تعرض خزينة مجهولة الهوية لهجوم عبر ثغرة توقيع متعدد بقيمة 60,000 دولار، وتواجه مبلغ 317,000 دولار خطرًا.

كشف باحثون في مجال الأمان أن عقد خزانة مجهولة الهوية... استغل المهاجمون أساس العقود ثغرات في آلية القائمة البيضاء وآلية التحكم عبر التوقيعات المتعددة، مما أدى إلى خسارة في البلوكشين تُقدر بنحو 6 ملايين دولار. تم اكتشاف هذا الحادث في 4 أكتوبر عندما رصدت شركة أمان البلوكشين Blockaid عمليات سحب غير اعتيادية. وخلال حوالي 40 دقيقة، ارتفعت الخسارة المقدرة من 20,200 دولار لتصل إلى حوالي 6 ملايين دولار.

وفقًا لبيانات GoPlus، PeckShield، CertiK و Exvul، قام المهاجمون باقتراض 1,783.067 من aBaswstETH من الخزانة، واستبدلوا هذه العملات بإيصالات Aave ليحصلوا بذلك على ما يقارب 1,783 من wstETH. الـ aBaswstETH تمثل توكنات إثريوم المرهونة المغلفة والمقدمة لسوق Aave Base.

هذه الهجمة لم تكن نتيجة ثغرة في العقد الأساسي للإقراض الخاص بـAave أو شبكة Base. فقد وجد المحققون أن حادثة السرقة ارتبطت بأعطال في حوكمة وآليات التحكم في الوصول عبر التوقيعات المتعددة في الخزانة. تم إضافة عقد تم إنشاؤه حديثًا إلى القائمة البيضاء للاقتراض عن طريق صفقة Safe متعددة التوقيعات. وبمجرد إضافته للقائمة البيضاء، تمكن العقد من اقتراض مراكز Aave الخاصة بالخزانة واسترداد الأصول الأساسية.

كان مالك التشغيل للخزانة هو ثلاثة حسابات Safe تم إنشاؤها باستخدام Safe Proxy Factory 1.4.1. وتتحكم سبعة عناوين توقيع في هذا الحساب، لكن هوياتهم لم تُكشف بعد. يستطيع المحققون تتبع العمليات على البلوكشين، ولكن سجلات البلوكشين وحدها لا تكفي لتحديد ما إذا كان تحديث القائمة البيضاء حدث بسبب سرقة بيانات الاعتماد أو هجوم الهندسة الاجتماعية أو تهديد داخلي أو خطأ في الحوكمة.

الجدير بالملاحظة أنه خلال 25 يومًا قبل وقوع الهجوم، لم تكن هناك أية معاملات في الخزانة، إلا أنه خلال الهجوم تم تنفيذ معاملتين بشكل مفاجئ. هذا النشاط المفاجئ قد يشير إلى التلاعب في هويات الموقعين أو موافقة شخص داخلي على التغييرات. حتى الآن، لم تؤكد أي شركة أمنية علنًا أي من التفسيرات المطروحة.

ملكية غير معترف بها ومخاطر متبقية

نظراً لعدم وجود مالك معروف، أصبحت الاستجابة أكثر تعقيداً. لم تعلن أي جهة تطوير عن وجود هذه الخزانة، ولم يتم نشر أي خطة علاجية أو توضيح لكيفية الموافقة على الإضافة غير المصرح بها إلى القائمة البيضاء. هذه الخزانة تمثل Transparent Proxy باستخدام OpenZeppelin مع صلاحيات ترقية مستقلة، ما يزيد من طبقة العقد بين المالكين الفعليين للأصول والمتحكمين النهائيين.

تُشير التقارير إلى أن هناك ما يقارب 317,000 دولار من الأصول لا تزال في الخزانة بعد السحب. أحد المستخدمين المجهولين على الشبكة قام بإرسال رسالة للمهاجمين لاحقاً يشجعهم فيها على سحب باقي الأموال ويطالب بإكرامية، إلا أنه لم يتم الإبلاغ عن أي رد علني حتى الآن.

في الوقت الحالي، يبدو أن المخاطر النظامية المباشرة محدودة، إذ أن نشر Aave على Base وشبكة البلوكشين الأساسية لم يتأثرا. ومع ذلك، تُظهر هذه الحادثة أن المخاطر المرتبطة بمهام الإدارة ذات الصلاحيات قد تتجاوز تلك الخاصة بالعقود الذكية نفسها. فعند ضعف هويات الموقعين، أو ضعف بروتوكولات مراجعة المعاملات والرقابة الداخلية، لا يُمكن للتوقيعات المتعددة وحدها ضمان الأمان.

وقد أثار هذا الحادث أيضًا القلق بشأن سيولة wstETH. فقد يؤدي بيع حوالي 1,783 من wstETH إلى ضغط قصير الأجل على السوق، رغم عدم ظهور مخاطر على ربط التوكنات بإجماليها في الوقت الحالي. وإذا ما أعلن الموقعون في Safe أو المنظمة المسيطرة على الخزانة أو المهاجمون عن هوياتهم، فقد تتضح المزيد من التفاصيل مستقبلاً.