Tag: امنیت و هک

قیمت ADA با کاهش ۳ درصدی به ۰.۱۷۱۵ دلار رسید. این افت پس از آن رخ داد که این ارز دیجیتال روز گذشته ۷ درصد افزایش یافته بود، درست پیش از هک پل میدنایت (Midnight bridge). زمان‌بندی این اتفاق ناگوار بود. این سوءاستفاده امنیتی، پیش‌بینی‌های نزولی جدیدی را برای کاردانو به همراه داشته و این سوال را مطرح می‌کند که تا چه حد احساسات بازار پیش از بازگشت خریداران تضعیف خواهد شد.

هک پل کاردانو-BNB چین وان‌چین

BlockSec با استفاده از ابزار نظارتی Phalcon، یک سوءاستفاده امنیتی در پل کاردانو به BNB چین وان‌چین (Wanchain Cardano-to-BNB Chain bridge) را شناسایی کرد که حدود ۵۱۵ میلیون توکن NIGHT به ارزش ۹ میلیون دلار را به سرقت برد. تحقیقات نشان داد که این حمله به دلیل نقص در رمزگذاری پیام امضا شده در اعتبارسنج (validator) TreasuryCheck رخ داده است که امکان استفاده مجدد از امضا را فراهم می‌کرد. در نتیجه، برداشت‌های غیرمجاز بخش عمده‌ای از خزانه پل را خالی کرد.

ارتباط هک پل وان‌چین کاردانو با تهدیدات هوش مصنوعی

چارلز هاسکینسون، بنیانگذار IOHK، اعلام کرده است که سوءاستفاده ۱۰ میلیون دلاری از پل وان‌چین، تهدیدات امنیتی فزاینده‌ای را که ارزهای دیجیتال با آن روبرو هستند، برجسته می‌کند. این حمله ۵۱۵ میلیون توکن NIGHT را از پل کاردانو به BNB چین وان‌چین به سرقت برد.

توکن NIGHT بیش از ۳۰ درصد سقوط کرد و به طور موقت به پایین‌ترین سطح خود نزدیک به ۰.۰۱۵ دلار رسید و سپس تثبیت شد. توکن‌های به سرقت رفته، ذخایر پل را تشکیل می‌دادند و نه کیف پول کاربران. میدنایت اعلام کرده است که بلاکچین اصلی و اعتبارسنج‌های آن تحت تأثیر قرار نگرفته‌اند. با این حال، این تمایز نتوانست معامله‌گران را آرام کند و فشار فروش در صرافی‌ها گسترش یافت.

سوءاستفاده از پل‌ها به ندرت به یک توکن محدود می‌شود. با توجه به اینکه میدنایت به عنوان یک پروژه مهم در اکوسیستم کاردانو تلقی می‌شود، اعتماد به سرعت به ADA سرایت کرد. افزایش قیمت روز گذشته از بین رفت زیرا معامله‌گران برای کاهش ریسک هجوم آوردند و ADA را تحت فشار قرار دادند، حتی با وجود اینکه این سوءاستفاده زیرساخت پل شخص ثالث را هدف قرار داده بود و نه خود کاردانو.

پیش‌بینی قیمت ADA

ADA در حدود ۰.۱۷۱۵ دلار معامله می‌شود و در نیمه پایینی محدوده اخیر خود قرار دارد. حمایت در حدود ۰.۱۶ دلار باقی مانده است، در حالی که منطقه ۰.۱۸ تا ۰.۲۰ دلار همچنان مانع افزایش قیمت می‌شود. بهبود هفت روزه پس از هک پل میدنایت از بین رفته و مومنتوم به جای اطمینان‌بخش بودن، شکننده شده است.

ساختار فنی همچنان نشان‌دهنده تثبیت است تا یک بازگشت تأیید شده. بسیاری از معامله‌گران منطقه ۰.۱۸ تا ۰.۲۰ دلار را به عنوان منطقه تصمیم‌گیری کلیدی زیر نظر دارند. بسته شدن قوی بالاتر از این محدوده می‌تواند راه را برای ۰.۲۵ دلار باز کند، در حالی که رد شدن مجدد ممکن است ADA را به سمت ۰.۱۶ دلار بازگرداند.

بهترین سناریو به بهبود احساسات بازار و یک برنامه بازیابی معتبر از سوی تیم میدنایت بستگی دارد. اگر اعتماد بازگردد و ADA با حجم قوی ۰.۲۰ دلار را پس بگیرد، خریداران می‌توانند ۰.۲۵ دلار را هدف قرار دهند. این امر همچنین به بازگرداندن اعتماد در سراسر اکوسیستم کاردانو کمک خواهد کرد.

سناریوی پایه همچنان یک دوره معاملاتی جانبی بین ۰.۱۶ تا ۰.۲۰ دلار است زیرا معامله‌گران در حال ارزیابی تأثیر این سوءاستفاده هستند. با این حال، اگر احساسات بدتر شود و ADA ۰.۱۶ دلار را از دست بدهد، فروشندگان می‌توانند به سرعت قیمت را به سمت ۰.۱۵ دلار یا پایین‌تر سوق دهند.

سوءاستفاده از پل‌ها همچنان یکی از بزرگترین خطرات امنیتی در حوزه ارزهای دیجیتال است و این حادثه یادآوری دیگری است. با گسترش اکوسیستم سایدچین کاردانو، امنیت همچنان یک اولویت اصلی خواهد بود. تا زمانی که اعتماد به طور کامل بازنگردد، افزایش قیمت ADA ممکن است همچنان با فشار فروش روبرو شود.

راهکارهای زیرساختی جدید

هک میدنایت به یک مشکل ساختاری اشاره دارد که پیش از کاردانو وجود داشته است: نقدینگی پراکنده در بین زنجیره‌ها، هم سطوح حمله امنیتی و هم ناکارآمدی اجرایی را ایجاد می‌کند. معامله‌گرانی که از ADA خارج می‌شوند، یا صرفاً ریسک اکوسیستم را مجدداً ارزیابی می‌کنند، به دنبال فرصت‌های زیرساختی هستند که در آن‌ها تئوری به کد اعتبارسنج یک پل واحد وابسته نباشد.

LiquidChain یک پروژه زیرساختی لایه ۳ است که بر اساس یک لایه نقدینگی یکپارچه (Unified Liquidity Layer) ساخته شده است که نقدینگی بیت‌کوین، اتریوم و سولانا را در یک محیط اجرایی واحد ادغام می‌کند. این معماری بر اساس دسترسی “یک بار استقرار” (Deploy-Once) طراحی شده است، بنابراین توسعه‌دهندگان یک بار کد می‌نویسند و به هر سه اکوسیستم دسترسی پیدا می‌کنند.

Liquid همچنین مجهز به قابلیت‌های تسویه قابل تأیید (Verifiable Settlement) و اجرای تک مرحله‌ای (Single-Step Execution) به عنوان اصول اولیه است. تا به امروز، پیش‌فروش ۹۱۵ هزار دلار با قیمت فعلی ۰.۰۱۴۸۲ دلار برای هر توکن LIQUID جمع‌آوری کرده است.

