أخبار ME، في 31 يوليو (UTC+8)، أصدرت CertiK تحليلًا لحادثة الهجوم على جسر العبور بين Verus و Ethereum في 23 يوليو. أظهر التحليل أن السبب الجذري للهجوم هو اختلاف في تفسير بيانات التوثيق (notarization) بين Verus و Ethereum. قام المهاجم بإدخال عدة سجلات ضارة مكررة لجذور الحالة (state root) داخل معاملة توثيق مشروعة، والتي وقّعت عليها بشكل طبيعي 11 عقدًا من عقدات التوثيق الخاصة بـ Verus ثم نُقلت إلى Ethereum. نظرًا لأن جانب Verus يقرأ بيانات جذر الحالة المُسلسلة ويُدخلها في جدول تعيين، بينما يعالج جانب Ethereum البيانات عند فك التسلسل عن طريق تمرير جميع عناصر proofRoots بالترتيب، ويُعيد كتابة جذر الحالة لكل عنصر يتطابق مع معرف النظام، مما أدى إلى استبدال جذر الحالة الضار المُقدّم لاحقًا لجذر الحالة الأصلي المشروع، وتم قبول جذر الحالة الذي سيطر عليه المهاجم في النهاية من قبل Ethereum كنقطة تحقق موثوقة. بناءً على ذلك، قام المهاجم بطلب تصدير عبر الجسر فقط بقيمة 0.01 VRSC عبر Bridge.vETH على سلسلة Verus، ثم أثناء استدعاء دالة submitImports() على جانب Ethereum، قام بتزوير حقول رئيسية في إثبات الاستيراد مثل hashtransfers (هashes التحويلات) بحيث تتطابق مع هاشات الأصول التي تم نقلها فعليًا، بينما استخدم أجزاء من بيانات المعاملة المشروعة السابقة لبناء باقي حقول الإثبات. أشارت CertiK إلى أن عقد جسر العبور بين Verus وEthereum يحتوي على ثغرة منطقية، حيث لم يتم التحقق مما إذا كانت المبلغ المدفوع المحدد في طلب الاستيراد يتوافق مع المبلغ الفعلي الصادر على شبكة Verus، مما سمح لإثبات مزور بالمرور عبر التحقق، وتم في النهاية تفويض سحب مبالغ تفوق بكثير المبلغ الفعلي المنقول. بعد نجاح الهجوم، قام المهاجم بتحويل الأصول المسروقة إلى 2778.8662 ETH عبر Relay ونقلها إلى Tornado Cash. (المصدر: Foresight News)
تُحلل CertiK هجوم جسر Verus متعدد السلاسل: استغلال الفروق الدلالية في جذور الحالة
KuCoinFlashمشاركة
ملخص
أصدرت CertiK تحليلًا على السلسلة لهجوم جسر Verus متعدد السلاسل في 23 يوليو، في 31 يوليو، وكشفت كيف استغل المهاجمون الفروق الدلالية في جذور الحالة. أدخل المهاجمون إدخالات مكررة ضارة في معاملة توثيق مشروعة، تم التوقيع عليها من قبل 11 عقدة توثيق Verus وأُرسلت إلى Ethereum. سمح اختلاف في فك التسلسل بتجاوز الجذور الضارة للجذور الصحيحة، مما مكن من إثبات استيراد احتيالي وسحب 2778.8662 ETH. تُظهر البيانات على السلسلة كيف يمكن تحويل الفروق الدقيقة في البروتوكول إلى أسلحة في الهجمات متعددة السلاسل.
المصدر:عرض النسخة الأصلية
إخلاء المسؤولية: قد تكون المعلومات الواردة في هذه الصفحة قد حصلت عليها من أطراف ثالثة ولا تعكس بالضرورة وجهات نظر أو آراء KuCoin. يُقدّم هذا المحتوى لأغراض إعلامية عامة فقط ، دون أي تمثيل أو ضمان من أي نوع ، ولا يجوز تفسيره على أنه مشورة مالية أو استثمارية. لن تكون KuCoin مسؤولة عن أي أخطاء أو سهو ، أو عن أي نتائج ناتجة عن استخدام هذه المعلومات.
يمكن أن تكون الاستثمارات في الأصول الرقمية محفوفة بالمخاطر. يرجى تقييم مخاطر المنتج بعناية وتحملك للمخاطر بناء على ظروفك المالية الخاصة. لمزيد من المعلومات، يرجى الرجوع إلى شروط الاستخدام واخلاء المسؤولية.