أبرز 6 صدمات استغلال في النصف الأول من عام 2021

ملخص لأبرز 6 مآثر (الاختراقات) في النصف الأول من عام 2021 وسرد إجمالي الأضرار والحلول للمشروع.

مرحبا يا شباب.

اليوم ، أود أن أشارككم مقالًا يلخص أكثر عمليات الاختراق (الاختراقات) شيوعًا في النصف الأول من عام 2021. وفي الوقت نفسه ، سرد المشاريع التي تم اختراقها بواسطة المتسللين ، وإجمالي الأضرار الناجمة عن الحادث وحلها. لمزيد من التفاصيل ، يرجى الرجوع إلى المقالة التالية.

نظرة عامة على إكسبلويت 

الاستغلال مصطلح يستخدم للتحدث عن هجوم من شخص أو مجموعة من الأشخاص (مجهولين) يدخلون عمدًا في ثغرة أمنية أو ثغرة أمنية للاستغلال والربح. ينطبق هذا المصطلح على كل من العملات المشفرة وغير المشفرة.

تحدث الهجمات عادةً في أنظمة تشغيل الشبكة أو Dapps أو أي رمز برمجي. في بعض الحالات ، يسرق العديد من المتسللين البيانات الموجودة في النظام مثل معلومات المستخدمين ، أو أصول التمويل ، أو ... أو إسقاط الفيروسات في البرنامج لتدمير العقد المرتبطة.

تصنيف برمجيات إكسبلويت الشائعة

Exploit معروف جيدًا في صناعة الإلكترونيات ، وهناك أيضًا العديد من الأنواع المختلفة من Exploit ، لكي تفهم بشكل أفضل ، سأصنفها على النحو التالي:

• Remote Exploit : عملية استغلال الأخطاء في نظام الأمان الرئيسي عن بُعد على كمبيوتر / شبكة أخرى.
• Local Exploit : شكل من أشكال استغلال الأخطاء في نظام الأمان مباشرة على النظام الرئيسي والترقية التدريجية لأذوناته ، وكسر كلمات المرور ، واستغلال بيانات الآخرين ، ...
• هناك نوع آخر من الاستغلال الذي سيتسلل إلى وصول المسؤول (الوصول إلى المستوى الإداري / الجذر) ويؤدي أعمالًا لتحقيق مكاسب شخصية من هناك.

استغلال في التشفير

في Crypto ، يُعرف Exploit بهجمات على نقاط الضعف في العقود الذكية ، أو عيوب أمنية مكتشفة بشكل شائع مثل موقع الويب ، Dapps ، IoT ، API ، UI-UX ، ...

غالبًا ما يكون للبرنامج الذي تمت برمجته للتو أخطاء أثناء التنفيذ ، وغالبًا ما تظهر هذه الثغرات الأمنية في التكوينات والتطبيقات (Dapps) ورمز التفاف الانكماش ونظام التشغيل.

غالبًا ما يلاحظ المتسللون الثغرات التقنية

غالبًا ما يكون من الصعب اكتشاف هجمات المتسللين حتى تحدث العواقب ، لذا فإن مشاريع blockchain عند إطلاق منتج جديد غالبًا ما تعقد أحداث Testnets و Devnets و Bug Bounty. احصل على مكافآت) للمجتمع.

Bug bounty هو برنامج أمان يتم تطبيقه غالبًا بواسطة المشاريع على Dapps ، جزئيًا لاستطلاع تجربة المستخدم ، والجزء الآخر هو اكتشاف الثغرات الأمنية (الأخطاء) في منتجاتهم. 

بدلاً من التعرض للهجوم من قبل المتسللين وخسارة آلاف الملايين من الدولارات ، إلى جانب العديد من المشكلات القانونية الأخرى ، ستحد Bug Bounty إلى حد ما من المخاطر التي قد تحدث في المستقبل. 

6 حالات استغلال معلقة في عام 2021

شبكة بولي

شبكة Poly Network هي شبكة تم نشرها للتفاعل متعدد السلاسل ، وبناء البنية التحتية للإنترنت من الجيل التالي. يمكن لـ Blockchains الاتصال بشبكة Poly من خلال شبكة مفتوحة وآلية قبول شفافة (الشفافية) في الوصول إلى المعلومات والثقة والاتساق. 

إلى جانب ذلك ، تربط شبكة Poly أيضًا العديد من سلاسل الكتل الأخرى وقد قامت بدمج العديد من المنصات مثل Bitcoin و Ethereum و Neo و Ontology و Elrond و Ziliqua و Binance Smart Chain و Switcheo و Huobi ECO Chain. حتى الآن ، لم يكن لدى Poly Network أي رمز مميز في آلية الحوكمة الخاصة بها.

