یک سرور 3000 دلاری، نزدیک بود یک فاجعه 700 میلیارد دلاری در دنیای ارزهای دیجیتال را به وجود آورد

هکرهای کلاه‌سفید یک آسیب‌پذیری خطرناک 700 میلیارد دلاری را در بلاک‌چین Aptos شناسایی کردند، در حالی که هزینه حمله تنها 3000 دلار بود.

نویسنده: الیور نایت

ترجمه: چوپر، اخبار پیشرفته

یک سرور 3000 دلاری کافی بود تا یک محقق امنیت بلاک‌چین یک مسیر حمله را شبیه‌سازی کند. آن‌ها اعلام کردند که این مسیر ممکن است زیرساخت‌های ارز دیجیتال به ارزش 700 میلیارد دلار را در معرض خطر قرار دهد.

شخصیت اصلی این حادثه آسیب‌پذیری، بلاک‌چین عمومی Aptos است که بر اساس زبان Move ساخته شده و زبان Move از پروژه استیبل‌کوین Diem که توسط متا متوقف شده، نشأت گرفته است.

در اواخر فوریه، محققان شرکت امنیتی Hexens آسیب‌پذیری خطرناک در ماشین مجازی Aptos Move را به تیم توسعه Aptos گزارش کردند. این ماشین مجازی مسئول اجرای قراردادهای هوشمند در زنجیره است. ماهیت آسیب‌پذیری ناشی از نقص در نوع‌سازی به دلیل از بین رفتن کش است: مهاجم می‌تواند با دستکاری کش، سیستم را فریب دهد تا یک نوع منبع زنجیره‌ای را به عنوان نوع دیگری شناسایی کند.

تیم Aptos پس از دریافت گزارش آسیب‌پذیری، به سرعت اقدام به انتشار وصله در سراسر شبکه کرد و در این فرآیند هیچ دارایی کاربری دزدیده نشد.

یک سخنگوی Aptos به CoinDesk پاسخ داد: «ما در تاریخ 25 فوریه از طریق برنامه پاداش آسیب‌پذیری این خطر بالقوه را دریافت کردیم و در آن زمان بررسی آسیب‌پذیری را آغاز کرده بودیم. تیم ما در عرض چند ساعت پس از تأیید آسیب‌پذیری، آن را اصلاح، آزمایش و به شبکه اصلی منتقل کرد و در این فرآیند هیچ کاربر یا سرمایه‌ای آسیب ندید.» اما در عین حال، مقامات نسبت به قابلیت واقعی بهره‌برداری از آسیب‌پذیری ابراز تردید کردند و گفتند که بر اساس تحلیل‌های داخلی، این آسیب‌پذیری در محیط واقعی به سختی قابل اجرا است. با این حال، جزئیات آسیب‌پذیری که توسط تیم امنیتی فاش شده، نشان می‌دهد که کل صنعت ارز دیجیتال به‌طور بالقوه با یک فاجعه امنیتی بزرگ که می‌تواند وضعیت صنعت را تغییر دهد، مواجه شده است.

خطر این آسیب‌پذیری به دلیل مکانیزم ذخیره‌سازی مجوزهای زبان Move بسیار بالا است: مجوزهای ضرب، مدیریت پل‌های بین زنجیره‌ای، و مجوزهای مدیر بازارهای وام‌دهی به‌طور مستقیم به عنوان منابع زنجیره‌ای ذخیره می‌شوند. به محض اینکه این نوع منابع مجوزی مورد حمله قرار گیرند، خطر محدود به یک پروتکل خاص نخواهد بود و تمام برنامه‌هایی که به این مجوز وابسته‌اند، به طور همزمان آسیب خواهند دید.

محققان Hexens یک تشبیه ساده ارائه دادند: خطر این آسیب‌پذیری معادل وجود نقص خطرناک در بلاک‌چین‌های مبتنی بر اتریوم است، جایی که قراردادهای مهاجم می‌توانند مکانیزم امنیت نوع را دور بزنند و به‌طور مستقیم داده‌های ذخیره‌سازی قراردادهای هوشمند دیگر را بنویسند یا دستکاری کنند ------ در حالی که امنیت نوع، یکی از اصلی‌ترین موانع حفاظتی طراحی زبان Move از ابتدا بوده است.

مدیر فناوری Polygon، مودی گوبتا، بسته شبیه‌سازی تأیید آسیب‌پذیری را به‌طور مستقل تأیید کرد و تأیید کرد که فرآیند حمله واقعی و قابل اجرا است: «منطق کامل حمله کاملاً معتبر است، شبیه‌سازی موفقیت‌آمیز بود و شرایط پیش‌نیاز برای حمله در محیط شبکه اصلی قابل تأمین است.» همچنین، مؤسسه امنیتی Grego AI نیز این آسیب‌پذیری را به‌طور مستقل شبیه‌سازی کرد و داده‌های محاسباتی آن نشان می‌دهد که تنها در دارایی‌های قفل‌شده بومی شبکه اصلی Aptos، حدود 2.5 میلیارد دلار به‌طور مستقیم در معرض خطر قرار دارد، که این هنوز شامل خطرات گسترده‌تر بین زنجیره‌ای نمی‌شود.

