agora havia resultado em uma disputa de quem era culpado.

Por sua vez, Protocol Labs disse que não há falhas em sua API, argumentando que corretoras fizeram “uso impróprio” de suas APIs.

Nesta sexta-feira (19), a startup de carteira e custódia Cobo, cofundada por Discus Fish, F2Pool, publicou um artigo complementar em uma tentativa de explicar o processo técnico por trás do problema.

Então, o que aconteceu?

Seu dispositivo te notifica que a memória está cheia, mas você não tem para onde transferir seus arquivos? Filecoin deseja solucionar esse problema com sua rede descentralizada (Imagem: Gemini/Blog)

Nesta sexta-feira, desenvolvedores por trás do Filfox, explorador de blockchain Filecoin, e Filestar, projeto bifurcado da Filecoin, notaram que alguns depósitos de FIL de US$ 4,6 milhões na Binance receberam crédito duplo e, em seguida, notificaram as corretoras, bem como Protocol Labs.

Parece que também notificaram sites chineses sobre um possível, porém não confirmado gasto duplo no blockchain, o que resultou em manchetes que se espalharam pelas redes sociais.

6Block, empresa chinesa de mineração de Filecoin, é a equipe por trás do desenvolvimento tanto do Filfox como do Filestar. Na verdade, 6Block tem a mesma equipe que o projeto chinês de blockchain público QTUM.

Como uma precaução, corretoras cripto, como Binance e OKEx, suspenderam depósitos quando a notícia se espalhou.

De início, Protocol Labs respondeu a alguns dos artigos chineses que não havia acontecido um gasto duplo, explicando que era um problema de “front-end” com o explorador de bloco Filfox.

A equipe por trás do Filfox e do Filestar rapidamente respondeu, afirmando que, após uma ampla análise, encontraram uma séria falha dentro da API da Filecoin, a qual o Protocol Labs recomendou a corretoras cripto para a comunicação com a rede na creditação de depósitos de usuários.

Foi por meio dessa brecha que alguns usuários conseguiram ter seus depósitos em FIL creditados duas vezes, segundo os desenvolvedores do Filfox e do Filestar.

Horas depois, o Protocol Labs apresentou sua avaliação de que não havia falhas na própria API, mas uma corretora não mencionada — possivelmente, a Binance — não a usou corretamente.

“A corretora em questão, envolvida no uso impróprio da API, agiu imediatamente para interromper depósitos, saques e transferências. Reverteram as transações incorretas em questão (para que nenhum fundo se perca nesse incidente) e estão corrigindo seu uso das APIs Lotus para fazer o uso correto”, disse Protocol Labs.

A empresa acrescentou que outras corretoras foram alertadas e, ao seu ver, “nenhuma outra corretora fez um uso impróprio dessa API dessa forma”.

Segundo a explicação da Cobo, o processo aconteceu da seguinte forma: nós Lotus da Filecoin fornecem diferentes tipos de APIs para a coleta de informações de transações no blockchain.

Por exemplo, ChainGetBlockMessages é uma API criada para coletar detalhes de todas as transações em um só bloco específico. StateGetReceipt é uma outra forma de coletar os resultados de execução de um identificador específico de transação.

Cobo escreveu que “existe uma parte que não é muito lógica no design da StateGetReceipt”, que poderia contar a mesma coisa duas vezes se houver uma transação substituída por uma taxa.

Substituições por taxas (do inglês “replace-by-fee” ou RBF) acontecem quando um remetente quer acelerar transações não confirmadas ao substituí-las com uma nova — geralmente com uma taxa mais alta.

“Imaginando que um invasor primeiro enviaria a primeira transação (TX1) com um identificador correspondente (como TXID1). Em seguida, o invasor realizaria uma RBF ao gerar a segunda transação (TX2) com um TXID2 correspondente. Depois, apenas a TX2 seria transacionada no blockchain. Mas se você usar a StateGetReceipt para solicitar tanto TXID1 como TXID2, você seria informado que ambos foram executados”, explicou Cobo.

Cobo afirmou que já havia detectado esse problema quando estava trabalhando com a Protocol Labs para fornecer suporte a depósitos FIL para seu serviço de custódia e, assim, não usou as APIs ChainGetBlockMessages e StateGetReceipt para acessar informações do blockchain.

Após divulgarem o problema, desenvolvedores da Filecoin especificaram o design de API da StateGetReceipt e afirmaram que irão descartar a API após a primeira versão.