مشکلی که LiquidChain هدف قرار داده است، یعنی مشکل بین زنجیره‌ای، به وضوح حل نشده باقی مانده است، همانطور که هک امروز نشان می‌دهد. پیش از پایان دوره جمع‌آوری سرمایه، LiquidChain را بررسی کنید.

با توجه به محبوبیت برخی پروژه‌های ارز دیجیتال، این پروژه‌ها اغلب هدف بازیگران مخرب قرار می‌گیرند که تلاش می‌کنند با سوءاستفاده از شبکه پشت آن‌ها یا کاربران آسیب‌پذیر و ناآگاه، سکه‌های آن‌ها را به سرقت ببرند.

اخیراً پستی در پلتفرم X (توییتر سابق) یک تهدید بالقوه برای برخی از کاربران شبکه Pi (که به آن‌ها پیشگامان یا Pioneers گفته می‌شود) را برجسته کرده و خواستار اقدام فوری تیم اصلی (Core Team) شده است.

در پستی با عنوان «گزارش فعالیت کلاهبرداری عجیب مرتبط با کیف پول Pi»، کاربری به نام Rizo، مشکلات فرد دیگری را شرح داده است. طبق این گزارش، دوره قفل سه ساله سکه‌های Pi فرد مذکور به پایان رسیده بود. هنگامی که او برای انتقال ۱۴۳ توکن اقدام کرد، موجودی کیف پول صفر نمایش داده شد. علاوه بر این، تعداد زیادی تراکنش ناموفق مشاهده شد.

Rizo به سرعت این فعالیت مشکوک را گزارش داد و معتقد است راه‌حل این مشکل، پیاده‌سازی احراز هویت دو عاملی (2FA) یا «یک روش احراز هویت قوی دیگر است که برای کیف پول‌های Pi اجباری شود». او همچنین از تیم اصلی پروژه خواستار تحقیق در این زمینه و تقویت کلی امنیت کیف پول برای محافظت از کاربران شد.

شایان ذکر است که این اولین مورد فعالیت مشکوک در اکوسیستم Pi Network یا به طور کلی در دنیای ارزهای دیجیتال نیست. به همین دلیل، بسیاری از تیم‌ها، از جمله تیم Pi، در سال‌های اخیر هشدارهای مداومی را منتشر کرده‌اند. در یکی از پست‌های منتشر شده توسط تیم اصلی، آن‌ها چندین گام را برای اطمینان از سطوح حفاظتی بالاتر در برابر کلاهبرداری‌ها یا تقلب‌های احتمالی به کاربران توصیه کرده‌اند.

در دوران بازار نزولی که پروژه با فشار شدید آنلاین مواجه است و توکن بومی آن به پایین‌ترین سطوح سقوط می‌کند، بخش بزرگی از جامعه Pi Network شروع به زیر سوال بردن جهت‌گیری کلی پروژه کرده‌اند. برای پرداختن به این موضوع، دنیل کارتر، کاربری در X با بیش از ۲۰ هزار دنبال‌کننده، اعلام کرد که به عنوان مهندس ارشد فنی در Pi فعالیت می‌کند و یک دهه است که با این پروژه همکاری دارد.

پس از کار در بخش تحقیق و توسعه Pi، او در حال حاضر مسئول بررسی اکوسیستم و انطباق است. او معتقد است Pi Network اکنون در «مرحله حیاتی توسعه خود قرار دارد و حفظ ارتباط نزدیک با جامعه بیش از هر زمان دیگری اهمیت دارد». طبق گفته پیشگامان، این موضوعی است که اخیراً مورد غفلت قرار گرفته است.

با این حال، اکثر نظرات زیر این پست با تردید همراه بود و برخی حتی این سوال را مطرح کردند که آیا کارتر واقعاً نقشی در Pi Network دارد یا خیر.

اگر فکر می‌کردید مدل‌های هوش مصنوعی چینی تنها مواردی هستند که باید نگرانشان باشید، این یک به‌روزرسانی جالب است: مدل‌های خود OpenAI از یک محیط آزمایشی قفل‌شده خارج شده‌اند، سرورهای تولیدی Hugging Face را هک کرده‌اند و مجبور شدند توسط یک هوش مصنوعی چینی پاکسازی شوند – زیرا مدل‌های تجاری آمریکایی برای کمک به تحقیق بیش از حد محدود بودند.

طبق گزارش OpenAI، مدل‌های GPT-5.6 Sol و یک مدل “پیش از انتشار قدرتمندتر” که نامش فاش نشده است، در حال ارزیابی داخلی بر روی ExploitGym بودند – یک معیار امنیتی عمومی که به عوامل هوش مصنوعی ۸۹۸ آسیب‌پذیری نرم‌افزاری واقعی و یک دستورالعمل برای هر باگ می‌دهد: آن را به یک حمله موفق تبدیل کنید، با امتیاز قبولی یا ردی. این ارزیابی با فیلترهای ایمنی کاهش‌یافته اجرا شد، که زمانی که واقعاً می‌خواهید بدانید مدل‌هایتان چه کاری می‌توانند انجام دهند، استاندارد است.

قرار بود این مدل‌ها در یک محیط کاملاً محدود اجرا شوند – یک محیط دیجیتال ایزوله بدون دسترسی به اینترنت، که فقط به یک پروکسی رجیستری بسته‌های داخلی (یک سرور کش که دانلود کتابخانه‌های نرم‌افزاری را مدیریت می‌کند) متصل بود.

اما، طبق پست وبلاگ امروز OpenAI، اوضاع کمی از کنترل خارج شد.

“در حالی که مدل‌های ما در محیط آزمایشی سندباکس شده خود فعالیت می‌کردند، بخش قابل توجهی از توان محاسباتی استنتاج خود را صرف یافتن راهی برای دسترسی به اینترنت آزاد کردند، در راستای حل مسئله ارزیابی،” شرکت سم آلتمن گزارش داد.

و، علی‌رغم تدابیر امنیتی شرکت، هوش مصنوعی راهی برای رهایی یافت. این مدل‌ها یک آسیب‌پذیری روز صفر – یک نقص نرم‌افزاری ناشناخته بدون وصله موجود – را در آن پروکسی شناسایی کردند، از آن برای افزایش اختیارات (دسترسی در سطح مدیر به سیستم‌هایی که نباید به آن‌ها دست می‌زدند) سوءاستفاده کردند، به صورت جانبی حرکت کردند (بین سرورهای متصل در شبکه داخلی OpenAI جهیدند) و در نهایت به ماشینی با دسترسی واقعی به اینترنت رسیدند.

همه اینها بدون اطلاع OpenAI – حداقل این چیزی است که OpenAI می‌گوید.

هنگامی که آنلاین شدند، به درستی استنباط کردند که Hugging Face – میزبان بیش از یک میلیون مدل هوش مصنوعی، مجموعه داده و منابع تحقیقاتی در دسترس عموم – به احتمال زیاد راه‌حل‌های معیار را در خود دارد، و حق با آن‌ها بود.