السبب في أن Poly Network في قائمة أفضل 6 شركات هو أنه مؤخرًا في 10 أغسطس ، أكد موقع Poly Network على Twitter أنهم تعرضوا لهجوم عبر السلاسل ، وقدرت تكلفة الحادث بـ 611 مليون دولار. تشمل الأضرار على وجه التحديد ما يلي:

• 273 مليون دولار على Ethereum.
• 253 مليون دولار على BSC.
• 85 مليون دولار على Polygon.

إلى جانب ذلك ، O3 Swap - النظام الأساسي المبني على شبكة Poly يتأثر أيضًا جزئيًا ، ولا توجد حتى الآن بيانات دقيقة لهذه الحالة.

على الرغم من أن شركة Certik تقوم بتدقيق Poly Network ، إلا أنه من المحتم حدوث حالات غير متوقعة مثل الحالات المذكورة أعلاه. يقوم المشروع حاليًا بالتحقيق في القضية ، وسيتم تحديث معلومات محددة بمجرد صدور إعلان جديد من شبكة Poly Network.

معمل الفا للتمويل

Alpha Finance Lab هو عبارة عن منصة DeFi عبر سلاسل مبنية على نظام Binance Smart Chain ، بما في ذلك منتجات وخدمات الإقراض والاقتراض ، ودعم المستخدمين في العديد من سلاسل الكتل المختلفة. 

ALPHA هو الرمز الأصلي التمثيلي للمشروع ، حيث يخدم الحوكمة في النظام ، ويدعم تعدين السيولة في الإقراض أو الاقتراض ، ويمكنك أيضًا Staking ALPHA لتحقيق الأرباح. 

السبب في كون Alpha Finance ضمن أفضل 6 حالات من حالات Exploit هو أن إجمالي الضرر بعد الهجوم كبير جدًا حتى 37.5 مليون دولار أمريكي.

ملخص الأحداث

في صباح يوم 13 فبراير 2021 ، هاجم أحد المتسللين بروتوكول Alpha Homora V2 وتم إيقاف معاملات الإقراض لاحقًا للتحقيق. يقال إن هذا الهجوم معقد للغاية لأن المخترق قد اتخذ العديد من الخطوات قبل حرمان المبلغ أعلاه ، وعلى وجه التحديد:

• أنشأ Hacker عنوانًا افتراضيًا ، واستبدل ETH بـ UNI وأضاف LP لزوج ETH + UNI في Uniswap (للحصول على رموز LP). في نفس المعاملة ، استبدل ETH بـ sUSD وأودع sUSD في Cream Iron Bank.
• في Alpha Homora V2 ، استعار المتسللون sUSD & Aave لزيادة مقتنيات cySUSD. من هناك ، اقترض المخترق 13244 دولارًا آخر من ETH ؛ 4،263،139 دولار أمريكي ؛ 3،997،921 دولارًا أمريكيًا و 5647242 دولارًا أمريكيًا.
• بعد ذلك ، قم بإيداع البعض في Aave و 1،000 ETH إلى Iron Bank و Alpha Homora V2 و 320 ETH إلى Tornado.cash.
• على المحفظة الشخصية للمتسلل بعد المعاملة ، تم ترك 10،925 ETH (ما يعادل 20 مليون دولار).

تم التحقيق في نقاط الضعف الناتجة عن الحادث وبحثها بواسطة Alpha Finance Lab و Andre Cronje و Cream Finance ، بما في ذلك 9 معاملات و 4 عمليات مختلفة في هذا الاختراق. يمكن ملاحظة أن سوق DeFi لا يزال جديدًا تمامًا وهناك العديد من المخاطر المحتملة. 

عاقبة

بالإضافة إلى نتيجة الاختراق ، خسارة 37.5 مليون دولار ، واجه Alpha Finance Lab أيضًا انخفاضًا كبيرًا في سعر ALPHA الرمزي بعد الإعلان عن المشروع ، في وقت الإعلان كان ما يقرب من 22 ٪ وانخفض الإجمالي في فبراير بنسبة 39.22٪.

راري كابيتال 

يُعرف Rari Capital (RGT) ببروتوكول زراعة الغلة الآلي على منصة Ethereum blockchain ، مما يساعد على جذب السيولة في DeFi Space مثل Compound و dYdX و yEarn ... بالإضافة إلى ذلك ، الهدف الذي تهدف إليه Rari Capital هو إنشاء بيئة زراعية فعالة للمستخدمين.

