في حين يبدو أن اختراقات العملات المشفرة تسير في اتجاه هبوطي، فقد شهد السوق مؤخرًا واحدة من أكبر الهجمات في التاريخ الناشئ لتداول العقارات المشفرة للتمويل اللامركزي (DeFi)، حيث كشف متسلل مجهول عن ثغرة أمنية قد يستغلها -chain في بروتوكول الإطار الرقمي Poly Networks واكسب 610 مليون دولار أمريكي من ثلاث سلاسل منفصلة.

Poly Network هي مهمة مشتركة بين Ontology وNeo وSwitcheo. ويهدف إلى تعزيز "تحالف بروتوكول التشغيل البيني غير المتجانس" الذي يدمج blockchains في النظام البيئي الأكبر عبر السلسلة. بفضل بنيته التحتية، يتيح البروتوكول للعملاء تبديل الرموز المميزة بسلاسة على سلاسل مختلفة تمامًا.

عند الفحص الدقيق للتحسين، قرر طاقم التطوير الأساسي في Poly Network الهجوم نتيجة تم اختراق ما يقرب من 273 مليون دولار من Ethereum، و85 مليون دولار من العملة الأمريكية (USDC) من شبكة Polygon، و253 مليون دولار من Binance Smart Chain. بالإضافة إلى ذلك، فقد تم أيضًا فقدان قدر كبير من عملات renBTC وWrapped Bitcoin (wBTC) وWrapped Ether (wETH) كجزء من عملية التعدين.

فيما يتعلق بهجوم القرصنة، أخبر أنطون بوكوف، المؤسس المشارك لشبكة DeFi المدمجة 1 بوصة، Cointelegraph أن أحد الأنظمة الفرعية لـ Poly Network - مصمم لنقل تفاعلات العقود. تبين أن ذكاء المستخدم بين سلاسل الكتل المختلفة تمامًا معيب، بما في ذلك:

"تجاوز المتسللون تفاعلات المعاملات الوهمية على سلسلة واحدة للإشارة إلى عقد النظام مع سلسلة أخرى ونقلوا ملكية الأصل إلى المفتاح العام للمتسلل. لم يكتشف مطورو ومدققو Poly Network أي ثغرة أمنية سمحت بعدد من المكالمات الشخصية التعسفية من خلال عقد جيد مميز. "

ارتداء قبعة بيضاء

وتعليقًا على الأمر، قال جون جيفريز، مدير التحليل المالي في CipherTrace، لكوينتيليغراف إن الحادث كان مثيرًا للاهتمام بشكل خاص مقارنة باختراقات DeFi السابقة، والتي غالبًا ما اتخذت شكل الإقراض السريع والمراجحة لتعدين العقود الذكية وتم استخدام السرقة بواسطة العملات المعدنية:

"في الأساس، اكتشف المتسللون استغلالًا سمح لهم بتجاوز المفاتيح الخاصة وإبرام عقد يرسل الأموال إليهم فقط. من بين جميع عمليات المبادلة التي استخدمها المتسللون للكشف عن آثارهم، يبدو أنه في مرحلة ما أعاد المتسلل استخدام محفظة كانت لها معاملات سابقة مع بورصات متعددة. يمكن للمعاملات البارزة التعرف على معلومات KYC عنه. "

جيفريز ليس مقتنعًا فقط بنوايا المتسللين، على الرغم من أن جميع الأموال المسروقة عادت مرة أخرى إلى المكان الذي تنتمي إليه. وقال: "من غير المرجح أن تتخذ القبعة البيضاء خطوات لإخفاء مسار الصندوق إذا كانت تنوي دائمًا إعادة الأموال".

في تطور غير عادي ولكنه رائع للمناسبات، بعد وقت قصير من الاختراق، أجرى متسلل Poly Network مقابلة بأسلوب اسألني أي شيء باستخدام الرسائل المضمنة في معاملات Ethereum. عندما سئل عن سبب استهداف شبكة Poly، أجاب المتسلل، "القرصنة عبر السلسلة رائجة"، مضيفًا أنه قضى الكثير من الوقت في اكتشاف نقاط الضعف في المجتمع التي يمكن استغلالها.

ليس هذا فحسب، بل قال هذا المتسلل أيضًا أن الخطة لم تكن تهدف أبدًا إلى الاحتفاظ بمبلغ 610 ملايين دولار، ولكن من المنطقي الكشف عن الثغرة الأمنية للجمهور قبل أن يتمكن المطورون في Poly Network من إصلاحها سرًا. "أحتاج إلى إعطائهم نصائح [Poly Network] لتأمين مجتمعهم للسماح لهم بالتأهل للتعامل مع مشروع بقيمة مليار [دولار] في المستقبل. أضاف:

"عندما اكتشفت الخطأ، كانت لدي مشاعر مختلطة. اسأل نفسك ماذا ستفعل إذا واجهت مثل هذه الثروة. أطلب بأدب من طاقم المهمة السماح لهم بإصلاح الجانب السلبي؟ قد يكون أي شخص خائنًا في حالة منحه مليارًا. لا أستطيع أن أصدق أي شخص! الحل الوحيد الذي يمكنني التفكير فيه هو وضعه جانبًا في حساب موثوق به. "

لقد عاد المال

أصدرت Poly Network بيانًا يوم الخميس أعلنت فيه أنها تلقت أموالاً بقيمة 610 ملايين دولار بالكامل تحويل إلى محفظة multisig المستهدفة مع المتسلل. تشمل الرموز الوحيدة المتبقية Tether (USDT) بقيمة 33 مليون دولار، والتي تم تجميدها بعد وقت قصير من أنباء الهجوم.

