اختراق منصتين للتمويل اللامركزي

[Trawda]

السلام عليكم إخواني

هذه المرة جاء دور المنصات اللامركزية حيث تعرضت منصتين للتمويل اللامركزي على التوالي خلال الأيام الماضية لسرقة ملايين الدولارات وإليكم التفاصيل:

صرّحت منصة التمويل اللامركزي "Platypus Finance" بأنها استعادت 90٪ من الأصول التي سُرقت أثناء الاختراق الذي حصل الأسبوع الماضي.

وفقاً لإعلان 17 أكتوبر، اقتصرت الخسارة الصافية لبروتوكول التمويل اللامركزي على 18000 عملة AVAX والتي قُدرت قيمتها بـ 167400 دولار في وقت النشر. ونظراً لأن المخترق أعاد الأموال طواعية، ذكرت "Platypus Finance" أنها "لن تتخذ أي إجراء قانوني"، كما ألمحت إلى أنه سيتم نشر معلومات السحب المتعلقة بأصول المستخدمين قريباً.

في 12 أكتوبر، تعرض صانع السوق الآلي المبني على شبكة "أفالانش" لثلاث هجمات تُعرف بـ"هجمات القرض السريع"، مما تسبب بخسارة 2.23 مليون دولار. ومنذ الهجوم الأخير، أوقفت منصة "Platypus" مجمعات السيولة جميعها وبدأت باتخاذ إجراءاتٍ أمنية.

أثناء تنفيذ "هجوم القرض السريع"، يستغلّ المُخترق ثغرة أمنية تسمح له باقتراض العملات المشفرة على الفور دون توفير الضمانات اللازمة للمعاملة، ثم يسحب المُخترق الأصول المقترضة من البروتوكول، تاركاً وراءه ديوناً هائلة يتحملها المستخدمون أو خزينة البروتوكول.

كان هذا هو الهجوم الثالث ضد "Platypus" هذا العام، حيث استنزفت حادثة سابقة حصلت في يوليو 157000 دولار من المنصة، كما تسبب هجومٌ آخر بخسارة البروتوكول لـ 8.5 مليون دولار. وفي أعقاب حادثة فبراير، ادعت منصة "Platypus" أنها ستعيد ما لا يقل عن 63% من أصول المستخدمين التي فُقدت أثناء الاختراق.

https://ar.cointelegraph.com/news/platypus-finance-recovers-90-percent-assets-lost-exploit

أما الاختراق الآخر فكان من نصيب بروتوكول التمويل اللامركزي "هوب ليند" الذي تعرض للاستنزاف بشكلٍ كامل بعد تعرضه لهجوم مُدمر وتم إفراغ البروتوكول، الذي كان يحتوي على 526 عملة إيثيريوم مُقفلة، أثناء هجوم 18 أكتوبر.

بروتوكول التمويل اللامركزي (DeFi) "هوب ليند" (Hope Lend) بقي بحوزته ما يقارب الصفر من الأصول المُشفرة بعد الاختراق المدمر الذي تعرض له مؤخراً.

وفقاً للعديد من الشركات المُتخصصة بأمن شبكات البلوكتشين، في 18 أكتوبر، سرق شخصان - أحد الاستغلاليين الذين تنافسوا مع المُخترق الأصلي بعد اكتشاف الثغرة والمُخترق الأصلي نفسه — 526 عملة إيثريوم  من "هوب ليند"، والتي قدُرت قيمتها بـ 825357 دولاراً في وقت النشر.

وتعليقاً في هذا الصدد، كتبت منصة CertiK: "حصل المُخترق على 264 عملة إيثريوم ودفع رشوة قدرها 263 عملة إيثريوم إلى مدقق الشبكة".

إلا أن الشركة المطورة لبروتوكول التمويل اللامركزي، هوب موني، قدمت نسخةً مختلفةً من القصة.

