اشکال در شبکه Aptos که 70 میلیارد دلار را در معرض حمله 3 هزار دلاری قرار می‌داد، اصلاح شد

• این اشکال اجازه می‌داد کنترل نقش‌هایی که مجوز صدور استیبل‌کوین‌هایی مانند USDC را دارند، به دست آید.
• محققان آزمایش کردند که بین 17 تا 18 از هر 20 تلاش حمله موفقیت‌آمیز بود.

یک اشکال بحرانی در شبکه Aptos در ماه فوریه اصلاح شد، پس از اینکه شرکت امنیتی Hexens نشان داد که این آسیب‌پذیری می‌تواند تا 70 میلیارد دلار در وجوه داخل اکوسیستم Aptos را از طریق حمله‌ای به هزینه تنها 3 هزار دلار، که هزینه‌ای بود که محققان برای اجاره یک سرور با قدرت یک کامپیوتر رومیزی ذکر کردند، در معرض خطر قرار دهد. اصلاح این اشکال قبل از اینکه مورد سوءاستفاده قرار گیرد، انجام شد، بنابراین هیچ کاربری پولی از دست نداد.

اگرچه کشف و اصلاح این اشکال در ماه فوریه انجام شد، جزئیات فنی کامل و آزمایش مفهوم (PoC) Hexens این هفته منتشر شد، زمانی که Hexens و تیم Aptos آن‌ها را عمومی کردند.

از Hexens تأکید کردند که از هر 20 تلاش برای شبیه‌سازی حمله، بین 17 تا 18 در یک محیط آزمایشی با بیش از 30 گره (کامپیوترهایی که عملیات را در داخل شبکه تأیید و تأیید می‌کنند) موفقیت‌آمیز بود. تیم Aptos در تاریخ 4 ژوئیه در یک رسانه تأیید کرد که این کشف در تاریخ 25 فوریه از طریق یک برنامه پاداش برای گزارش اشکالات امنیتی گزارش شده است و اصلاح آن بعداً در شبکه اصلی توسعه، آزمایش و مستقر شد.

این اشکال در ماشین مجازی Move (MoveVM) ایجاد شده بود، برنامه‌ای که کد قراردادهای هوشمند را در داخل Aptos برای اجرای عملیات شبکه اجرا می‌کند و تحت زبان برنامه‌نویسی Move طراحی شده است. این برنامه به نوبه خود داده‌های هر قرارداد را در ساختارهایی سازماندهی می‌کند، به‌عنوان مثال، نحوه‌ای که MoveVM موجودی یک حساب یا مجوزهای مدیریت یک پروتکل را ذخیره می‌کند.

سیستم یک شماره شناسایی برای هر یک از این ساختارها در یک حافظه موقت ذخیره می‌کند تا در هر عملیات همان فرآیند را تکرار نکند. مشکل زمانی پیش می‌آمد که سیستم بخشی از آن حافظه را برای آزاد کردن فضا خالی می‌کرد، اما نه تمام آن: شماره‌ای که یک ساختار را شناسایی می‌کرد ممکن بود به‌طور اشتباهی به داده‌های ساختار کاملاً متفاوتی مرتبط شود. این چیزی است که به عنوان سردرگمی نوع شناخته می‌شود، یک خطا که در آن برنامه در نهایت اطلاعات یک حساب را به‌عنوان اینکه متعلق به حساب دیگری است، پردازش می‌کند.

با این خطا، طبق توصیف Hexens در گزارش فنی خود که در تاریخ 6 ژوئیه منتشر شد، یک مهاجم می‌توانست نقش‌های مدیر اصلی را به دست آورد، عملکردی که مجوز صدور یک استیبل‌کوین را تأیید می‌کند، یا قابلیت‌های امضایی که کنترل مدیریت وجوه در داخل یک قرارداد را بر عهده دارند. محققان ادعا کردند که کنترل یک نقش مدیر اصلی را به دست آورده و به مرحله قبل از تأیید یک صدور رسیده‌اند، بدون اینکه آن را اجرا کنند.

تیم Hexens همچنین اشاره کرد که این اشکال به مسیرهایی که Aptos را با پل‌های بین شبکه‌ها متصل می‌کند، مانند آن‌هایی که Wormhole و LayerZero کار می‌کنند، و با پروتکلی که شرکت Circle برای جابجایی استیبل‌کوین USDC خود بین شبکه‌های مختلف استفاده می‌کند، معروف به CCTP (Cross-Chain Transfer Protocol)، می‌رسید.

طبق گفته شرکت Hexens، یک مهاجم همچنین می‌توانست پس از یک تلاش، موفق یا ناموفق، یک تخلیه کامل از آن حافظه‌های موقت (کش‌ها) را مجبور کند تا هیچ ردی از دستکاری باقی نماند. این بخشی از توضیح می‌دهد که چرا این شرکت تأکید می‌کند که تلاش‌های ناموفق شبکه را متوقف نمی‌کرد و حمله در حال انجام را در معرض خطر قرار نمی‌داد.

علاوه بر این، محققان Hexens مشکل را با یک سناریوی معادل در یک شبکه مبتنی بر Ethereum مقایسه کردند، جایی که یک کد تحت کنترل یک مهاجم می‌توانست به‌طور مستقیم بر روی فضای ذخیره‌سازی یک قرارداد دیگر بنویسد و از تضمین‌های سیستم نوعی که Move به‌طور خاص برای حفظ آن طراحی شده است، عبور کند.

Hexens این اشکال را با پیروی از شیوه افشای مسئولانه گزارش کرد، یعنی به‌طور خصوصی به Aptos اطلاع داد قبل از اینکه هر جزئیاتی را به‌طور عمومی منتشر کند. همچنین یک اتاق اضطراری به‌طور هماهنگ توسط SEAL911 فعال شد، یک شبکه داوطلبانه پاسخ که پروژه‌های مختلف در این بخش برای هماهنگی واکنش‌ها در برابر حوادث امنیتی جدی استفاده می‌کنند.

تیم Aptos، از سوی دیگر، قابلیت سوءاستفاده عملی از این اشکال را به عنوان <<بسیار پایین>> ارزیابی کرد. این ارزیابی با نرخ موفقیت بین 17 تا 18 از هر 20 تلاش که Hexens گفت در شبیه‌سازی‌های خود به دست آورده است، و همچنین با بررسی‌های مستقل دو شخص ثالث متضاد است: Mudit Gupta، مدیر فناوری (CTO) Polygon، تأکید کرد که آزمایش مفهوم به‌طور دقیق همان‌طور که توصیف شده بود، کار می‌کرد، در حالی که شرکت Grego AI، به نوبه خود، خطر مستقیم بر روی دارایی‌های بومی Aptos را 250 میلیون دلار برآورد کرد، رقمی که به‌مراتب کمتر از 70 میلیارد دلار است که Hexens برای تأثیر گسترده بر روی بقیه اکوسیستم تخمین زده است.

در نهایت، چارلز گیلمت، مدیر فناوری Ledger، اشاره کرد که این نوع کشف‌ها، با ردیابی کامل ماشین مجازی و دو آزمایش مفهوم عملی، قبلاً نیاز به ماه‌ها کار یک متخصص داشت و امروز، با ابزارهای هوش مصنوعی، سریع‌تر و ارزان‌تر تولید می‌شود. به‌گفته او، اگر تیم‌های امنیتی می‌توانند امروز هر خط کد را بررسی کنند و یک حمله عملی را با هزینه کم بسازند، باید فرض کرد که گروه‌های مهاجم، از جمله گروه‌های مرتبط با کره شمالی مانند Lazarus، توانایی‌های مشابهی دارند.