منذ إطلاقها حتى الآن ، شهدت RGT نموًا هائلاً في الأسعار من 0.2 دولار (5 نوفمبر 2020) - 27.37 دولار أسترالي (15 أبريل 2021) ، يمكن ملاحظة أن منصة Rari Capital تتطور باستمرار وهي أيضًا "لذيذة" طعم "للقراصنة.

ملخص الأحداث

في 8 مايو ، كان على Rari Capital الإبلاغ عن اختراق أحد المتسللين للنظام واستنزاف 2600 ETH ، وهي خسارة بنسبة 60 ٪ (تقدر بـ 10،000،000 دولار) من إجمالي أموال المستخدمين في ذلك الوقت. سوف ألخص الحادث بإيجاز على النحو التالي:

• ابتكر المتسللون رموزًا مزيفة وقاموا بتجميعها على SushiSwap.
• ثم استفادوا من الثغرة الأمنية من الميزات في Alpha Finance ووصلوا إلى Alpaca Homora لتلقي ibETH من عقد تجمع Rari ETH.
• أخيرًا ، قام المخترق بتحويل ibETH إلى ETH في تجمع Rari ETH.

عاقبة

مصدر الصورة: Rekt Capital

انخفض سعر RGT بأكثر من 40٪ بعد الهجوم. من الجدير بالذكر أنه على الرغم من تدقيق الرمز المميز بواسطة Quantstamp ، تم تجاهل هذه الثغرة وتسببت في خسارة فادحة لشركة Rari Capital. كما أعلم ، كان على Rari خصم 2 مليون RGT لتعويض المستخدمين لاحقًا.

بانكيك باني التمويل

إذا كنت تحب الزراعة ، فمن المؤكد أن Pancake Bunny (BUNNY) ليس اسمًا غريبًا ، فهو أداة لتجميع الأرباح وتحسين الزراعة على Binance Smart Chain. على غرار Yearn Finance على Ethereum ، يستخدم Pancake Bunny Finance Pancake كمنصة الزراعة الإنتاجية الرئيسية. 

يسمح للمستخدمين بشراء كعكة وإضافتها إلى التجمع للحصول على فائدة مركبة من الزراعة. في Pancake ، يوجد أيضًا جسر بين ETH-BSC لتوسيع عدد المستخدمين في النظام الأساسي. BUNNY هو رمز أصلي يمثل المشروع ، ويستخدم في الإدارة وكرسوم على PancakeSwap.

ملخص الأحداث

على وجه التحديد ، في 20 مايو ، كان على Pancake الإبلاغ عن قرض سريع لهجوم المستغل - وهو شكل من أشكال القرض بدون ضمانات. الاستفادة من الثغرة في هذه الميزة في التطبيق ، اخترق المتسللون وهاجموا من خلال ما يلي:

• يستخدمون PancakeSwap لاقتراض كميات كبيرة من BNB من مجمعات WBNB ، بما في ذلك ثمانية قروض سريعة مختلفة (وفقًا لبنك Fortube).
• قام المتسللون بإيداع 2.96 مليون دولار أمريكي و 7886 WBNB في المجمع وسكوا 144.45 ألف رمز ليرة لبنانية.
• مع وجود عدد كبير من رموز LP في متناول اليد ، فقد حصلوا على 6.97 مليون من مكافآت BUNNY من Vault Flip To Flip وجلبوا إلى السوق تفريغًا قويًا.
• نجحوا في بيع جميع BUNNY المخترق ، وعادوا لسداد BNB المقترض من القرض السريع السابق.

عاقبة

مصدر الصورة: Rekt Capital

تسبب الحادث في انخفاض سعر BUNNY فجأة إلى 6 دولارات وفي ذلك الوقت كان TVL الخاص بـ Pancake Bunny مليار دولار فقط (مقسومًا على 10 من فترة الذروة).

تقدر الخسائر الإجمالية بـ 2.4 مليون دولار ، حتى أن المراجعة التي أجراها Haechi لم تستطع حماية Pancake Bunny من هذا الهجوم ، 

ثورتشين 

تُعرف THORChain (RUNE) باسم مشروع بروتوكول Blockchain ، الذي يقوم ببناء بروتوكول تجسير حيادي السلسلة ، مما يسمح بالاتصال وتبادل القيمة بين السلاسل المتعددة المختلفة. توفر THORChain أيضًا سيولة من الطبقة الأولى ومبادلة فورية للأصول وتسوية تقلبات الأسعار في العملة المشفرة. 

RUNE هو رمز مميز أصلي في منصة THORChain بغرض إجراء رسوم المعاملات ، والتراكم / التصويت ، والعمل كمكافآت للمدققين.