ففي منشورٍ لها على منصة "X"، ادعت الشركة أن مخترقاً واحداً هرب بـ 526 عملة إيثريوم، ودفع منها 263.91 عملة كرشوة إلى مُدقق يُزعم أنه يُدار من قبل Lido Finance، أي أن المُخترق تمكّن من الهروب وبحوزته 264.08 عملة إيثريوم . وقالت هوب موني: "

https://ar.cointelegraph.com/news/ethereum-defi-protocol-hope-lend-drained-after-exploit

الغريب هذه المرة أنه تتم مهاجمة المنصات اللامركزية، تعودنا على مهاجمة المنصات المركزية وأصبح معروفا لدى الجميع أنها غير آمنة، لكن الآن هناك أكثر من حادثة لاختراق المنصات اللامركزية بطرق مختلفة عن طريق الثغرات الموجودة في هذه المنصات، فهل نصل إلى مرحلة تكون فيها المنصات اللامركزية غير آمنة أيضا؟

لكن أكثر ما أثارني في الخبرين وأثار دهشتي واستغرابي هو جملة "حصل المُخترق على 264 عملة إيثريوم ودفع رشوة قدرها 263 عملة إيثريوم إلى مدقق الشبكة"
وخبر آخر يقول: "أن مخترقاً واحداً هرب بـ 526 عملة إيثريوم، ودفع منها 263.91 عملة كرشوة إلى مُدقق يُزعم أنه يُدار من قبل Lido Finance"
بغض النظر عن تضارب التفاصيل في الخبرين لكن هذا التصريح خطير جدا يثبت أولا فشل بروتوكول إثبات الحصة الذي انتقلت إليه إيثريوم مؤخرا وثانيا يفتح الباب على مصراعيه لفقدان الثقة بشبكة إيثريوم كليا، إذا كان الهاكرز يستطيعون رشوة المدققين الذي لديهم حصص كبيرة وصلاحيات كبيرة لتدقيق وإكمال المعاملات على الشبكة فكيف يمكن الوثوق بالشبكة بعد الآن؟

[albon]

الغريب هذه المرة أنه تتم مهاجمة المنصات اللامركزية، تعودنا على مهاجمة المنصات المركزية وأصبح معروفا لدى الجميع أنها غير آمنة، لكن الآن هناك أكثر من حادثة لاختراق المنصات اللامركزية بطرق مختلفة عن طريق الثغرات الموجودة في هذه المنصات، فهل نصل إلى مرحلة تكون فيها المنصات اللامركزية غير آمنة أيضا؟

هذه الأخبار تجعلنا أن لا نضع الثقة كاملة في أي منصة سواء كانت مركزية أو لا مركزية، فإذا تقاعست المنصة عن اكتشاف الثغرات الأمنية أول بأول من قبل فريق الحماية الخاصة بهم وتحصينها وتطويرها بشكل كاف فستذهب أموال المستخدمين في مهب الريح فور استغلال أحد الهاكرز البلاك هات لإحدى الثغرات أو تمكنهم من النجاح باستخدام أحد الأساليب الملتوية كرشاو للمدققين المتواطئين معه في هذا الأمر على الرغم من وجود بروتوكول إثبات الحصة الذي أثبت عدم جدارته لتأمين أموال المستخدمين، هذه المنصات التمويلية بلاشك هدف واضح للمحتالين ومن المحتمل ان تتكرر مثل هذه الحوادث والسرقات فى منصات اخرى ان لم يجدوا حلولا واضحة وعملية، لذلك وجب علينا الحذر واخذ هذه الحوادث التى حدثت لغيرنا كامور إحترازية وتنبيهية لنا. شكرا لك على الموضوع

[khaled0111]

المنصات المركزية و المنصات اللامركزية كلاهما مبنيان على اكواد برمجية يمكن أن تكون فيها أخطاء و ثغرات يمكن استغلالها.
المنصات المركزية كانت تتعرض لعمليات اختراق و لازالت على نفس الحال و نفس الشيئ بالنسبة للمنصات اللامركزية. الفارق الوحيد هو أن بعض مواقع الاخبار موجهة و تريد أن توجه الرأي العام إلى طريق معين مثل ما يحدث الان. مثلا تعتقد عند قراءة مثل هذه الأخبار انه انتهى عهد اختراق المنصات المركزية و الدور الان على اللامركزية لكن ذلك غير صحيح. هو مجرد توجيه للرأي العام من خلال اختيار اي الأخبار ينشر و اي الأخبار يتم حجبه.

