هک ۲۱۰۰ کیف پول با یک باگ قدیمی؛ آسیبپذیری «Ill Bloom» میلیونها دلار رمزارز را به باد داد!
امتیازدهی ما در گوگل
یک آسیبپذیری قدیمی در کتابخانه برنامهنویسی CryptoJS به هکرها اجازه داده با استفاده از رایانههای معمولی، عبارت بازیابی برخی کیف پولهای ارز دیجیتال را حدس بزنند و دارایی کاربران را تخلیه کنند. این آسیبپذیری که <
خطر اصلی این حمله در این است که مشکل صرفاً به یک کیف پول یا یک شبکه خاص محدود نمیشود. CryptoJS سالها بهعنوان یکی از اجزای پنهان صدها نرمافزار و کتابخانه دیگر مورد استفاده قرار گرفته و برخی توسعهدهندگان کیف پول نیز از قابلیت تولید اعداد تصادفی آن برای ساخت عبارت بازیابی استفاده کردهاند؛ قابلیتی که در نسخههای آسیبپذیر، امنیت لازم را نداشته است.
باگ CryptoJS چگونه عبارت بازیابی کیف پولها را آسیبپذیر کرد؟
یک عبارت بازیابی ۱۲ کلمهای معمولاً از نظر رمزنگاری آنقدر ایمن است که شکستن آن با روش آزمون و خطای معمولی عملاً غیرممکن محسوب میشود. اما در برخی نسخههای ۳.x کتابخانه CryptoJS، از جمله نسخه ۳.۱.۲ و نسخههای پس از آن بهجز ۳.۲.۰ و ۳.۲.۱، تابع تولید اعداد تصادفی دچار نقص بوده.
به زبان ساده، این تابع بهجای تولید اعداد کاملاً تصادفی، الگوهایی قابل پیشبینی ایجاد میکرد. در نتیجه، تعداد حالتهای احتمالی برای عبارت بازیابی کیف پولها بهشدت کاهش مییافت و مهاجمان میتوانستند با قدرت پردازشی رایانههای معمولی، گزینههای محتمل را یکی پس از دیگری بررسی کنند.
مشکل زمانی جدیتر شد که CryptoJS در بسیاری از نرمافزارها بهصورت مستقیم قابل مشاهده نبود و بهعنوان یک وابستگی نرمافزاری در پسزمینه مورد استفاده قرار میگرفت. در نتیجه، ممکن بود توسعهدهندگان کیف پول از وجود این نقص در زیرساخت مورد استفاده خود اطلاع نداشته باشند.
نخستین موج سرقت؛ ۳.۱۴ میلیون دلار در یک روز
نخستین موج گسترده سرقتها در تاریخ ۲۷ مه ۲۰۲۶ رخ داد. مهاجمان در تنها یک روز ۴۳۱ حساب را هدف قرار دادند و حدود ۳.۱۴ میلیون دلار ارز دیجیتال از آنها خارج کردند.
بیت کوین بیشترین سهم از این خسارت را به خود اختصاص داد و حدود ۲.۵۷ میلیون دلار از داراییهای سرقتشده مربوط به این شبکه بود. اتریوم با حدود ۲۸۶ هزار دلار، روتاستاک با ۱۷۷ هزار دلار، ترون با ۸۱ هزار دلار و پالیگان با ۲۳ هزار دلار در رتبههای بعدی قرار داشتند.
با ادامه بررسیها، تعداد کیف پولها و نرمافزارهای احتمالی تحت تأثیر نیز افزایش یافت.
چرا آپدیت کیف پول برای نجات داراییها کافی نیست؟
یکی از مهمترین نکات درباره آسیبپذیری Ill Bloom این است که بهروزرسانی نرمافزار لزوماً داراییهای کاربران را نجات نمیدهد.
اگر عبارت بازیابی یک کیف پول در زمانی تولید شده باشد که نرمافزار از نسخه آسیبپذیر CryptoJS استفاده میکرده، آن عبارت بازیابی از همان ابتدا از نظر رمزنگاری ضعیف بوده است. بنابراین حتی اگر توسعهدهنده بعدها باگ را برطرف کند، عبارت بازیابی قبلی همچنان قابل پیشبینی خواهد بود.
تا ماه آگوست، نام چند کیف پول از جمله آروالت (RWallet)، بکسیو (Bexo Wallet)، نَنچت (NanChat)، بیت کوین لیبره (Bitcoin Libre) و مایلو ولت (Milo Wallet) در میان نرمافزارهای تحت تأثیر قرار گرفته مطرح شده است. برخی از این پروژهها، از جمله مایلو و آروالت، حتی فعالیت خود را متوقف کردهاند.