THORChain هو أيضًا الاسم في أحدث 6 مآثر ، في شهر واحد فقط ، واجهت THORChain هجومين متسللين مع خسارة إجمالية تقارب 13 مليون دولار.

ملخص الأحداث:

• في وقت سابق يوم 15 يوليو ، تم اختراق THORChain لسرقة 2500 ETH (تقدر بـ 5 ملايين دولار أمريكي) ، هذا الهجوم في بروتوكول Bifrost .
• وقرب نهاية شهر يوليو ، خسروا 8 ملايين دولار أخرى على يد "قراصنة القبعة البيضاء" بسبب خطأ يتعلق برمز ERC-777 (عقد ETH Router).
• أنشأ Hacker جهاز توجيه مزيفًا ونفذ أفعاله على Thorchain Router.

عاقبة

انخفض سعر RUNE بنسبة 25٪. على الرغم من أنه تم تدقيقه من قبل فريق Certik المرموق ، ولكن بعد الأخطاء وتكرار حدوثها بشكل جماعي ، شعر المجتمع بالقلق وبدأت تظهر علامات الهروب. يمكنك رؤية نموذج شمعدان يوليو كما هو موضح أدناه:

التمويل المصاصة

اسمحوا لي أن أحدد باختصار ، Popsicle Finance هي عبارة عن منصة لتجميع الأرباح متعددة السلاسل ، تساعد على توفير السيولة على العديد من المنصات المختلفة. تم بناء المشروع وتطويره بهدف مساعدة المستخدمين على توفير سيولة سريعة وتوفير رسوم الغاز ودعم العديد من AMMs مثل Uniswap و SushiSwap و Pancakeswap ... 

إلى جانب أن ICE هي الرمز التمثيلي للمشروع ، لم يقم الفريق حاليًا بتحديث ميزة هذا الرمز ، على الأرجح في المستقبل سيتم استخدام ICE للتصويت ، كرسوم التحويل الرئيسي في منصة Popsicle.

نظرًا لأنه مشروع جديد ، على الرغم من تدقيقه من قبل Peckshield ، فإن Popsicle Finance لا يمكنها الهروب من مشاكل الثغرات التقنية في نظامها. منذ بداية العام وحتى الآن ، كان لدى Peckshield 7 مآثر ، وسحب البساط ، وما إلى ذلك ، وهو رقم مقلق لفريق Peckshield. 

ملخص الأحداث

• حدث هذا الحادث للتو في 4 أغسطس ، على وجه التحديد ، أنشأ المخترق 3 عقود أ ، ب ، ج وتكرر في التسلسل: التحويل (أ) ⇒ (ب) وتحصيل الرسوم ⇒ (ج) التحويل ⇒ (أ) وتحصيل الرسوم ( كرر لمدة 8 حمامات من هذا القبيل).
• لتوضيح الأمر بشكل أكثر بساطة ، يقومون بإيداع الأموال في العقد A ثم تحويل الرموز المميزة LP إلى B ، بالاعتماد على آلية تحصيل الرسوم الخاصة بشركة Sorbetto لاستخراج المبلغ لهذه المعاملة. بعد ذلك ، انتقل من B إلى C وهكذا كرر كل البرك الثمانية.
• يمكن ملاحظة أن هذا هو التكرار المخطط له ، فلقد حصلوا على 30 مليون دولارًا أمريكيًا و 13000 WETH و 1400 BTC و 30 مليون DAI و 200000 UNI من Aave لمهاجمة التجمعات الثمانية المذكورة أعلاه.
• في الواقع ، فإن الخلل في المصاصة بسيط للغاية مقارنة بالأحداث في المشاريع المذكورة أعلاه. السبب الرئيسي لهذا الاختراق هو عدم احتساب الرسوم بشكل صحيح عند نقل الرموز المميزة LP.

عاقبة 

عانى Popsicle Finance من خسارة تصل إلى 25 مليون دولار إلى جانب انخفاض في سعر الرموز المميزة لشركة ICE بعد الإعلان عن الانهيار. 

استنتاج 

منذ بداية العام ، كانت هناك 42 حالة من حالات Exploit و Rug-pull في سوق Crypto. هذا أيضًا عامل مهم في تحركات الأسعار الأخيرة في بعض المشاريع. DeFi Spaces هي فريسة جيدة لقراصنة القبعات البيضاء ، خاصة عندما يتطور السوق باستمرار مثل اليوم.

هل سيكون هناك حل في المستقبل ، وسيكون التدقيق أكثر إحكامًا وأكثر آلية؟ تابع قناة أخبار Coin98 Insights على الفور للحصول على التحديثات الأسرع على جميع الأخبار والأحداث البارزة في سوق العملات المشفرة!