Wprowadzenie do problemu / definicja luki
Unleash Protocol – zdecentralizowana platforma do tokenizacji i monetyzacji praw własności intelektualnej – ujawniła incydent, w którym atakujący przejął kontrolę administracyjną poprzez mechanizm multisig governance i wykonał nieautoryzowaną aktualizację (upgrade) kontraktu, co odblokowało możliwość wypłat poza standardową procedurą zarządczą.
W praktyce nie był to „klasyczny” błąd logiki smart kontraktu (np. w obliczeniach), tylko awaria modelu zaufania: ktoś uzyskał wystarczającą „siłę podpisu”, by działać jak uprawniony administrator.
W skrócie
- Straty oszacowano na około 3,9 mln USD.
- Atak miał umożliwić upgrade kontraktu i wypłaty aktywów bez autoryzacji zespołu.
- Skradzione aktywa obejmowały m.in. WIP, USDC, WETH, stIP, vIP.
- PeckShield raportował, iż środki trafiły na Ethereum i zostały zdeponowane w Tornado Cash (ok. 1 337 ETH).
- Unleash wstrzymał operacje i zalecił użytkownikom nie wchodzić w interakcje z kontraktami do czasu komunikatu o bezpieczeństwie.
Kontekst / historia / powiązania
Z perspektywy architektury bezpieczeństwa Unleash działa jak warstwa „operacyjna” dla IP: konwertuje prawa własności intelektualnej na aktywa on-chain i pozwala wykorzystywać je w DeFi (np. jako zabezpieczenie), a także automatyzować dystrybucję opłat licencyjnych/royalties według reguł zapisanych w smart kontraktach.
To ważne, bo takie systemy zwykle muszą mieć:
- komponenty upgrade’owalne (naprawy, migracje, nowe funkcje),
- mechanizmy governance (kto i jak zatwierdza zmiany),
- oraz zabezpieczenia ograniczające ryzyko „przejęcia sterów”.
W omawianym incydencie zawiodła właśnie warstwa governance oparta o multisig.
Analiza techniczna / szczegóły luki
1) Co oznacza „multisig hijack” w tym kontekście?
Multisig (multisignature) to portfel / kontroler uprawnień, w którym do wykonania operacji potrzeba np. M z N podpisów. jeżeli atakujący:
- przejmie klucze części sygnatariuszy,
- zmanipuluje proces podpisu,
- lub obejdzie politykę zatwierdzania,
…może uzyskać zdolność do działań administracyjnych.
Unleash wskazał, iż zewnętrzny adres (EOA) uzyskał kontrolę administracyjną poprzez multisig governance.)
2) Dlaczego upgrade kontraktu jest „krytycznym punktem zapalnym”?
BleepingComputer opisuje, iż atakujący wykonał nieautoryzowany contract upgrade, który „odblokował” wypłaty aktywów.
W systemach upgrade’owalnych (np. proxy) uprawnienie do zmiany implementacji jest de facto „kluczem do sejfu”:
- można wprowadzić kod umożliwiający transfery,
- zmienić kontrolę dostępu,
- ominąć wcześniejsze ograniczenia.
3) Przebieg zdarzeń i przepływ środków (high level)
Z dostępnych publicznie informacji wynika następujący łańcuch:
- Przejęcie zdolności administracyjnych przez multisig.
- Nieautoryzowany upgrade kontraktu, po którym możliwe stały się wypłaty.
- Wypłata aktywów: WIP, USDC, WETH, stIP, vIP.
- Przenoszenie/mostkowanie (bridging) i utrudnianie analizy ścieżki środków.
- Depozyty do Tornado Cash: PeckShield raportował około 1 337 ETH.
(CertiK również wiązał incydent z transferami do Tornado Cash.)
4) Tornado Cash jako etap „post-exploitation”
Tornado Cash to narzędzie prywatności/mikser na Ethereum, często wykorzystywane do utrudniania atrybucji przepływów. Warto odnotować, iż OFAC ogłosił delisting (usunięcie z listy sankcyjnej) Tornado Cash w marcu 2025 r.
(Niezależnie od tego, z perspektywy IR i śledzenia środków, użycie miksera znacząco komplikuje odzyskiwanie aktywów.)
