خلل عمره 3 سنوات يتسبب في سحب 1.3 مليون دولار ويجبر على توقف البلوكشين لمدة 10 أيام

أدى إعادة هيكلة روتينية لشفرة Radix إلى إنشاء خلل في الخزنة سمح بسرقة تقدر بحوالي 1.3 مليون دولار، مما أجبر لاحقًا المدققين على إيقاف البلوكشين.

قالت مؤسسة Radix في 17 سبتمبر إن فريق تطوير RDX Works قدم العيب خلال تنظيف في يونيو 2023 لمحرك Radix، وهو الطبقة البرمجية التي تنفذ المعاملات وتفرض ملكية الأصول عبر الشبكة. ظل هذا الضعف غير مكتشف لأكثر من ثلاث سنوات قبل أن يستغله مهاجم في 31 أغسطس.

تظهر إعادة بناء المجتمع للدفتر أن المهاجم سحب حوالي 458,915 USDC، 72,420 USDT، 61.08 ETH، 6.35 بيتكوين مغلف، 536.16 SOL و32.91 BNB عبر 26 معاملة. كانت قيمة الأصول حوالي 1.26 مليون دولار باستخدام أسعار السوق في 31 أغسطس، وأخذ المهاجم 13,000 XRD من خزنة لدفع رسوم المعاملات. شكلت العملتان المستقرتان وحدهما حوالي 531,335 دولار.

تم إرسال الأصول المسروقة عبر Hyperlane إلى Ethereum وBNB Chain وSolana، ثم تم بيعها مقابل ETH، وفقًا لما ذكرته Radix. عملت Hyperlane كما هو مصمم: كان المهاجم قد حصل بالفعل على الأصول من خلال محرك Radix قبل استخدام الجسر لنقلها إلى مكان آخر. لم يتم المساس بأي مفاتيح خاصة.

ومع ذلك، فإن الخسارة الفورية كانت تقلل من التعرض المحتمل. استنتج المحققون في Radix أن الخلل كان يمكن استخدامه ضد أي خزنة على الشبكة، مما يعرض الرموز والأصول الأخرى خارج الحيازات المربوطة التي استهدفها المهاجم للخطر.

نتيجة لذلك، أخذ المدققون في الشبكة عمدًا ما يكفي من الحصة خارج الخط لمنعها من الوصول إلى الإجماع وإيقاف المعاملات الإضافية بينما كان المطورون يعملون على إصلاح.

فشل نظامي بسبب خلل في الصيانة

كان الضعف قد نجا بالفعل من مراجعة أمنية مستقلة قبل أن يجده المهاجم.

قامت Zellic بمراجعة بروتوكول Radix في 2024، بما في ذلك نواة المحرك التي تحتوي على العيب. لم تكشف المراجعة عن خلل التفويض، على الرغم من أن الشفرة الضعيفة قد تم تقديمها خلال إعادة الهيكلة في العام السابق.

غير الخلل كيفية تعامل المحرك مع مراجع الخزنة. يمكن أن تحدد المعاملة خزنة مستخدم آخر من خلال عنوانها الداخلي وتمرير تلك المرجعية إلى شفرة العقد الذكي المصممة لهذا الغرض. ثم سمح المحرك باستدعاء وظائف السحب العادية دون فرض الحدود الملكية بشكل صحيح التي كان ينبغي أن ترفض الطلب.

وهذا منح المهاجم الوصول إلى الأصول المحتفظ بها من قبل حسابات المستخدمين والتطبيقات وحمامات السيولة دون الحصول على توقيعات المالكين.

قالت المؤسسة إن المهاجم أكمل 26 معاملة استغلال بين الساعة 16:02 و16:57 بتوقيت UTC في 31 أغسطس. بمجرد أن حدد المحققون أن الضعف موجود في طبقة التنفيذ بدلاً من تطبيق واحد، تنسيق المدققون لإيقاف إنهاء المعاملات.

استمر التوقف لأكثر من 10 أيام. أضاف إصلاح البروتوكول فحوصات تمنع استخدام مرجع خزنة مقيد للسحب العادي، واستؤنفت معاملات المستخدمين في 11 سبتمبر، وفقًا لإعادة بناء دفتر المجتمع.

أنتج الحادث أيضًا خسائر ثانوية في حمامات السيولة بعد أن أزال المهاجم الأصول المربوطة من جانب واحد من أزواج التداول. سمحت الأسعار المشوهة لحساب آخر باستخراج ملايين XRD من الحمامات المتأثرة، مما يظهر كيف يمكن أن يستمر فشل طبقة التنفيذ في التسبب في أضرار اقتصادية حتى بعد مغادرة الأصول الأولية للشبكة.

قالت Radix إنها تضيف اختبارات انحدار، وتعزز عملية مراجعتها الأمنية، وتضع إجراءات الطوارئ التي استخدمها المدققون لكسر حيوية الشبكة.

كما قالت المؤسسة إن العمل الأمني المستقبلي يجب أن يأخذ في الاعتبار أدوات تحليل الشفرات المدعومة بالذكاء الاصطناعي التي أصبحت أكثر قدرة، والتي تعتقد أنها قد ساعدت المهاجم في تحديد العيب الذي مضى عليه سنوات.

بالنسبة للمطورين والمدققين، التحدي التالي هو منع أعمال الصيانة الروتينية المماثلة من تغيير الافتراضات الأمنية بصمت والتي قد تفوتها المراجعات الخارجية.

يمتد هذا العمل إلى ما هو أبعد من إصلاح الشفرة المستغلة. يجب على Radix الآن تعزيز عملية المراجعة حول التغييرات في منطق التفويض بينما تستعيد الثقة بين المستخدمين ومزودي السيولة الذين تعتمد أصولهم في النهاية على المحرك الذي يفرض تلك الحدود بشكل صحيح.

يُقدَّم هذا المحتوى لأغراض معلوماتية عامة فقط، ولا يُشكل مشورة مالية أو استثمارية أو قانونية أو ضريبية. ولا ينبغي اعتبار أي فعاليات أو مكافآت أو عروض ترويجية عبر الإنترنت أو أي معلومات ذات صلة واردة فيه توصيةً أو طلبًا أو دعوةً لشراء الأصول المشفرة أو بيعها أو تداولها أو إجراء أي معاملات أخرى عليها. تتميز الأصول المشفرة بتقلبات سعرية مرتفعة وقد تؤدي إلى خسائر. وقد يختلف مدى توفر خدمات WEEX ومنتجاتها والفعاليات المرتبطة بها حسب المنطقة. وتقع على عاتقك مسؤولية التأكد من أن مشاركتك تتوافق مع القوانين واللوائح المحلية المعمول بها.