“مدل‌ها آسیب‌پذیری‌ها را در محیط تحقیقاتی OpenAI و زیرساخت تولیدی Hugging Face شناسایی و زنجیره‌وار کردند تا راه‌حل‌های آزمایشی را مستقیماً از پایگاه داده تولیدی Hugging Face به دست آورند،” OpenAI نوشت.

آنها هیچ رمز عبوری نمی‌خواستند. آن‌ها می‌خواستند در آزمون قبول شوند.

“تمام شواهد حاکی از آن است که مدل‌ها بر یافتن راه‌حلی برای ExploitGym تمرکز شدیدی داشتند و برای دستیابی به یک هدف آزمایشی نسبتاً محدود، اقدامات افراطی انجام دادند،” OpenAI افزود.

تیم امنیتی Hugging Face به طور مستقل این نفوذ را کشف کرد، که با تشخیص ناهنجاری مبتنی بر هوش مصنوعی خودشان کمک شد.

در ۱۶ ژوئیه، این شرکت افشای خود را منتشر کرد و روشن ساخت که این یک نفوذ استاندارد نبوده است: “این مورد از هر چیزی که قبلاً با آن سروکار داشتیم به یک روش مهم متفاوت بود: این مورد، از ابتدا تا انتها، توسط یک سیستم عامل عامل خودکار هدایت می‌شد – و ما آن را عمدتاً با هوش مصنوعی خودمان تشخیص دادیم و کالبدشکافی کردیم.”

این کمپین، طبق افشاگری، “توسط یک چارچوب عامل خودکار اجرا می‌شد که هزاران عمل فردی را در میان مجموعه‌ای از سندباکس‌های کوتاه‌مدت اجرا می‌کرد، با فرماندهی و کنترل خود-مهاجرتی که بر روی سرویس‌های عمومی مستقر شده بود.”

این حمله از دو مسیر اجرای کد در خط پردازش مجموعه داده Hugging Face سوءاستفاده کرد و به مجموعه داده‌های داخلی و اعتبارنامه‌های سرویس دسترسی یافت. OpenAI امروز – پنج روز بعد – تأیید کرد که مدل‌هایش پشت این قضیه بوده‌اند.

برای تجزیه و تحلیل بیش از ۱۷۰۰۰ رویداد ثبت‌شده مهاجم، تیم امنیتی Hugging Face ابتدا هوش مصنوعی پیشگام آمریکایی را از طریق APIهای استاندارد خود امتحان کرد. موفقیت‌آمیز نبود.

“هنگامی که تجزیه و تحلیل گزارش را آغاز کردیم، ابتدا از مدل‌های پیشگام پشت APIهای تجاری استفاده کردیم،” این شرکت نوشت. “این کار نتیجه نداد: تجزیه و تحلیل نیاز به ارسال حجم زیادی از دستورات حمله واقعی، محموله‌های اکسپلویت و مصنوعات C2 داشت.”

“این درخواست‌ها توسط گاردریل‌های ایمنی ارائه‌دهندگان مسدود شدند، که نمی‌توانند بین یک پاسخ‌دهنده حادثه و یک مهاجم تمایز قائل شوند،” Hugging Face افزود.

بنابراین آن‌ها به GLM 5.2 روی آوردند – یک مدل با وزن باز ۷۵۳ میلیارد پارامتری (معماری کاملاً عمومی، هر کسی می‌تواند آن را دانلود کرده و به صورت محلی اجرا کند) از استارتاپ چینی هوش مصنوعی Z.ai. “ما تجزیه و تحلیل پزشکی قانونی را به جای آن بر روی GLM 5.2، یک مدل با وزن باز، بر روی زیرساخت خودمان اجرا کردیم،” Hugging Face نوشت. “این مزیت دومی داشت: هیچ داده مهاجم و هیچ یک از اعتبارنامه‌هایی که به آن اشاره می‌کرد، از محیط ما خارج نشد.”

کار پزشکی قانونی – بازسازی جدول زمانی حمله، ترسیم اعتبارنامه‌های به خطر افتاده، جدا کردن خسارت واقعی از فعالیت فریب – به جای روزها، ساعت‌ها طول کشید.

Hugging Face درس مستقیمی برای سایر مدافعان گرفت: “یک مدل توانمند داشته باشید که بتوانید قبل از وقوع حادثه، آن را بر روی زیرساخت خودتان اجرا کنید و آماده باشید، هم برای جلوگیری از قفل شدن گاردریل و هم برای جلوگیری از خروج داده‌ها و اعتبارنامه‌های مهاجم از محیط شما.”

OpenAI اعلام کرد که کنترل‌های سختگیرانه‌ای را بر روی زیرساخت تحقیقاتی اعمال کرده است، در حالی که سیستم‌های آسیب‌دیده را وصله می‌کند، روز صفر را به فروشنده شخص ثالثی که پروکسی آن مورد سوءاستفاده قرار گرفته بود، افشا کرده و در حال انجام یک تحقیق پزشکی قانونی مشترک با Hugging Face است.

Hugging Face همچنین به برنامه دسترسی مورد اعتماد OpenAI برای دفاع سایبری اضافه شده است – به سازمان‌های تأیید شده دسترسی به نسخه‌هایی از مدل‌های آن را با فیلترهای ایمنی کاهش‌یافته برای کارهای امنیتی قانونی می‌دهد، همان پیکربندی که این ماجرا را آغاز کرد.

کلم دلانگ، مدیرعامل Hugging Face، اظهار نظر دقیقی داشت: “ایمنی هوش مصنوعی توسط هیچ شرکت واحدی که در خفا کار می‌کند، حل نخواهد شد. این در فضای باز، به صورت مشارکتی، با دسترسی گسترده به هوش مصنوعی برای هر مدافعی، در همه‌جا، حل خواهد شد.”

OpenAI این حادثه را “مربوط به قابلیت‌های سایبری پیشرفته جدید” نامید و متعهد شد که یافته‌های کامل را پس از اتمام تحقیقات مشترک با Hugging Face به اشتراک بگذارد.

پل بین‌زنجیره‌ای Allbridge در پی حمله فلش‌لون متوقف شد

سولانا – پل بین‌زنجیره‌ای Allbridge پروتکل خود را پس از آنکه مهاجمان حدود ۱.۶۵ میلیون دلار از استخرهای نقدینگی آن در شبکه سولانا را از طریق حمله فلش‌لون برداشت کردند، متوقف کرد. این خبر را شرکت‌های امنیتی بلاک‌چین و خود پروژه اعلام کرده‌اند.

Allbridge به کاربران امکان می‌دهد دارایی‌ها را بین بلاک‌چین‌هایی که به طور بومی با یکدیگر ارتباط برقرار نمی‌کنند، جابجا کنند. محصول Core این پلتفرم به جای ایجاد توکن‌های بسته‌بندی شده، از استخرهای استیبل‌کوین‌های بومی مانند USDC و USDT استفاده می‌کند. روز یکشنبه، تیم Allbridge اعلام کرد که “به عنوان اقدام احتیاطی” پروتکل را متوقف کرده و در حال بررسی حادثه است و از ارائه‌دهندگان نقدینگی خواسته است تا وجوه خود را از استخرهای آسیب‌دیده خارج کنند.