البته توسعهدهندگان بیت کوین لیبره نقص موجود در نسخههای قدیمی را برطرف کردهاند و نَنچت نیز یک پچ امنیتی جدیدی منتشر کرده است. در مورد بکسیو ولت نیز بهروزرسانی جدید همچنان در انتظار تأیید اپ استورها قرار دارد.
کاربران کیف پولهای قدیمی چه کاری انجام دهند؟
کارشناسان توصیه میکنند کاربرانی که احتمال میدهند عبارت بازیابی کیف پول آنها با نسخه آسیبپذیر CryptoJS تولید شده باشد، صرفاً به نصب آخرین نسخه نرمافزار اکتفا نکنند. ابتدا باید آدرسهای عمومی مرتبط با کیف پول بررسی شود و در صورت مشاهده نشانههای خطر، داراییها به یک کیف پول کاملاً جدید منتقل شوند.
نکته مهم این است که برای انتقال داراییها نباید منتظر وقوع سرقت ماند. اگر عبارت بازیابی قبلی به دلیل ضعف موجود در فرایند تولید اعداد تصادفی قابل حدس باشد، مهاجم میتواند در هر زمان به کلید خصوصی مربوط به آن دست پیدا کند.
به همین دلیل، کارشناسان توصیه میکنند از نگهداری مبالغ قابلتوجه در کیف پولهایی که عبارت بازیابی آنها داخل مرورگر یا با استفاده از زیرساختهای نرمافزاری نامطمئن تولید شده است، خودداری شود.
یک نقص قدیمی، تهدیدی برای امنیت کیف پولهای امروزی
ماجرای Ill Bloom بار دیگر نشان میدهد امنیت یک کیف پول فقط به کدهای اختصاصی آن وابسته نیست. استفاده از یک کتابخانه شخص ثالث که در ظاهر ارتباط مستقیمی با مدیریت دارایی ندارد، میتواند امنیت کلیدهای خصوصی میلیونها کاربر را تحت تأثیر قرار دهد.
از سوی دیگر، این حمله یک تفاوت مهم با بسیاری از هکهای رایج دارد: در اینجا لزوماً نیازی به نفوذ مستقیم به سرور صرافی یا دستگاه کاربر وجود ندارد. اگر عبارت بازیابی از ابتدا به شکل ناامن تولید شده باشد، مهاجم میتواند با بازسازی احتمالات و بدون دسترسی فیزیکی به دستگاه، به داراییهای کاربر برسد.
برای کاربران نیز پیامد روشن است؛ در صورتی که کیف پولی از زیرساخت آسیبپذیر برای تولید عبارت بازیابی استفاده کرده باشد، ساخت یک کیف پول کاملاً جدید و انتقال داراییها به آن، امنترین راه برای کنار گذاشتن کلیدهای مشکوک خواهد بود.
این محتوا صرفاً برای اطلاعرسانی عمومی ارائه شده است و بهمنزله مشاوره مالی، سرمایهگذاری، حقوقی یا مالیاتی تلقی نمیشود. هرگونه رویداد، جایزه، کمپین آنلاین یا اطلاعات مرتبط که در اینجا ذکر شده است، نباید بهعنوان توصیه، ترغیب یا دعوت به خرید، فروش، معامله یا هرگونه دادوستد دیگر داراییهای رمزارزی تلقی شود. داراییهای رمزارزی از نوسان بالایی برخوردار هستند و ممکن است منجر به زیان شوند. دسترسی به خدمات، محصولات و رویدادهای مرتبط با WEEX ممکن است بسته به منطقه جغرافیایی متفاوت باشد. اطمینان از اینکه استفاده شما از این خدمات با قوانین و مقررات محلی مطابقت دارد، بر عهده خود شماست.
