مازال مسلسل استغلال الثغرات الأمنية والاحتيالية مستمر في التمويل اللامركزي الذي يعد أحد المجالات حديثة النشأة.
أغلب الخسائر والعمليات الاحتيالية التي تصيب التمويل اللامركزي والتي تم تغطية معمظها على موقع بيتكوين العرب، قادها متسللون متطورون ويفهمون جيدا تفاصيل عمل البروتوكولات اللامركزية ما يجعلهم يبحثون عن أدق التفاصيل لإيجاد ثغرة تمكنهم من الإستيلاء على العملات المشفرة.
مؤخرا تم خسارة 300 ألف دولار من الايثيريوم على اثر استغلال بروتوكول Uniswap ورمز ERC 777.
ما هو Uniswap؟
Uniswap هو بروتوكول لامركزي مبني على بلوكشين الايثيريوم يعمل على تسهيل تبادل الايثيريوم والرموز المميزة عبر تجمعات السيولة.
لمزيد من التفاصيل حول هذا البروتوكول يمكن ذلك من خلال الرابــط.
بدلا من دفتر الطلبات، الذي كانت هناك العديد من الإدعاءات بالتلاعب به، يعزز البروتوكول تجمع السيولة حيث يكسب المشاركون الأموال مقابل توفير أي مبلغ من الأموال للسيولة.
يمكن لأي شخص إنشاء تجمع سيولة، وذلك من خلال توفير مبلغ متساو من رمز ETH و ERC-20، وتوفير سعر الصرف المثالي للمبادلة.
استغلال تجمع imBTC:
استهدف متسلل رمز imBTC، وهي نسخة ملفوفة من البيتكوين تم إنشاؤها بواسطة imtoken بالشراكة مع Tokelon، التي هي منصة تبادل عملات مشفرة لامركزية، والرمز متوفر في UniSwap.
Today, the imBTC pool on Uniswap has been attacked & drained. The hacker utilized an attack vector on ERC777 tokens on Uniswap.
The BTC in custody is not impacted.
We have paused imBTC transfers for now, are evaluating the situation & will notify when transfers are restored
— Tokenlon DEX (@tokenlon) April 18, 2020
أقرت Tokelon بالهجوم وأبلغت المجتمع بأن الأموال الموجودة في تجمع سيولة imBTC قد تم استنزافها بعد أن استخدم المخترق ناقل هجوم على الرموز المميزة المبنية على معيار ERC-777 على UniSwap.
الخبر السار هو أن البيتكوين المحتجز لم يتأثر ولكن تم إيقاف عمليات نقل imBTC مؤقتا حيث تقوم Tokelon بتقييم الموقف.
(9/12) There's lots of other cool features (data fields, operators), but let's skip to the security issues.
— David Mihal 🔥 (@dmihal) April 18, 2020
ما هو معيار ERC 777؟
معيار ERC 777 يعد معيار مشابه للمعيار المشهور ERC 20، حيث أن كلاهما يتعايشان على بلوكشين الايثيريوم لكن الرموز المميزة ERC 777 تحمل ميزة مختلفة لتخدم احتياجات مختلفة، تم تطوير المعيار من قبل “جوردي بايلينا” و “جاكوا دافلون” و “توماس شابابي”.
يسعى الرمز ERC 777 إلى تحسين بعض أوجه عدم الكفاءة في معيار ERC-20، الذي يتمتع بشعبية بسبب بساطته ولكنه ضعيف الأداء.
الرمز ERC 777 متوافق مع الإصدارات السابقة ERC 20 ويضيف “hooks” التي تضيف وظائف متقدمة في عمليات النقل والتحويل.
هذا ولا توجد وظائف قابلية الدفع في الرموز المميزة لـ ERC 20 مما يعني أنه إذا كان المرء يريد استبدال ETH بـ DAI، على سبيل المثال، يجب على المرء أن يبدأ معاملة للموافقة على مبلغ لا نهائي من DAI ومعاملة أخرى لمبادلته بـ ETH.
هذا لأنه في معيار ERC 20 سيتم تنفيذ الرمز فقط عندما يتلقى ETH، وليس الرموز المميزة الأخرى.
استغل المهاجمون “hooks” وسرقوا 300000 دولار من الايثيريوم وذلك بسبب تمكين “hooks” في معيار ERC 777، حيث ليست هناك حاجة للمعاملات المزدوجة التي تسهل التدفق الحر للأموال بين التطبيقات اللامركزية المختلفة dapps.
إن هجمات إعادة الدخول ليست جديدة لأنها كانت تستغل من مهاجم DAO، لكن هذه المرة نفس الاستغلال ممكن مع رموز ERC 777.
حيث استخدم المهاجم ERC 777 لسرقة 300 ألف دولار من ETH لأنه قبل هذا الهجوم، لم تكن نسخة Uniswap V1 تدعم هذه الرموز، ولكن بعد الترقية الأخيرة إلى V2، قُدم دعم ERC 777، لم يستغرق الأمر وقتا حتى اكتشف المهاجم الثغرة الأمنية واستفاد منها في سرقته.
اقرأ أيضا:
اختراق أحد منصات التداول اللامركزية و سرقة 250 ألف دولار
أكثر من 420 مليون دولار من الايثيريوم مقفلة في منصات التمويل اللامركزي DeFi … ماذا عن الترون؟