در یک توییت بعدی، Allbridge اعلام کرد که تیمش در حال “آماده‌سازی جزئیات کامل” و گزارش پس از حادثه است و افزود که “در حال حاضر هیچ تهدیدی برای نقدینگی کاربران وجود ندارد” زیرا این پروژه برای راه‌اندازی مجدد Core بدون استخرهای نقدینگی تلاش می‌کند.

Allbridge توییت قبلی شرکت امنیتی PeckShield را مبنی بر زیان حدود ۱.۶۵ میلیون دلاری تأیید کرد. PeckShield همچنین اشاره کرده بود که مهاجمان وجوه را از سولانا به اتریوم منتقل کرده‌اند.

شرکت امنیتی CertiK جزئیات روش حمله را شرح داد. طبق این گزارش، مهاجم ابتدا ۱.۱۲ میلیون دلار را از طریق یک فلش‌لون از پروتکل وام‌دهی سولانا به نام Kamino وام گرفت. سپس با انجام مجموعه‌ای سریع از مبادلات استیبل‌کوین، حسابداری داخلی که قیمت دارایی‌ها را در استخرهای Allbridge تعیین می‌کند، مختل کرد.

با قیمت‌گذاری نادرست استخرها، مهاجم چند هزار دلار USDT را با حدود ۲.۲۴ میلیون دلار USDC مبادله کرد و سپس عواید حاصل را به یک آدرس اتریوم منتقل و در آدرس‌های دیگر پراکنده کرد. مشخص نیست چه مقدار از این وجوه هنوز قابل ردیابی است.

این دستکاری باعث عدم تعادل در استخرهای Allbridge شد و به طور موقت به معامله‌گران دیگر اجازه داد تا دارایی‌های با قیمت‌گذاری نادرست را خریداری کنند؛ این همان چیزی است که تیم Allbridge از آن به عنوان “پنجره آربیتراژ مثبت موقت” یاد کرده است. این پلتفرم DeFi از هر کسی که از این پنجره سود برده است، خواسته است تا پول را به یک آدرس مشخص ارسال کند و اعلام کرده است که این وجوه “مستقیماً صرف جبران خسارت ارائه‌دهندگان نقدینگی آسیب‌دیده خواهد شد”. تیم Allbridge افزود که “هدف بازگرداندن تمام وجوه آسیب‌دیده است”.

این دومین بار است که Allbridge مورد حمله قرار می‌گیرد. در آوریل ۲۰۲۳، یک اکسپلویت مشابه فلش‌لون حدود ۵۷۳ هزار دلار از استخرهای آن در شبکه BNB Chain برداشت کرد. این پروژه بعدها اعلام کرد که بیشتر وجوه را بازیابی کرده و نحوه محاسبه نقدینگی و برداشت‌ها را بازنگری کرده است. Allbridge در سال ۲۰۲۲ مبلغ ۲ میلیون دلار برای توسعه پل و تامین مالی ممیزی‌های امنیتی جمع‌آوری کرده بود.

پل‌ها و استخرهای نقدینگی که آن‌ها را تغذیه می‌کنند، مدت‌هاست که در میان زیرساخت‌های پرمخاطب در حوزه دیفای (DeFi) قرار دارند. تنها در پنج ماه اول سال ۲۰۲۶، بیش از ۸۴۰ میلیون دلار در هک‌های دیفای از دست رفته است و سیستم‌های بین‌زنجیره‌ای بارها شاهد بزرگترین زیان‌های تکی بوده‌اند. ماه گذشته، یک پل بین Axelar و Secret Network پس از آنکه مهاجمان از یک باگ “مینت بی‌نهایت” در یک قرارداد توکن سفارشی سوءاستفاده کردند، ۴.۶۷ میلیون دلار برداشت شد.

پروتکل Allbridge همچنان متوقف است و میزان وجوه ۱.۶۵ میلیون دلاری که قابل بازیابی خواهد بود، به ردیابی وجوه منتقل شده و همچنین به این بستگی دارد که آیا معامله‌گران آربیتراژ که Allbridge از آن‌ها درخواست کمک کرده است، واقعاً پول را بازمی‌گردانند یا خیر.

پل استیبل‌کوین بین‌زنجیره‌ای Allbridge Core هدف حمله امنیتی قرار گرفت

لندن – پل استیبل‌کوین بین‌زنجیره‌ای Allbridge Core روز گذشته مورد یک سوءاستفاده امنیتی قرار گرفت که منجر به از دست رفتن حدود ۱.۶۵ میلیون دلار شد. شرکت امنیتی بلاکچین PeckShield با اعلام این خبر افزود که مهاجم وجوه سرقت شده را از شبکه سولانا به اتریوم منتقل کرده است.

Allbridge ضمن تأیید وقوع حادثه امنیتی، اعلام کرد که پروتکل به عنوان اقدام احتیاطی متوقف شده و تیم در حال بررسی موضوع است. این پروژه همچنین از کاربران دارای نقدینگی در استخرهای تحت تأثیر خواسته است تا فوراً وجوه خود را برداشت کنند.

بر اساس گزارش Allbridge، این سوءاستفاده به دلیل عدم تعادل در استخرهای نقدینگی متأثر، فرصت آربیتراژ موقت سودآوری را ایجاد کرده است. این تیم از هر کسی که از این آربیتراژ سود برده است، درخواست کرده تا وجوه را به صورت داوطلبانه بازگرداند تا برای جبران خسارت ارائه‌دهندگان نقدینگی متأثر استفاده شود.

در همین حال، شرکت امنیتی بلاکچین Onchain Labs توضیح داد که این سوءاستفاده با دریافت یک وام فلش ۱.۱۲ میلیون دلاری USDC از Kamino در سولانا آغاز شده است. مهاجم ظاهراً با مبادلات سریع USDC و USDT، نسبت‌های استخر استیبل‌کوین Allbridge Core را دستکاری کرده و سپس نقدینگی را با نرخ‌های تحریف شده برداشت کرده است. این وام فلش در همان تراکنش بازپرداخت شده و وجوه استخراج شده‌اند. Onchain Labs افزود که دارایی‌های سرقت شده بعداً از طریق پروتکل‌های حریم خصوصی برای اختلاط منتقل شده‌اند.

این اولین بار نیست که Allbridge هدف حمله قرار می‌گیرد. در آوریل ۲۰۲۳، این پروتکل حدود ۵۷۳ هزار دلار در جریان یک سوءاستفاده از وام فلش در شبکه BNB Chain از دست داد. مهاجم از یک باگ در قرارداد هوشمند برای دستکاری قیمت‌های مبادله توکن سوءاستفاده کرده بود و توانست حدود ۲۸۹,۹۰۰ دلار BUSD و ۲۹۰,۹۰۰ دلار USDT را به سرقت ببرد.