ممکن است شما نیز علاقهمند باشید
بازار دارایی دیجیتال در آستانه رونق... مشابه دوره انتقال به اینترنت پرسرعت در اوایل 2000
چه اتفاقی برای ai16z، توکن هوش مصنوعی ۲.۴ میلیارد دلاری که مرده اعلام شده است، افتاده است؟
چشمانداز آینده بیتکوین
دادههای a16z: مصرف ماهانه کارتهای رمزنگاری به ۷.۵ میلیارد دلار رسید و USDC به واحد اصلی قیمتگذاری تبدیل شد
رسانههای خارجی: سود توکنهای هوش مصنوعی چین و آمریکا به سمت لایههای کاربردی تفکیک میشود
چرا نشانهای «حسابرسی شده» ارزهای دیجیتال به سرمایهگذاران احساس امنیت کاذب خطرناکی میدهند
تردید در تضاد منافع و مزیت اطلاعاتی مرتبط با پسر بزرگ ترامپ و Kalshi و Polymarket
بهروزرسانی فوری پردازشگر BTCPay Server پس از سرقت وجوه
نوسانات بازار سهام کره جنوبی به پایینترین سطح دو ماهه کاهش یافت، احتمالاً شدیدترین دوره نوسانات به پایان رسیده است
افزایش ۱۶ درصدی سهام اسپیسایکس با وجود آزادسازی ۹۱۱.۵ میلیون سهم
web3: رسانههای خارجی: نوسان ضمنی بیتکوین به پایینترین سطح سال رسیده است
لری فینک از بلک راک میخواهد همه داراییها را توکنسازی کند – کدام رمزارز RWA بهرهمند میشود؟
فروش گزینههای خرید: پروتکلهای زنجیرهای تلاش میکنند طلا را با نرخ سالانه ۴-۱۴٪ به بهرهوری برسانند
67 میلیون دلار ارزهای دیجیتال فراموش شده: چگونه بدون کلاهبرداری آنها را درخواست کنیم
شرکتهای استخراج بیتکوین به سمت تحول AI میروند، والاستریت بیتوجه؟ فصل گزارش مالی نشان میدهد: چه کسی جریان نقدی دارد و چه کسی هنوز در حال نقاشی روی کاغذ است
آرژانتین، در میانه جنگ بین ایالات متحده و چین بر سر 5G
کاهش نرخ مالیات داراییهای مجازی از ۵۵٪ به ۲۰٪... خلاصهای از نکات اصلی
مکزیکی به جرم پولشویی نزدیک به 2 میلیون دلار از مواد مخدر با ارزهای دیجیتال اعتراف کرد
جریمه متا در نیومکزیکو: ۹۴۲ میلیون و توقف لایکها برای نوجوانان
ترجمههای ارزهای دیجیتال در برزیل: بررسیهای عملیات بالای ۱۰,۰۰۰ دلار ممکن است تا ۲۴ ساعت طول بکشد
دلایل عدم کاهش پاداش استیکینگ اتریوم به صفر
چمدان خود را به طور هوشمندانه بسته بندی کنید تا دلارها را صرفه جویی کنید: ترفندهایی برای جلوگیری از هزینه های اضافی
گزارش ضعیف اشتغال بازی را برای بیتکوین تغییر میدهد: اکنون چه انتظاری باید داشت
آیا مسیر موقت هرمز باز خواهد شد؟ ایران: "هیچ بازگشایی کامل قبل از اصلاح رفتار آمریکا وجود ندارد"
نرخ سپرده ثابت همچنان پایین است: برای تولید ۵۰,۰۰۰ دلار در ۳۰ روز چقدر باید سرمایهگذاری کرد
ETF های بیت کوین و اتریوم در بهترین هفته خود از آوریل، ۱ میلیارد دلار را شکستند و بلک راک ۸۰ درصد از نقدینگی را جذب کرد
برکشایر پس از ۱۴ سهماهه دوباره سهام خرید: چه تغییر کرده است
بیتکوین: «کلیدهای خصوصی گناه اصلی کریپتو هستند»
بهترین هدیه ارز دیجیتال در آگوست: سایت پوکر بلاکچین CoinPoker از مسابقات جهانی پوکر آنلاین ۵۰ میلیون دلاری رونمایی کرد
رئیس اکثریت سنای آمریکا، ثون، درخواست خاتمه را برای قانون شفافیت ثبت کرد و رأیگیری سنای ۱۵ سپتامبر را تنظیم کرد
بازار دارایی دیجیتال در آستانه رونق... مشابه دوره انتقال به اینترنت پرسرعت در اوایل 2000
چه اتفاقی برای ai16z، توکن هوش مصنوعی ۲.۴ میلیارد دلاری که مرده اعلام شده است، افتاده است؟
چشمانداز آینده بیتکوین
دادههای a16z: مصرف ماهانه کارتهای رمزنگاری به ۷.۵ میلیارد دلار رسید و USDC به واحد اصلی قیمتگذاری تبدیل شد
رسانههای خارجی: سود توکنهای هوش مصنوعی چین و آمریکا به سمت لایههای کاربردی تفکیک میشود
چرا نشانهای «حسابرسی شده» ارزهای دیجیتال به سرمایهگذاران احساس امنیت کاذب خطرناکی میدهند