خطر 700 میلیارد دلار

این آسیب‌پذیری توسط Vahe Karapetyan، یکی از بنیان‌گذاران و CTO Hexens کشف شد. اگر به‌موقع اصلاح نشود، این آسیب‌پذیری می‌تواند خطرات زنجیره‌ای را از پل‌های بین زنجیره‌ای، استیبل‌کوین‌ها، پروتکل‌های مختلف DeFi و صرافی‌های متمرکز به‌طور کامل باز کند و منجر به خسارت‌های میلیاردی و بحران در کل صنعت شود.

کل محیط حمله تنها به یک سرور 3000 دلاری نیاز دارد و هکرهای بدخواه برای اجرای حمله حتی نیازی به شبیه‌سازی کامل خوشه ندارند، هزینه تنها چند صد دلار است و نیازی به کنترل گره‌های تأیید یا دسترسی به اطلاعات داخلی یا مجوزهای سطح بالا پروتکل ندارند.

این تیم تحقیقاتی در محیط شبیه‌سازی شبکه اصلی حدود 20 دور شبیه‌سازی حمله انجام داد و در 17 تا 18 مورد موفق بود. 2 تا 3 مورد باقی‌مانده شکست نخواهد خورد و مهاجم می‌تواند بارها تلاش کند تا به موفقیت برسد. خوشه شبیه‌سازی شده، محیط کامل شبکه اصلی واقعی را بازسازی کرد: بیش از 30 گره تأیید ایجاد کرد، توزیع واقعی استیکینگ را بازسازی کرد و جریان‌های معاملاتی روزانه و سناریوهای شلوغی بلاک را شبیه‌سازی کرد. این تیم همچنین از تکنیک‌های پیش‌تنظیم بدون حمله استفاده کرد تا قبل از شروع حمله، وضعیت حافظه و بسته‌بندی بلاک را محاسبه کند و به‌طور قابل توجهی عدم قطعیت ناشی از تصادفی بودن حمله را کاهش دهد و احتمال موفقیت در عمل را به‌طور قابل توجهی افزایش دهد.

Hexens بر اساس داده‌های عمومی زنجیره‌ای محاسبه کرده است که تنها در DeFi بومی Aptos، دارایی‌های توکنیزه، استیبل‌کوین‌ها و پروتکل‌های استیکینگ مایع، خطرات مستقیم به ده‌ها میلیارد دلار می‌رسد.

خطرات ناشی از آسیب‌پذیری‌های زیرساختی بلاک‌چین هرگز محدود به یک بلاک‌چین خاص نیست. با در نظر گرفتن پل‌های بین زنجیره‌ای، پروتکل‌های ارتباطی بین زنجیره‌ای، زنجیره‌های انتشار استیبل‌کوین و صرافی‌های متمرکز، برآورد می‌شود که خطر سیستماتیک کلی به 700 میلیارد دلار برسد. جاستوس هانا، مدیرعامل Grego AI، بیان کرد که مهاجم می‌تواند با استفاده از این آسیب‌پذیری، مجوزهای مدیریت اصلی زیرساخت‌های اصلی مانند LayerZero، Wormhole و پروتکل انتقال بین زنجیره‌ای CCTP را تصاحب کند و به‌طور نظری می‌تواند تمام وجوه قفل‌شده مرتبط را خالی کند.

این آزمایش شبیه‌سازی به‌خوبی نشان می‌دهد که آسیب‌پذیری‌های پنهان در زیرساخت‌های بلاک‌چین می‌توانند خطرات ویرانگری برای صنعت به همراه داشته باشند.

اگر هکرها از این آسیب‌پذیری برای حمله واقعی استفاده کنند، خسارت‌ها به‌مراتب بیشتر از سرقت 1.5 میلیارد دلاری صرافی Bybit در سال گذشته خواهد بود. در ماه ژوئن، Zcash به‌دلیل آسیب‌پذیری خطرناک چهار ساله در استخر حریم خصوصی، 38 درصد سقوط کرد؛ این آسیب‌پذیری به مهاجمان اجازه می‌دهد تا توکن‌های جعلی را به‌طور نامحدود ضرب کنند و به‌سختی قابل شناسایی هستند؛ قبل از آن، چندین حادثه سرقت میلیاردی از پل‌های بین زنجیره‌ای و قراردادهای هوشمند، اعتماد بازار به زیرساخت‌ها را به‌طور مداوم تضعیف کرده بود.

