انتقاد شدید از آزمایشگاه کاسموس (Cosmos Labs) به دلیل مشکل افشای باگ، توصیه به توقف برای زنجیره‌های تحت تأثیر

انتقاد شدید از آزمایشگاه کاسموس به دلیل مشکل افشای باگ، توصیه به توقف برای زنجیره‌های تحت تأثیر

نقص امنیتی جدی در ماژول‌های مشترک تشکیل‌دهنده زیرساخت EVM کاسموس کشف شده است که منجر به حملاتی شده که چندین شبکه بلاک‌چین را تحت تأثیر قرار داده است.

به‌طور خاص، ترکیبی از چندین نقص در محاسبات پردازش استیکینگ، از جمله خطای زیرآب (underflow)، منجر به بروز آسیب‌پذیری شده است. از میان شبکه‌های تحت تأثیر، MANTRA و Nesa با اتخاذ تدابیر پیشگیرانه توقف زنجیره، توانسته‌اند از تأثیر مستقیم بر سرمایه‌های کاربران جلوگیری کنند.

از سوی دیگر، در KiiChain حدود ۱۵۰ میلیون KII، معادل ۹ میلیون دلار (حدود ۱۴.۳ میلیارد ین) به‌طور غیرقانونی نشت پیدا کرده و منجر به سقوط قیمت توکن شده است. همچنین در TAC حدود ۳۰ میلیارد TAC، معادل ۷.۵ میلیون دلار (حدود ۱۱.۹ میلیارد ین) از قرارداد استیکینگ برداشت شده که خسارات قابل توجهی را گزارش کرده است.

انتقادات فزاینده از وضعیت افشای اطلاعات در جامعه

در این سری از حوادث، آنچه که از سوی جامعه امنیتی صنعت ارزهای دیجیتال و پروژه‌های آسیب‌دیده به شدت مورد انتقاد قرار گرفته، فرآیند اشتراک‌گذاری اطلاعات آزمایشگاه کاسموس (Cosmos Labs) به عنوان توسعه‌دهنده ماژول‌ها است.

آزمایشگاه کاسموس پس از کشف مشکل، به‌سرعت توصیه به توقف عملیات زنجیره EVM برای شبکه‌های تحت تأثیر کرد. با این حال، افشای اصلاحات آسیب‌پذیری که پیش از آن انجام شده بود، به شکلی نزدیک به مدل وصله خاموش (silent patch model) پردازش شده و به شدت ناکافی تلقی شده است.

تأخیر در پاسخگویی و چالش‌های آینده

طبق گزارش تأیید منتشر شده توسط KiiChain، زمانی که برنامه اصلاحی مهمی در اواسط اوت در مخزن منتشر شد، هیچ اطلاع‌رسانی جداگانه‌ای به زنجیره‌های تحت تأثیر انجام نشده و هشدار کافی در مورد اهمیت آن نیز داده نشده بود. به همین دلیل، مهاجمان با تجزیه و تحلیل محتوای به‌روزرسانی کد، پیش از اتمام اعمال وصله، از آسیب‌پذیری سوءاستفاده کردند.

در واقع، اگر پیش از این به‌صورت غیرعلنی اطلاع‌رسانی شده و راهنمایی‌های واضحی برای توقف اضطراری ارائه می‌شد، احتمالاً می‌توانستند خسارت را به حداقل برسانند. آزمایشگاه کاسموس قصد دارد گزارشی دقیق از حادثه ارائه دهد، اما این مورد به عنوان یک چالش بزرگ برای فرآیند تنظیم و افشای اطلاعات آسیب‌پذیری (Coordinated Disclosure) در سطح صنعت باقی مانده است.

این محتوا صرفاً برای اطلاع‌رسانی عمومی ارائه شده است و به‌منزله مشاوره مالی، سرمایه‌گذاری، حقوقی یا مالیاتی تلقی نمی‌شود. هرگونه رویداد، جایزه، کمپین آنلاین یا اطلاعات مرتبط که در اینجا ذکر شده است، نباید به‌عنوان توصیه، ترغیب یا دعوت به خرید، فروش، معامله یا هرگونه دادوستد دیگر دارایی‌های رمزارزی تلقی شود. دارایی‌های رمزارزی از نوسان بالایی برخوردار هستند و ممکن است منجر به زیان شوند. دسترسی به خدمات، محصولات و رویدادهای مرتبط با WEEX ممکن است بسته به منطقه جغرافیایی متفاوت باشد. اطمینان از اینکه استفاده شما از این خدمات با قوانین و مقررات محلی مطابقت دارد، بر عهده خود شماست.