باحثون يكشفون عن 4,200 عقد ذكي خبيث خدع 5,700 ضحية لتوقيع تنازلات عن عملاتهم المشفرة

محاكاة التحويلات باستخدام أدوات الأمان داخل محافظ العملات المشفرة يمكن أن تظهر ربحًا صغيرًا حتى عندما ترسل المعاملة النهائية إيداع المستخدم إلى مهاجم، وفقًا لمطبوعات arXiv بتاريخ 30 يوليو التي تربط التقنية بـ 5,742 عنوان ضحية وحوالي 3.48 مليون دولار من الخسائر التاريخية.

استخدم المؤلفون SimGuard، وهو كاشف لبايت كود العقد، لتحديد 4,224 عقد تصيد لمحاكاة المعاملات عبر Ethereum و BNB Smart Chain و Avalanche و Polygon.

ارتبطت الدراسة بـ 6,223 معاملة ضحية لكنها اعتبرت تقدير الخسارة حدًا أعلى لأن بعض أنشطة اختبار المهاجم قد تم تصنيفها بشكل خاطئ. وقد نسب 91.5% من الخسائر إلى Ethereum وحوالي 83% من إجمالي المعاملات عبر السلاسل إلى أكبر مجموعة مستنتجة لها.

لم تتم مراجعة النتائج من قبل الأقران. كما أن الورقة تقدم أرقامًا غير متسقة لعدد عقود Avalanche ونقاط نهاية متضاربة لفترة الملاحظة، مما يترك تفصيلها حسب السلسلة وفترة الوقت الدقيقة غير محسومة.

كيف يمكن أن يختلف المعاينة التي تبدو آمنة

تأخذ محاكاة المعاملات لقطة قبل التوقيع لما يُتوقع أن تفعله المعاملة. تحتوي العقود الموصوفة في الورقة على فروع يمكن أن تنتج نتيجة واحدة خلال تلك المراجعة ونتيجة أخرى عندما يتم تنفيذ المعاملة على السلسلة.

في مثال التحكم في التخزين، تعيد المحاكاة إيداع المستخدم بالإضافة إلى مكافأة صغيرة. يمكن للمهاجم بعد ذلك تغيير حالة العقد، مثل حظر عنوان المستخدم، قبل أن تصل المعاملة. الفرع المنفذ يرسل الإيداع إلى عنوان يتحكم فيه المهاجم بدلاً من ذلك.

يمكن أن تستغل العقود المعتمدة على الطوابع الزمنية وقت الكتلة اللاحق، بينما يمكن أن تتصرف عقود التحكم في الغاز بشكل مختلف عندما تستخدم المحاكي والمعاملة النهائية حدود غاز مختلفة. لذلك، لا تتطلب كل متغيرات المهاجم تعديل البيانات المخزنة على السلسلة بعد المعاينة.

في اختبار محكوم، أرسل المؤلفون رصيد حساب إلى عقد أعاد أقل من 1 wei، أصغر وحدة من ETH. أفادوا أن العديد من المعاينات المختبرة عرضت تقديرًا إيجابيًا ولم تظهر معظمها بوضوح المبلغ الكامل الخارج.

لا تحدد الورقة إصدارات المحافظ أو الإعدادات أو واجهات المحاكاة المستخدمة من قبل الضحايا التاريخيين. تسمي الوثائق الحالية لـ MetaMask تغييرات الرصيد المقدرة بالتوقعات وتحذر من أن النتيجة النهائية غير مضمونة.

تسجل معاملة Etherscan بتاريخ 8 يناير 2025 تم الاستشهاد بها في الدراسة استدعاء Claim() ينقل حوالي 143.45 ETH عبر عقد تصفه Etherscan بأنه تصيد. يدعم السجل على السلسلة النقل الموصوف في الورقة، على الرغم من أنه لا يمكنه إظهار ما ظهر في معاينة محفظة المستخدم.

يوصي المؤلفون بإعادة تشغيل المحاكاة عندما تتغير حالة العقد ذات الصلة أو حقول الغاز، باستخدام حد الغاز وسعر الغاز في الطلب الفعلي، واختبار المدخلات الحالية والمستقبلية لرقم الكتلة والطابع الزمني. كما تدعم نتائج واجهة المستخدم عرض المبلغ الإجمالي الذي يغادر المحفظة جنبًا إلى جنب مع تغيير الرصيد الصافي الدقيق، حتى لا يمكن الخلط بين رد المبالغ الضئيل والربح.

تصف المطبوعات النشاط التاريخي، وليس موجة هجوم حية في يوليو أو أغسطس. غطت تقييمات الكاشف 44 عقدًا، بما في ذلك 30 تم إنشاؤها باستخدام Gemini، وعادت مستودع الكود والبيانات المرتبط HTTP 401 عند التحقق.

لذلك، تظل النتائج الإجمالية اكتشافات المؤلفين بدلاً من قياس تم إعادة إنتاجه بشكل مستقل.

يُقدَّم هذا المحتوى لأغراض معلوماتية عامة فقط، ولا يُشكل مشورة مالية أو استثمارية أو قانونية أو ضريبية. ولا ينبغي اعتبار أي فعاليات أو مكافآت أو عروض ترويجية عبر الإنترنت أو أي معلومات ذات صلة واردة فيه توصيةً أو طلبًا أو دعوةً لشراء الأصول المشفرة أو بيعها أو تداولها أو إجراء أي معاملات أخرى عليها. تتميز الأصول المشفرة بتقلبات سعرية مرتفعة وقد تؤدي إلى خسائر. وقد يختلف مدى توفر خدمات WEEX ومنتجاتها والفعاليات المرتبطة بها حسب المنطقة. وتقع على عاتقك مسؤولية التأكد من أن مشاركتك تتوافق مع القوانين واللوائح المحلية المعمول بها.