پل‌های بین‌زنجیره‌ای همچنان هدف مورد علاقه هکرها هستند. در ماه آوریل، Syndicate Labs حدود ۳۳۰ هزار دلار توکن SYND را پس از آنکه یک کلید خصوصی لو رفته به مهاجم اجازه کنترل قراردادهای پل Commons را داد، از دست داد.

یک ماه بعد، پل Verus-Ethereum به دلیل عدم اعتبار سنجی صحیح تراکنش‌ها توسط یکی از قراردادهایش، بیش از ۱۱ میلیون دلار مورد سوءاستفاده قرار گرفت، هرچند بیشتر وجوه بعداً بازگردانده شدند.

در ماه ژوئن، شبکه لایه ۲ اتریوم Taiko به کاربران خود توصیه کرد تا دارایی‌های خود را از پل‌هایش خارج کنند، پس از آنکه مهاجمان ۱.۷ میلیون دلار از یکی از پروتکل‌های پل این شبکه را سرقت کردند.

انتقاد ZachXBT از کیف پول‌های سخت‌افزاری، بحث‌ها را درباره نگهداری امن ارزهای دیجیتال برانگیخت

ZachXBT، محقق حوزه ارزهای دیجیتال، با انتشار پیامی در کانال تلگرام خود مبنی بر اینکه کیف پول‌های سخت‌افزاری برای استفاده جدی در دنیای رمزارزها «کاملاً بی‌ارزش» هستند، بحث‌برانگیز شده است.

به گفته او، افرادی که به طور مرتب با مبالغ هنگفت سر و کار دارند، بهتر است از یک آیفون قدیمی به عنوان دستگاه ورود به سیستم استفاده کنند.

پیام تلگرامی این محقق رمزارز صریح بود: «نظر داغ: تمام کیف پول‌های سخت‌افزاری کاملاً بی‌ارزش هستند و من استفاده از آن‌ها را برای کارهای مهمی مانند امضای تراکنش‌ها یا ذخیره وجوه توصیه نمی‌کنم.»

او پا را فراتر گذاشت و استدلال کرد که یک آیفون جداگانه که فقط به عنوان کیف پول استفاده می‌شود، می‌تواند تجربه‌ای بهتر از هر سخت‌افزار موجود در بازار ارائه دهد. او به طور خاص از Ledger انتقاد کرد.

ZachXBT ادعا کرد: «Ledger بدترین است و Ledger Live به‌روزرسانی‌های منظمی برای رابط کاربری/اپلیکیشن‌ها بدون دلیل موجه دارد که اقدامات ساده را مختل می‌کنند.»

در پلتفرم X (توییتر سابق)، او چندین مشکلی را که کاربران کیف پول سخت‌افزاری ممکن است هنگام انجام یک تراکنش معمول با ارزش بالا و حساس به زمان با آن مواجه شوند، برشمرد. این مشکلات شامل باتری‌های تمام شده، به‌روزرسانی‌های اجباری دستگاه و نرم‌افزار، تغییرات رابط کاربری و باگ‌های سایت که مانع امضای تراکنش‌های چند امضایی (multisig) می‌شوند، بود.

اندکی پس از آن، محققان امنیتی، توسعه‌دهندگان کیف پول و کاربران عادی رمزارز شروع به پاسخگویی به پست ZachXBT کردند. Axel Bitblaze با انتقاد این کارشناس از کیف پول‌های سخت‌افزاری موافقت کرد، اما در مورد اینکه آیا تلفن واقعاً جایگزین بهتری برای آن‌هاست، تردید داشت، زیرا به گفته او، این امر همچنان کاربر را با «یک دستگاه و یک عبارت بازیابی (seed) به عنوان نقطه شکست واحد» مواجه می‌کند.

در عوض، او یک راه‌اندازی چند امضایی (multisig) 2 از 3 با دستگاه‌های امضاکننده جداگانه را توصیه کرد. او همچنین به دارندگان رمزارز توصیه کرد که عبارت‌های بازیابی خود را به صورت آفلاین ذخیره کنند و قبل از انتقال مبالغ زیاد، یک آزمایش انجام دهند، در حالی که کیف پول‌های خرج را از دارایی‌های بلندمدت جدا نگه دارند.

Roman Storm، یکی از بنیان‌گذاران Tornado Cash، نیز در این بحث شرکت کرد و با ایده پشت پیشنهاد ZachXBT موافقت کرد، اما استدلال کرد که کیف پول‌های موبایل فاقد یک ویژگی مهم هستند: پشتیبانی از عبارت عبور (passphrase) BIP39.

این توسعه‌دهنده، که پس از محکومیت به جرم اداره یک کسب‌وکار انتقال پول بدون مجوز در سال ۲۰۲۵ با خطر زندان طولانی‌مدت روبرو است، خاطرنشان کرد که لایه اضافی عبارت عبور، مزیت اصلی کیف پول‌های سخت‌افزاری است و از سازندگان کیف پول نرم‌افزاری خواست تا پشتیبانی از آن را اضافه کنند، که به نظر او، آن‌ها را برای نگهداری خود (self-custody) مفیدتر می‌کند.

این بحث همچنین واکنش‌هایی را از سوی شرکت‌های سازنده کیف پول سخت‌افزاری به همراه داشت. Trezor، یکی از بزرگترین‌ها، اظهار داشت که از آنجایی که تلفن یک سیستم عامل کامل را اجرا می‌کند، دارای نقاط حمله بالقوه زیادی است. در مقابل، یک کیف پول سخت‌افزاری به عنوان یک دستگاه اختصاصی طراحی شده است که کلیدهای خصوصی را از محیط‌های محاسباتی عمومی دور نگه می‌دارد.

Keystone Wallet موضع متعادل‌تری اتخاذ کرد. این تیم اذعان داشت که ZachXBT در مورد پتانسیل یک تلفن ایزوله «اشتباه نمی‌کرد»، اما استدلال کرد که اکثر کاربران با واحدهای ساخته شده برای اهداف خاص بهتر خدمت‌رسانی می‌شوند، زیرا امنیت تلفن به شدت به نظم و انضباط سختگیرانه کاربر بستگی دارد.

تا زمان نگارش این خبر، Ledger مستقیماً به ادعاهای ZachXBT پاسخی نداده بود. با این حال، این شرکت پستی به‌موقع در حساب X خود منتشر کرد که در آن بیان داشت مدل امنیتی اصلی آن بر اساس دور نگه داشتن کلیدهای خصوصی از دستگاه‌های متصل به اینترنت است.

این شرکت نوشت: «کلید خصوصی که هرگز به اینترنت دسترسی پیدا نمی‌کند، نمی‌تواند مورد فیشینگ، دیپ‌فیک یا تزریق بدافزار قرار گیرد. این تمام سرمایه‌گذاری بر روی سخت‌افزار است.»