Praktyczne konsekwencje / ryzyko
Dla użytkowników i integratorów:
- Ryzyko utraty środków trzymanych w protokole lub w modułach powiązanych (vaulty, strategie, integracje).
- Wysokie prawdopodobieństwo chaosu operacyjnego: pauzy, migracje, snapshoty, potencjalne zmiany kontraktów.
Dla projektów DeFi/Web3:
- Kompromitacja multisig/governance jest często bardziej „brutalna” niż bug w kodzie: atakujący działa jak legalny administrator.
- Jeśli upgrade nie jest chroniony timelockiem lub dodatkowymi kontrolami, okno reakcji bywa minimalne.
Rekomendacje operacyjne / co zrobić teraz
Jeśli jesteś użytkownikiem Unleash
- Trzymaj się komunikatu zespołu: nie wchodź w interakcje z kontraktami, dopóki Unleash oficjalnie nie potwierdzi, iż jest bezpiecznie.
- Monitoruj oficjalne kanały (ogłoszenia dot. wznowienia operacji, procedur odzysku, ewentualnych migracji).
Jeśli budujesz protokół (lekcje „do wdrożenia”)
- Timelock na upgrade: każda zmiana implementacji/parametrów krytycznych powinna mieć opóźnienie + możliwość „community veto” lub przynajmniej alertów.
- Separation of duties: oddziel uprawnienia do upgrade od uprawnień operacyjnych (np. wypłaty, listy tokenów, parametry ryzyka).
- Hardened multisig:
- podnieś próg M-of-N,
- ogranicz sygnatariuszy do urządzeń HSM/hardware wallet,
- wprowadź politykę „no blind signing” i weryfikację danych transakcji,
- stosuj rotację kluczy i procedury na wypadek podejrzenia kompromitacji.
- Monitoring on-chain:
- alerty na zdarzenia związane z upgrade (zmiana implementacji/proxy admin),
- alerty na nietypowe wypłaty, bridging, interakcje z mikserami.
- Runbook incident response: wcześniej przygotowane playbooki „pause/denylist/upgrade freeze”, kontakty do firm analitycznych i giełd (czas ma znaczenie).
Różnice / porównania z innymi przypadkami
Ten incydent wpisuje się w klasę ataków, w których punkt pojedynczej awarii nie leży w Solidity, tylko w:
- kontroli nad kluczami (sygnatariusze multisig),
- procedurach zatwierdzania,
- i mechanizmach upgrade.
W porównaniu do exploitów stricte „bug bounty class” (np. błąd arytmetyki, brak walidacji wejścia), kompromitacja governance:
- bywa trudniejsza do wykrycia w testach jednostkowych,
- wymaga nacisku na procesy (operacje, DevSecOps, polityki kluczy),
- i często daje atakującemu uprawnienia „jak admin”, czyli największy możliwy impact.
Podsumowanie / najważniejsze wnioski
- Unleash Protocol stracił ok. 3,9 mln USD po tym, jak atakujący przejął kontrolę administracyjną przez multisig governance i wykonał nieautoryzowany upgrade umożliwiający wypłaty.
- Skradzione aktywa obejmowały m.in. WIP, USDC, WETH, stIP, vIP, a część środków miała trafić do Tornado Cash (raportowane ~1 337 ETH).
- Najważniejsza lekcja: bezpieczeństwo DeFi to nie tylko audyt kodu, ale też twarde zabezpieczenie governance i procesu upgrade (timelock, monitoring, polityki kluczy).
Źródła / bibliografia
- BleepingComputer — „Hackers drain $3.9M from Unleash Protocol after multisig hijack” (31 grudnia 2025). (BleepingComputer)
- Unleash Protocol (komunikat o incydencie na X) — informacja o przejęciu kontroli przez multisig governance i nieautoryzowanym upgrade. (X (formerly Twitter))
- PeckShieldAlert (X) — raport o transferze ok. 1 337,1 ETH do Tornado Cash. (X (formerly Twitter))
- CertiK Alert (X) — powiązanie incydentu z transferami do Tornado Cash. (X (formerly Twitter))
- U.S. Department of the Treasury — „Tornado Cash Delisting” (21 marca 2025). (U.S. Department of the Treasury)
