خسر خزانة بولكادوت 1.38 مليون دولار بعد أن استغل مهاجم ثغرة أصلحها المطورون قبل أربعة أشهر. كشفت شركة Parity Technologies في تقرير حادثة بتاريخ 2 نوفمبر أن إصلاح الكود في يونيو لم يصل إلى أنظمة الإنتاج المتأثرة قبل الهجوم الذي وقع بين 24 و26 أكتوبر. تطور Parity البنية التحتية للسلاسل البلوكشين لبيئتي بولكادوت وكوساما.
قام المهاجم بتعديل سجلات العرض من خلال نظام الرسائل بين السلاسل في Polkadot Asset Hub، مما قلل من العرض المسجل لـ dotUSD مع ترك أرصدة المستخدمين من الرموز دون تغيير. أدى هذا عدم التوافق إلى تعطيل التسعير في حوض السيولة DOT/dotUSD، مما مكّن المتداولين من الحصول على DOT مقابل dotUSD بأسعار مشوهة اصطناعياً. تكبد الخزانة خسائر بلغت حوالي 1.381 مليون دولار كمزوّد السيولة الوحيد في الحوض. وقالت Parity إن المستخدمين لم يعانوا من أي خسارة للأموال، واحتفظ dotUSD بدعمه الكامل بـ USDT. ومع ذلك، لم تستطع Parity تحديد ما إذا كان المُستغل قد استفاد أيضاً من عمليات التسويق arbitrage التي تلت ذلك.
بدأ dotUSD، العملة المستقرة اللامركزية لبوليكاتوت، في العمل في أكتوبر تحت منظمة ذاتية الحكم لامركزية (DAO) للشبكة. تم تصميم dotUSD دون مُصدر مركزي، على عكس العملات المستقرة الصادرة من شركات خاصة. يُدير حاملو DOT قرارات dotUSD من خلال OpenGov. قيمت Parity في الأصل الثغرة على أنها ذات خطورة متوسطة لأن التقييم استبعد التفاعلات المحتملة مع dotUSD، التي لم تُطلق بعد. ورفعت Parity التقييم إلى خطورة حرجة بعد أن أظهر الهجوم الأثر المالي.
نشر باحث الأمن الذي أبلغ أولاً عن الثغرة تعليقاً على المنتدى يشير إلى إصلاح الكود في 20 أكتوبر. وقالت Parity إن الباحث حذف التعليق بعد تلقي إشعار بأن الكشف انتهك قواعد مكافأة الأخطاء الخاصة بـ Parity. وتعتقد Parity أن التعليق قد قدم معلومات كافية للمهاجمين لاكتشاف الثغرة واستغلالها.
توقفت Snowfork عن تشغيل مُعيدات التوافق الخاصة بالشركة بعد اكتشاف نشاط مشبوه في 24 أكتوبر. أدى الإغلاق إلى منع مؤقت للمعاملات الضارة الإضافية من الدخول إلى Polkadot عبر Snowbridge. ومع ذلك، استخدم المهاجم مُعيدًا يعمل بشكل مستقل في 26 أكتوبر لإعادة تشغيل الاستغلال، حوالي ست ساعات قبل أن يقوم المطورون بتنفيذ الترقية الأمنية عبر OpenGov. تسمح Snowbridge للمشاركين المستقلين بتشغيل مُعيدات، لذا استطاعت Snowfork تعليق بنية تحتية خاصة بها، لكنها لم تستطع منع المهاجم من الوصول بشكل دائم.
أزال Parity الثغرة باستخدام الترقية الزمنية 2.5.1 في 26 أكتوبر، واستعاد السيولة المتبقية من الصندوق المتأثر. وأصلحت ترقية أخرى في 30 أكتوبر سجلات إمداد dotUSD دون تغيير أرصدة الحسابات الفردية. كما أصلحت ترقية 30 أكتوبر مشكلة منفصلة كانت قد عطلت Snowbridge. وعاد dotUSD المستعاد إلى الخزينة. ومع ذلك، ظلت الخسائر الناتجة عن التداول بأسعار اصطناعية قائمة.
أقرت Parity بأن إجراءات الأمان الخاصة بالشركة لم تُحدِّد المخاطر المتغيرة الناتجة عن وظائف الشبكة الجديدة. وقالت Parity إن الشركة ستُحسّن تقييمات الثغرات، وتعزز التحقق من النشر، وتوسع الرصد للكشف عن إصدار غير طبيعي للأصول. وتقوم Parity بتحسين إطار أمان آلي مبني على الذكاء الاصطناعي يهدف إلى اكتشاف التغييرات المحتملة في الكود التي يمكن استغلالها في مراحل مبكرة من التطوير. كما تراجع Parity الثغرات المبلغ عنها سابقًا بحثًا عن المخاطر الناشئة عن dotUSD.
بولكادوت تخسر 1.38 مليون دولار بعد استغلال قرصان ثغرة أمنية ثابتة
CryptoSlateمشاركة
ملخص
خسر خزانة بولكادوت 1.38 مليون دولار بعد أن استغل قراصنة ثغرة معروفة كانت قد أُصلحت منذ أربعة أشهر. استهدف الهجوم نظام الرسائل عبر السلاسل في مركز أصول بولكادوت، مما تسبب في اختلال في عرض dotUSD وتمكين التسويق الاستغلالية. وأكدت Parity Technologies أن الثغرة كانت تُصنف في الأصل على أنها متوسطة، لكنها رُفعت إلى مستوى حرجة بعد الاختراق. لم يتم نشر الإصلاح المطبق في يونيو على الأنظمة الحية. وقد تم تنفيذ ترقيات التشغيل منذ ذلك الحين لاستعادة السيولة والامتثال لمتطلبات الامتثال CFT وMiCA.
المصدر:عرض النسخة الأصلية
إخلاء المسؤولية: قد تكون المعلومات الواردة في هذه الصفحة قد حصلت عليها من أطراف ثالثة ولا تعكس بالضرورة وجهات نظر أو آراء KuCoin. يُقدّم هذا المحتوى لأغراض إعلامية عامة فقط ، دون أي تمثيل أو ضمان من أي نوع ، ولا يجوز تفسيره على أنه مشورة مالية أو استثمارية. لن تكون KuCoin مسؤولة عن أي أخطاء أو سهو ، أو عن أي نتائج ناتجة عن استخدام هذه المعلومات.
يمكن أن تكون الاستثمارات في الأصول الرقمية محفوفة بالمخاطر. يرجى تقييم مخاطر المنتج بعناية وتحملك للمخاطر بناء على ظروفك المالية الخاصة. لمزيد من المعلومات، يرجى الرجوع إلى شروط الاستخدام واخلاء المسؤولية.