با این حال، چنین دستگاه‌هایی کاملاً در برابر اشتباهات انسانی مصون نیستند. به عنوان مثال، در حادثه‌ای در اوایل سال جاری، قربانی ۲۸۲ میلیون دلار بیت‌کوین و لایت‌کوین را از دستگاه آفلاین خود از طریق یک کلاهبرداری مهندسی اجتماعی از دست داد.

سه مرد در بریتانیا به دلیل کلاهبرداری ارز دیجیتال به ارزش ۴ میلیون پوند (۵.۳ میلیون دلار) که در آن خود را به جای افسران پلیس جا زده و قربانیان را وادار به تحویل دادن سکه‌هایشان می‌کردند، زندانی شدند. این گروه پس از سرقت، عواید حاصله را صرف خرید ساعت رولکس، خرید از برندهای لوکس و تعطیلات گران‌قیمت می‌کردند.

جزئیات پرونده

بر اساس بیانیه پلیس متروپولیتن، این سه نفر با هشت قربانی تماس گرفته و خود را افسر پلیس معرفی کرده بودند. آن‌ها قربانیان را متقاعد می‌کردند که ارزهای دیجیتالشان در معرض خطر است و آن‌ها را وادار می‌کردند تا اطلاعات حساب خود را به اشتراک بگذارند یا وجوه را به حساب‌هایی که تصور می‌کردند امن پلیس است، منتقل کنند. این گروه وب‌سایت‌های جعلی پلیس با ظاهری متقاعدکننده ایجاد کرده بودند و سکه‌های سرقت شده بلافاصله از طریق یک شبکه پیچیده پولشویی منتقل می‌شد.

در دادگاه تاج ساوت‌ورک در روز پنجشنبه، آنتونی ایکنوِه، ۲۹ ساله، و کوین نواما، ۲۵ ساله، هر کدام به شش سال زندان برای تبانی در ارتکاب کلاهبرداری و پنج سال برای پولشویی محکوم شدند که به طور همزمان اجرا می‌شود. حمزه بشیر، ۲۳ ساله، نیز به سه سال و نه ماه زندان برای کلاهبرداری و سه سال برای پولشویی، که آن‌ها نیز همزمان اجرا می‌شوند، محکوم شد.

کارآگاهان متوجه شدند که این مردان زندگی بسیار فراتر از درآمدشان داشته‌اند. یکی از آن‌ها درآمد ثبت شده سالانه تنها ۴۴۴ پوند داشته است، در حالی که این گروه با ارز دیجیتال خودرویی به ارزش نزدیک به ۶۰ هزار پوند خریداری کرده، حدود ۵۰۰ هزار پوند وجه نقد را در صندوق امانات در دبی نگهداری کرده و به تعطیلات در تایلند، ژاپن، پاریس، میکونوس، مالدیو و سیشل رفته بودند.

بر اساس گزارش پلیس متروپولیتن، آن‌ها از فروشگاه‌هایی مانند هارودز، هرمس و لویی ویتون خرید می‌کردند و به طور معمول ارز دیجیتال را به کارت‌های پرداخت از پیش پرداخت شده تبدیل می‌کردند. افسران بیش از ۱ میلیون پوند ارز دیجیتال را به کیف پول‌های تحت کنترل ایکنوِه مرتبط دانستند و وجوه سرقت شده را که به حساب‌های بانکی مرتبط با کسب‌وکار رانندگی لوکس نواما سرازیر می‌شد، ردیابی کردند. ارزش کالاهای لوکس کشف شده در بازرسی‌ها بیش از ۲۶ هزار پوند برآورد شد.

این پرونده زمانی آغاز شد که قربانیان در ژانویه ۲۰۲۵ پیش‌قدم شدند. تیم ارز دیجیتال پلیس متروپولیتن اعلام کرد که با استفاده از رویکردی مبتنی بر داده – شامل جمع‌آوری تراکنش‌های بلاک‌چین، سوابق صرافی‌ها، ارتباطات، سوابق مالی و داده‌های ارائه‌دهندگان خدمات اینترنت – توانست جرایم به ظاهر جداگانه را به یک شبکه سازمان‌یافته واحد که در چندین پلتفرم و حوزه قضایی فعالیت می‌کرد، مرتبط سازد.

کارآگاه ارشد جف دونوگ از تیم ارز دیجیتال پلیس گفت: “این یک تحقیق بسیار پیچیده بر روی گروهی از دستکاری‌کنندگان محاسبه‌شده بود که با تظاهر به افسر پلیس، اعتماد قربانیان را مورد سوءاستفاده قرار دادند.” وی افزود: “مجرمان نباید هیچ توهمی داشته باشند – پلیس در کنار فناوری در حال تحول است.”

در ماه نوامبر، افسران به هفت آدرس در سراسر لندن و اسکس یورش بردند و سه مرد را دستگیر کرده و کالاهای لوکس، ارز دیجیتال و ۴۰ تلفن همراه را ضبط کردند. آن‌ها حدود ۱ میلیون پوند مرتبط با قربانیان را بازیابی کردند. ایکنوِه و نواما در ماه آوریل به گناه خود اعتراف کردند، در حالی که بشیر دست داشتن در این جرم را انکار کرد و در دادگاه حاضر شد، اما در روز هشتم پس از مشاهده شواهد گسترده، اقرار خود را تغییر داد.

جا زدن خود به جای پلیس به یک موضوع تکراری در جرایم ارز دیجیتال تبدیل شده است. نزدیک‌ترین مورد مشابه به پرونده پلیس متروپولیتن سال گذشته رخ داد، زمانی که یک کلاهبردار که خود را پلیس بریتانیا جا زده بود، ۲.۸ میلیون دلار بیت‌کوین از کیف پول سخت‌افزاری یک قربانی سرقت کرد. در ایالات متحده، کلاهبردارانی که خود را پلیس دنور جا زده بودند، زنی را متقاعد کردند که به دلیل عدم حضور در هیئت منصفه، جریمه‌ای دارد و سپس او را وادار کردند تا پول نقد را در یک دستگاه خودپرداز بیت‌کوین بریزد تا حکم جلب جعلی را رفع کند – این یکی از موج کلاهبرداری‌های جعل هویت است که اف‌بی‌آی می‌گوید بیشترین آسیب را به سالمندان آمریکایی وارد کرده است.

گاهی اوقات افسران جعلی به صورت حضوری نیز ظاهر می‌شوند. در فرانسه، سارقان لباس پلیس بر تن کرده و زوجی را با تهدید چاقو در سرقت یک میلیون دلاری بیت‌کوین مورد آزار قرار دادند، در حالی که در اوکراین، مردانی که خود را پلیس جا زده بودند، به دلیل اخاذی ۲۵۰ هزار دلار تتر از یک کارآفرین دستگیر شدند.

پلیس متروپولیتن اعلام کرد که همچنان با شرکای داخلی و بین‌المللی برای شناسایی سایر افراد مرتبط با این توطئه و بازپس‌گیری دارایی‌ها برای قربانیان همکاری می‌کند.