[hg_away]

اغلب هذه الاختراقات تكون عمل داخلي يقوم به اما مطور حالي او  سابق فهم يعرفون كيف تعمل المنصة وبالتالي قادرون على تحديد نقاط الضعف بها والتي قد لا تكون معروفة للاخرين.

احيانا قد يحدث عندما لا يحصل هؤلاء الموظفون على الاموال او لاسباب تافهه من محاولة تدمير المشروع بعد طردهم.

[Trawda]

شكرا لمروركم أخوتي، لكن كنت أتمنى من أهل الخبرة أن يعطوني رأيهم حول هذا الكلام :

لكن أكثر ما أثارني في الخبرين وأثار دهشتي واستغرابي هو جملة "حصل المُخترق على 264 عملة إيثريوم ودفع رشوة قدرها 263 عملة إيثريوم إلى مدقق الشبكة"
وخبر آخر يقول: "أن مخترقاً واحداً هرب بـ 526 عملة إيثريوم، ودفع منها 263.91 عملة كرشوة إلى مُدقق يُزعم أنه يُدار من قبل Lido Finance"

كيف يمكن أن تحدث هذه الأشياء حقا في شبكة إيثريوم؟ وهل يمكن أن تتحول إلى نهج يؤدي إلى فقدان الثقة بالشبكة نهائيا؟ وهل هناك حل لوقف هذه الممارسات؟

[GxSTxV]

هذه الأخبار تجعلنا أن لا نضع الثقة كاملة في أي منصة سواء كانت مركزية أو لا مركزية، فإذا تقاعست المنصة عن اكتشاف الثغرات الأمنية أول بأول من قبل فريق الحماية الخاصة بهم وتحصينها وتطويرها بشكل كاف فستذهب أموال المستخدمين في مهب الريح فور استغلال أحد الهاكرز البلاك هات لإحدى الثغرات أو تمكنهم من النجاح باستخدام أحد الأساليب الملتوية كرشاو للمدققين المتواطئين معه في هذا الأمر على الرغم من وجود بروتوكول إثبات الحصة الذي أثبت عدم جدارته لتأمين أموال المستخدمين، هذه المنصات التمويلية بلاشك هدف واضح للمحتالين ومن المحتمل ان تتكرر مثل هذه الحوادث والسرقات فى منصات اخرى ان لم يجدوا حلولا واضحة وعملية، لذلك وجب علينا الحذر واخذ هذه الحوادث التى حدثت لغيرنا كامور إحترازية وتنبيهية لنا. شكرا لك على الموضوع

أشاركك الرأي أخي الفاضل، لا ارى اي فائدة تجلبها هته المنصات التي تفتتح يوميا ويروجون لها باموال طائلة للحصول على مستخدمين وفي رأيي هؤلاء المستخدمين الذين يسجلون ويقومون بايداع اموالهم في تلك المنصات اما مركزية او غير مركزية فهم ضحايا لاصحاب هذه المشاريع. من قبل كان الترند هو مواقع الICO والان نرى منصات تتعرض للاختراق ويتم فقدان اموال طائلة للمستخدمين بدون اي تعويض لهم. فريق المنصة طبعا يتدخلون ويقولون انه حدث اختراق في الموقع وتم خسارة اموال كبيرة لا يمكن تعويضها مثل ما حدث في هته الايام لمنصتين  للتمويل اللامركزي.

ربما في بعض الاحيان المخترقون ليس لديهم علاقة بذلك المشروع بل عن طريق ثغرة مثلا لكن معظم الحالات يكون المخترق اصلا من فريق المشروع و المنصة ويقومون بالسيطرة على اموال المستخدمين. لهذا لكل بساطة هي طريقة جديدة للنصب والتهرب. لا ارى لماذا يقومون البعض بالتسجيل في منصات غير معروفة وايداع اموال طائلة؟