برآورد خطر 700 میلیارد دلار بر اساس سناریوی افراطی مهاجمان برای ضرب انبوه USDC و انتقال آن از طریق Circle CCTP به چندین بلاک‌چین است. به‌طور نظری، اگر این حادثه رخ دهد، Circle به احتمال زیاد انتقال USDC را متوقف خواهد کرد، اما Circle قبلاً اعلام کرده است که بدون مجوز قضایی، دارایی‌های کاربران را مسدود نخواهد کرد و این امر عدم قطعیت در اجرای آن را به همراه دارد. حتی اگر پلتفرم‌های مربوطه به‌طور اضطراری اقدام کنند، این آسیب‌پذیری همچنان می‌تواند به‌طور قابل توجهی به کل بازار ارزهای دیجیتال آسیب برساند.

تیم تحقیقاتی با تأیید شبیه‌سازی، نشان داد که آسیب‌پذیری می‌تواند مجوزهای مدیریت سطح بالا در سیستم‌های بین زنجیره‌ای را تصاحب کند، شامل مجوزهای کنترل اصلی ضرب، مجوزهای امضا و کنترل حساب‌های پروتکل. آن‌ها فرآیند تصاحب مجوزهای اصلی را به‌طور کامل شبیه‌سازی کردند و هرچند توکن‌ها را به‌طور واقعی ضرب نکردند، اما به‌وضوح نشان دادند که این خطر باید در مدل‌های تهدید امنیتی گنجانده شود. اصلی‌ترین مسیر انتقال خطر، کانال‌های بین زنجیره‌ای است که Aptos با صرافی‌های متمرکز متصل می‌شود و مهاجم می‌تواند از این طریق داده‌های ثبت‌نام کاربران صرافی را دستکاری کند.

پاسخ و افشاگری

در روزی که Hexens گزارش را ارسال کرد، یک گروه واکنش اضطراری به نام «SEAL911» تشکیل شد تا اقدامات مقابله‌ای را هماهنگ کند. چند ساعت پس از تشکیل گروه، پروژه گزارش کامل آسیب‌پذیری را دریافت کرد. در بعدازظهر همان روز، چهار پروژه اصلی پایین‌دستی نیز فایل‌های شبیه‌سازی آسیب‌پذیری و تحلیل خطرات مجوز را دریافت کردند.

در تاریخ 27 فوریه، رکوردهای اصلاح کد در مخزن رسمی منتشر شد و Aptos اعلام کرد که وصله خصوصی گره‌های تأیید قبل از انتشار کد عمومی به‌طور کامل مستقر شده است. در همین حال، Hexens اعلام کرد که تا کنون هیچ پاسخ فنی مبتنی بر داده از طرف Aptos دریافت نکرده و تنها به احتمال وجود آستانه‌ای برای حمله اشاره شده است.

اگرچه هیچ سرمایه‌ای دزدیده نشده، اما نتایج شبیه‌سازی نشان می‌دهد که در حملات در سطح بلاک‌چین، محدودیت‌های ترافیکی، مسدودسازی مؤسسات صادرکننده، کنترل بین زنجیره‌ای، نظارت صرافی‌ها و وصله‌های تأییدکننده، اقدامات امنیتی غیرقابل چشم‌پوشی نیستند. آن‌ها به‌طور مستقیم تعیین می‌کنند که آیا آسیب‌پذیری یک حادثه کوچک محلی است یا یک فروپاشی سیستماتیک در کل صنعت.

سلب مسئولیت: این محتوا صرفاً برای اطلاع‌رسانی عمومی و برندینگ ارائه شده و به‌ منزله مشاوره مالی، سرمایه‌گذاری، حقوقی یا مالیاتی تلقی نمی‌گردد. هیچ‌یک از رویدادها، جوایز، رویدادهای آنلاین یا اطلاعات مرتبط ذکرشده در اینجا نباید به‌عنوان توصیه، درخواست یا دعوت برای خرید، فروش، معامله یا هرگونه اقدام دیگر در رابطه با دارایی‌های رمزارزی یا استفاده از خدمات تلقی شوند. دارایی‌های رمزارزی با نوسانات بالایی همراه بوده و ممکن است منجر به زیان شوند. خدمات WEEX و رویدادهای آنلاین ممکن است در تمام مناطق در دسترس نبوده و مشمول قوانین، مقررات و شرایط احراز صلاحیت مربوطه هستند. شما مسئول رعایت قوانین محلی در استفاده از خدمات WEEX هستید و باید پیش از انجام هرگونه فعالیت مرتبط با ارزهای دیجیتال، ریسک‌های آن را به‌دقت بررسی کنید.