حمله سایبری به صرافی غیرمتمرکز Ostium؛ ۱۸ میلیون دلار ضرر

شرکت امنیتی بلاکچین Blockaid اعلام کرد که صرافی غیرمتمرکز Ostium روز چهارشنبه حدود ۱۸ میلیون دلار را پس از نفوذ مهاجمان به کلید امضاکننده اوراکل و دستکاری فید قیمت این صرافی برای ایجاد سودهای معاملاتی جعلی، از دست داد.

بر اساس پستی که Blockaid در شبکه اجتماعی X منتشر کرده است، مهاجم با استفاده از یک “PriceUpKeep forwarder” ثبت‌شده و گزارش‌های اوراکل با تاریخ آینده، سودهای معاملاتی مصنوعی ایجاد کرده است. این اقدام منجر به برداشت میلیون‌ها دلار به شکل استیبل‌کوین USDC صادرشده توسط Circle از خزانه نقدینگی Ostium شده است.

Ostium در پستی در X تایید کرد: «ما از مشکل مربوط به خزانه OLP آگاه هستیم. تمامی معاملات را متوقف کرده‌ایم و تیم در حال بررسی است.»

Ostium که بر بستر شبکه Arbitrum ساخته شده است، قراردادهای آتی دائمی مرتبط با دارایی‌های دنیای واقعی از جمله سهام، کالاها، بازارهای ارز خارجی و شاخص‌ها را ارائه می‌دهد. این صرافی به عنوان یک صرافی غیرمتمرکز (DEX) عمل می‌کند، به این معنی که کاربران عمدتاً کنترل وجوه خود را حفظ می‌کنند و اطلاعات شخصی قابل شناسایی را ارائه نمی‌دهند. در زمان وقوع حمله، پروتکل Ostium حدود ۶۳ میلیون دلار ارزش کل قفل‌شده (TVL) داشت، که نشان می‌دهد این سوءاستفاده نزدیک به یک سوم از نقدینگی آن را تخلیه کرده است.

این حمله در شرایطی رخ می‌دهد که سال جاری یکی از بدترین سال‌ها از نظر سوءاستفاده از پروتکل‌های امور مالی غیرمتمرکز (DeFi) بوده است. DeFi به برنامه‌های مالی اشاره دارد که به صورت بومی بر روی شبکه‌های بلاکچین و بدون واسطه‌های شخص ثالث مانند بانک‌ها عمل می‌کنند. در پنج ماه اول سال ۲۰۲۶، بیش از ۸۴۰ میلیون دلار از پروتکل‌های DeFi به سرقت رفته است، از جمله ۲۹۲ میلیون دلار از KelpDAO و ۲۸۵ میلیون دلار از Drift Protocol. هکرها همچنین در ماه ژوئن به Resolv Labs حمله کرده و بیش از ۲۵ میلیون دلار را به سرقت بردند.

کارشناسان امنیتی هشدار می‌دهند که پیشرفت‌ها در هوش مصنوعی در حال تسریع کشف آسیب‌پذیری‌ها و سوءاستفاده‌ها هستند.

دنی جنکینز، مدیرعامل و هم‌بنیان‌گذار ThreatLocker، پیشتر به Decrypt گفته بود: «هوش مصنوعی در بررسی کد بسیار بهتر از اکثر افراد عمل می‌کند و آسیب‌پذیری‌های بالقوه را در آن پیدا می‌کند.» جنکینز افزود که سیستم‌های فعلی هوش مصنوعی در حال حاضر کشف آسیب‌پذیری‌ها را تسریع می‌بخشند، در حالی که مدل‌های جدیدتر مانند Mythos می‌توانند این قابلیت‌ها را به طور قابل توجهی گسترش دهند و آن را یک “مشکل بزرگ” قریب‌الوقوع خواند.

او اظهار داشت: «تنها مسئله زمان است تا یک فرد بد به آن دسترسی پیدا کند.»

در ماه مه، تیلور هورنبی، محقق امنیتی، از مدل Claude Opus 4.8 شرکت Anthropic برای شناسایی یک آسیب‌پذیری جعل چهار ساله در Zcash استفاده کرد و نشان داد که چگونه مدل‌های پیشرفته هوش مصنوعی در یافتن نقص‌های پیچیده نرم‌افزاری به طور فزاینده‌ای مؤثر می‌شوند.

‏هکر سوءاستفاده‌گر از پل Verus-Ethereum، مبلغ ۸.۵ میلیون دلار از ۱۱ میلیون دلار سرقت‌شده را بازگرداند و ۲.۸ میلیون دلار را به‌عنوان پاداش «کلاه سفید» نگه داشت.

این اتفاق تنها یک روز پس از آن رخ داد که جامعه Verus و توسعه‌دهندگان آن، این پاداش را در ازای پذیرش شرایطی از سوی هکر، پیشنهاد دادند.

شرح واقعه

این حادثه در ۱۷ می رخ داد، زمانی که هکر با سوءاستفاده از یک مرحله اعتبارسنجی از دست رفته در یکی از قراردادهای پل بین‌زنجیره‌ای، توانست حدود ۱۰۳.۶ tBTC، ۱۶۲۵ ETH و ۱۴۷۰۰۰ USDC را سرقت کند. پس از این حمله، تیم پروژه تصمیم گرفت گره‌های تولیدکننده بلاک خود را متوقف کند تا از انتقال‌های بیشتر جلوگیری کند و یک وصله اضطراری منتشر کرد.

Verus بعداً در شبکه‌های اجتماعی اعلام کرد که به سوءاستفاده‌گر از پل اتریوم، پاداش ۱۳۵۰ ETH را در ازای بازگرداندن ۴۰۵۲ ETH در عرض ۲۴ ساعت پیشنهاد می‌دهد و افزود که در صورت تحقق شرایط، هرگونه تحقیقات را متوقف کرده و پیگرد قانونی انجام نخواهد داد.

تیم Verus نوشت: «اگر مجموعاً ۴۰۵۲.۴ ETH را به آدرس 0xF9AB…C1A74 در عرض ۲۴ ساعت مشخص‌شده در بالا بازگردانید، ما آن را به‌عنوان موافقت شما با این شرایط درک خواهیم کرد و به توافق اعلام‌شده خود مبنی بر توقف تحقیقات بیشتر در مورد شما پایبند خواهیم بود.»

بازگشت وجوه و پاداش

شرکت امنیت بلاک‌چین PeckShieldAlerts از آن زمان گزارش داد که هکر ۴۰۵۲ ETH را به آدرس تیم بازگردانده است و ۷۵٪ از وجوه سرقت‌شده را بازیابی کرده و ۲۵٪ پاداش (معادل ۱۳۵۰ ETH) را حفظ کرده است. با این حال، Verus هنوز به‌طور رسمی بازگشت وجوه را در پلتفرم‌های خود، همان‌طور که در بیانیه اولیه خود ذکر کرده بود، تأیید نکرده است.