بدأ قراصنة Poly Network في إعادة جزء كبير من الأموال المسروقة إلى بروتوكول DeFi عبر السلسلة. في الواقع، بعد ما يزيد قليلاً عن يوم واحد من الحدث، أكدت CipherTrace أنه تم إرجاع ما لا يقل عن 265 مليون دولار في شكل مليون USDC إلى Poly Network؛ 1 مليون دولار بشكل رئيسي عبر Bitcoin BEP-256.2 (BTCB)، وBinance Neo-Ether، وBinance USD (BUSD)؛ 2 مليون دولار أمريكي في عملة Binance (BNB)؛ و2.637 مليون دولار في Shiba Inu (SHIB) وrenBTC وFei.

وادعى المهاجم منذ البداية أنه مستعد لإعادة الأموال المسروقة بالكامل - وهو الوعد الذي قطعه يوم الخميس الماضي - بهدف تلقين بولي درسا باهظ الثمن حول عيوبه الأمنية.

ومع ذلك، أشار توم روبنسون، كبير العلماء في شركة تحليلات blockchain Elliptic، إلى أن تغيير الرأي قد يكون بسبب حقيقة أن شفافية blockchain تجعل من الصعب جدًا على المتسللين غسل الأموال أو سحب الأموال من الأصول المسروقة.

صرح سيباستيان بورغل، مؤسس بروتوكول حماية البيانات المستند إلى إيثريوم HOPR، لكوينتيليغراف أنه على الرغم من أن السرقة ليست شيئًا جيدًا أبدًا، إلا أنه يعتقد أنه من المثير للإعجاب مدى قرب مجتمع التمويل اللامركزي من بعضهم البعض - من تيثر، عملة USDT بقيمة تبدأ من 33 دولارًا يوفر تجميد الملايين لـ OKEx وBinance المساعدة في مراقبة تدفق الأموال إلى الخارج - لمنع المتسللين من سحب الأصول ذات الصلة أو تبادلها، أضف:

"نأمل أن يشجع ذلك على التركيز بشكل أكبر على السلامة والتدقيق. إن حماسة DeFi معدية، ولكن من المهم أن تتذكر أن هناك قيمة كبيرة على المحك. إن الرغبة في التحرك بسرعة لا يمكن أن تتجاوز الأمن. "

"لا شكرا،" قال "السيد. قبعة بيضاء "

بعد اكتشاف أن دوافع المتسلل كانت نقية تمامًا، صرح متحدث باسم Poly Network أن الشركة منفتحة على التوصية بالشخص المعين - الذي جعل الشركة "السيد". White Hat "- مكافأة قدرها 500,000 دولار أمريكي عن طريق رسالة نصها:" سنرسل لك مكافأة قدرها 500,000 دولار أمريكي عند إرجاع الرصيد المتبقي دون تجميد USDT. "

والمثير للدهشة أن المتسلل رفض بأدب قائلاً إنه لم يستجب للعرض بأي حال من الأحوال. قال وهو يوقع: "سأعيد إليك كل أموالك".

ذات صلة: كيف يتم اختراق سجلات DeFi؟

بكل الوسائل مرة أخرى – باستثناء USDT المجمد المذكور أعلاه – يبدو أن أكبر اختراق في تاريخ التمويل اللامركزي قد انتهى أخيرًا. وبينما لا يزال تحديد هوية المهاجم مثيرًا للاهتمام، أطلقت وكالة الأمن السيبراني الصينية SlowMist مؤخرًا تحديثًا يدعي أن فريق الأمن التابع لها كان قادرًا على تحديد عنوان البريد الإلكتروني للمهاجم، وعنوان IP، وبصمة الجهاز.

نأمل أن تكون هذه الحلقة بمثابة تذكير قوي بأن الأمن يجب أن يكون دائمًا ذا أهمية قصوى عند وضع الأساس لأي مهمة، بغض النظر عن توفيرها التكنولوجي. ومن ثم، سيكون من المثير للاهتمام أن نرى كيف تتطور الشركات الناشئة والشركات الأخرى المشاركة في التمويل اللامركزي DeFi وتستبدل إعدادات الأمان الحالية الخاصة بها حيث قد لا يحتاج المتسللون إلى إعادة الأموال في المرة القادمة.