افزایش حملات به پل‌ها

این به‌روزرسانی در حالی صورت می‌گیرد که بخش ارزهای دیجیتال با افزایش تعداد سوءاستفاده‌ها از پل‌ها مواجه است و حادثه Verus هشتمین مورد از این نوع در سال جاری است. طبق گزارش PeckShield، مهاجمان تا اواسط ماه می، در مجموع ۳۲۸.۶ میلیون دلار از چندین پروتکل بین‌زنجیره‌ای مانند THORchain، ZetaChain، KelpDAO، HyperBridge، CrossCurve، Squid Router و IoTeX.io سرقت کرده‌اند.

نقش هوش مصنوعی

اما مورد Verus قابل توجه است زیرا پیچیدگی این سوءاستفاده نشان می‌دهد که هکرها از هوش مصنوعی برای کمک به اجرای آن استفاده کرده‌اند. مایک توتونگی، توسعه‌دهنده ارشد این پروتکل، در مقاله‌ای توضیح داد که چگونه این فناوری ممکن است به آنها کمک کرده باشد تا قوانین سیستم را به‌اندازه کافی درک کنند تا تراکنش‌هایی را طراحی کنند که از بررسی‌ها عبور کرده و قرارداد اتریوم را فریب دهند تا انتقال بین‌زنجیره‌ای مخرب را بپذیرد.

در جای دیگر، ویتالیک بوترین، بینش‌هایی را در مورد چگونگی استفاده از هوش مصنوعی برای تقویت امنیت به‌جای شکستن آن به اشتراک گذاشت. در پاسخ به نگرانی‌های جامعه در مورد ایجاد فرصت‌های سوءاستفاده بی‌وقفه توسط این فناوری، هم‌بنیان‌گذار اتریوم با بیان این‌که می‌توان از تأیید رسمی با کمک هوش مصنوعی به‌عنوان یک دفاع قوی در برابر شکست‌های امنیتی در صنعت ارزهای دیجیتال استفاده کرد، پاسخ داد.

‏یک مهاجم بیش از 600 هزار دلار از Polymarket را تخلیه کرد و به قرارداد هوشمند UMA CTF Adapter آن در Polygon حمله کرد. ZachXBT، محقق زنجیره‌ای، این سوء استفاده را شناسایی و کیف پول مهاجم را با آدرس 0x8F98075db5d6C620e8D420A8c516E2F2059d9B91 مشخص کرد.

ZachXBT ابتدا یک هشدار اضطراری را در کانال تلگرام خود منتشر کرد و پس از آن Bubblemaps به کاربران هشدار داد تا فعالیت‌های Polymarket را متوقف کنند، زیرا زیان‌های این پلتفرم به 600 هزار دلار نزدیک می‌شد.

جزئیات حمله

قرارداد هدف، UMA CTF Adapter، لایه یکپارچه‌سازی سفارشی است که به بازارهای پیش‌بینی Polymarket اجازه می‌دهد از طریق Optimistic Oracle شرکت UMA تسویه حساب کنند. این قرارداد بخشی از پروتکل اصلی حسابرسی شده UMA نیست.

UMA CTF Adapter یک کد یکپارچه‌سازی سفارشی است که توسط Polymarket نوشته و مستقر شده است، نه یک قرارداد متعارف UMA. همانطور که مستندات UMA روشن می‌کند، یکپارچه‌سازان پروتکل، قراردادهای آداپتور خود را بر روی Optimistic Oracle می‌سازند و این آداپتورها منطق و فرضیات اعتماد خاص پروژه را حمل می‌کنند که کاملاً خارج از مدل امنیتی UMA قرار دارند.

این شکاف ساختاری، جایی است که سوء استفاده از Polymarket در آن رخ داد. CTF Adapter، اقتصاد سفارشی و کنترل دسترسی را رمزگذاری می‌کند که تعیین می‌کند موقعیت‌های بازار پیش‌بینی چگونه تسویه می‌شوند و وجوه چگونه جریان می‌یابند.

آداپتور به عنوان یک پل بین پلتفرم و اوراکل UMA عمل می‌کند. این هکر بود که از طریق این پل توانست سیستم را دستکاری کند. بیش از 500 هزار دلار به سرقت رفته است. هکر در حال حاضر در حال پولشویی وجوه سرقتی است.

بررسی‌های امنیتی

قراردادهای اصلی صرافی Polymarket تحت یک حسابرسی امنیتی رسمی توسط ChainSecurity در سال‌های 2021-2022 قرار گرفتند که گزارش داد تمام مسائل بحرانی شناسایی شده قبل از استقرار در شبکه اصلی برطرف شده‌اند. این حسابرسی، UMA CTF Adapter را پوشش نمی‌داد. اما این سوء استفاده آن را پوشش داد.

این یک الگوی تکراری در شکست‌های پلتفرم DeFi است: حسابرسی‌ها فقط اجزای ارائه شده برای بررسی را پوشش می‌دهند، نه لایه‌های یکپارچه‌سازی که بعداً اضافه می‌شوند.

سابقه Polymarket با ریسک‌های مرتبط با اوراکل، چیز جدیدی نیست. یک حادثه قبلی که شامل داده‌های اشتباه خارج از زنجیره بود و به پشته اوراکل Polymarket وارد شد، که به اصطلاح پرونده پاریس نامیده می‌شود، نشان داد که طراحی آداپتور و اوراکل، یک نقطه ضعف سیستمی برای بازارهای پیش‌بینی است، صرف نظر از اینکه آیا قراردادهای پایه به درستی کار می‌کنند یا خیر.

روند سرقت و اقدامات پس از آن

داده‌های زنجیره‌ای نشان می‌دهد که مهاجم در طول فاز تخلیه فعال، هر 30 ثانیه 5000 توکن $POL را حذف می‌کرد، یک روال برداشت که به یک اسکریپت خودکار اشاره دارد که تماس‌های مکرر با قرارداد را اجرا می‌کند. تا زمانی که هشدار صادر شد، مهاجم تقریباً 600 هزار دلار را استخراج کرده بود، طبق گزارش Bubblemaps، در حالی که آمار ZachXBT زیان‌های تأیید شده را بیش از 520 هزار دلار نشان می‌داد.

رفتار پس از سوء استفاده با پولشویی اولیه در زنجیره مطابقت دارد. مهاجم، عواید سرقتی را در 15 آدرس کیف پول جداگانه در یک الگوی تقسیم‌بندی پراکنده کرد که برای پیچیده کردن ردیابی زنجیره نگهداری و کند کردن هرگونه تلاش برای مسدود کردن یا بازیابی طراحی شده بود.

تا زمان گزارش، وجوه پراکنده شده در این 15 آدرس توزیع شده باقی مانده است و هیچ حرکتی تأیید شده‌ای به یک میکسر یا پل بین زنجیره‌ای وجود ندارد. شناسایی عمومی کیف پول مبدأ توسط ZachXBT، یک نقطه شروع واضح در زنجیره را برای محققان فراهم می‌کند، اگرچه پراکندگی 15 آدرس، هرگونه بازیابی بعدی را بدون همکاری صرافی‌ها پیچیده می‌کند.