[مصاحبه نهایی SCAN 2026] ④1nf1n1ty: تجربه‌ای مستحکم از بیش از 200 CTF

تیم اینفینیتی. منبع=تیم اینفینیتی
نخستین مسابقه ردیابی دارایی‌های دیجیتال در جهان "SCAN 2026" در تاریخ 28 سپتامبر ساعت 9 صبح در فضای موناگو در سئول برگزار می‌شود.

SCAN 2026 با هدف افزایش توانمندی‌های امنیت سایبری و تحقیق در زمینه دارایی‌های دیجیتال برگزار می‌شود و توسط شرکت اطلاعات دارایی دیجیتال دی‌اسِت و با همکاری پلتفرم داده‌های بلاکچین جهانی چاینالیسیس به عنوان شریک CTF (Capture The Flag) برگزار می‌شود.

در مرحله نهایی SCAN 2026، 20 تیم برتر از مجموع 416 تیم (754 نفر) که در مرحله مقدماتی شرکت کرده بودند، حضور خواهند داشت.

<دیجیتال‌اسِت> مصاحبه‌های کتبی با تیم‌های متشکل از نهادهای تحقیقاتی، متخصصان امنیت و دانشجویان از سرتاسر جهان که به مرحله نهایی راه یافته‌اند، انجام داده است.

*تیم‌های راه یافته به مرحله نهایی به شرح زیر هستند. (ترتیب به صورت حروف الفبا)

0xfun / 1nf1n1ty / 67 / BITSkrieg / CertiScan / DeFiHackLabs / EDCCS / Funds Went to Kerning City / hello / IBarelyKnowHer / J0y_B0y / lazarus2026 / Lv1x / Project Sekai / T34M1 / Tardigrades / Tornado Cats / youtiaos / اوپسید آکادیمای / هرج و مرج KAOS

سوال: چه دلیلی باعث تشکیل تیم شما شد و اعضای تیم چه پیشینه و تخصص‌هایی دارند؟

"ما از تیم اینفینیتی (Team 1nf1n1ty) هستیم که بخشی از انجمن امنیت سایبری دانشگاه سسترا (SASTRA Deemed University) است و در حال حاضر در رتبه چهارم هند و سی و پنجم جهان قرار داریم. ما هر دو دانشجوی سال آخر هستیم و مدت زیادی است که در مسابقات شرکت می‌کنیم و در این مدت بیش از 200 CTF را تجربه کرده‌ایم. علاقه مشترک ما به دارایی‌های مجازی (دارایی‌های دیجیتال)، بلاکچین و مالی غیرمتمرکز (DeFi) باعث شد که در این CTF با هم شرکت کنیم.

من هیمانت جی (Hemanth G) هستم و از نام مستعار 4rch4ng3l استفاده می‌کنم. من عمدتاً مسئول OSINT (اطلاعات منبع باز) و مهندسی معکوس هستم. در زمینه وب3، در حین برگزاری CTF، اسکریپت‌های مختلفی را برای خودکارسازی ردیابی تراکنش‌های زنجیره‌ای، بازسازی جریان تراکنش در پروتکل‌های DeFi، ادغام نقاط انتهایی RPC، تجزیه و تحلیل تبادل سازندگان بازار خودکار (AMM) و جابجایی نقدینگی ایجاد کرده‌ام. همچنین در گروهی که به تحقیق در مورد APT (تهدیدات پایدار پیشرفته) می‌پردازد، شرکت کرده‌ام. علاوه بر فعالیت‌های CTF و تحقیق، در پروژه‌های متن‌باز مختلفی نیز مشارکت داشته‌ام که این امر به من کمک کرده تا امنیت را از دیدگاه وسیع‌تری درک کنم.

دیگر عضو تیم، لوهیت ام (Lohinth M) است که از نام مستعار gr00t استفاده می‌کند. او عمدتاً مسئول اکسپلویت وب و رمزنگاری است و او نیز تجربه‌ای در شرکت در گروه تحقیق APT دارد. علاقه او به وب3 به دلیل توکن‌های غیرقابل تعویض (NFT) مبتنی بر اتریوم آغاز شد که اولین تجربه مینتینگ او از طریق مجموعه مشتق شده Moonbirds در سال 2022 بود. او نیز به طور فعال در پروژه‌های متن‌باز مشارکت دارد و از این طریق تجربه عملی در کار با کد بیس واقعی کسب کرده است."

سوال: شما از میان 416 تیم در مرحله مقدماتی SCAN 2026 عبور کرده و به مرحله نهایی راه یافته‌اید. احساس شما در مورد راهیابی به مرحله نهایی و به یادماندنی‌ترین لحظه در فرآیند مقدماتی چیست؟

"صادقانه بگویم، بسیار خوشحالم که به مرحله نهایی راه یافته‌ایم و احساس افتخار می‌کنم. ما تنها دو نفر هستیم و باید با رقبایی که تجربه زیادی در زمینه تحقیق و جرم‌شناسی بلاکچین دارند، رقابت کنیم و می‌دانیم که این کار آسان نخواهد بود. اما به همین دلیل، این رقابت برای ما هیجان‌انگیزتر است. مرحله مقدماتی در ساعت 5:30 صبح به وقت هند آغاز شد، بنابراین قبل از ردیابی وجوه، باید ابتدا قهوه را ردیابی می‌کردیم.

به یادماندنی‌ترین لحظه برای من زمانی بود که نام ما در لیست راه‌یافتگان به مرحله نهایی را دیدم. در آن لحظه واقعاً متوجه شدم که تمام تلاش‌ها و شب‌زنده‌داری‌ها و کم‌خوابی‌هایمان به ثمر نشسته است. همچنین اعتماد به نفس بیشتری پیدا کردم که توانایی‌هایی که در CTF آموخته‌ام، به خوبی در جرم‌شناسی بلاکچین نیز قابل اعمال است."

سوال: در حین حل مسائل مرحله مقدماتی SCAN 2026، سخت‌ترین مسئله یا موقعیتی که با آن مواجه شدید چه بود؟ و چگونه به آن مسئله نزدیک شدید و آن را حل کردید؟

"سخت‌ترین مسئله، چالش قفل توکن (token-locking) بود. در ابتدا، ما به دنبال کاربری بودیم که بیشتر از مبلغ سپرده‌گذاری شده خود برداشت کرده باشد، اما این چالش شامل کاربرانی بود که هنوز سهم‌های غیرمنصفانه‌ای را در اختیار داشتند.

پس از ردیابی تاریخچه به‌روزرسانی توکن، متوجه شدیم که در یک نسخه، با وجود اینکه موجودی به یک ذخیره‌سازی جدید منتقل شده بود، تابع balanceof() همچنان داده‌های قبلی را می‌خواند. این باعث شد که قرارداد قفل، موجودی را کمتر از واقعیت محاسبه کند و در نتیجه سهم‌ها به طور غیرمنصفانه‌ای منتشر شوند.

سپس ما تمام رویدادهای قفل (lock) و باز کردن (unlock) را بازسازی کردیم و موجودی واقعی منتشر شده و مبلغی که هر کاربر باید دریافت می‌کرد را مقایسه کردیم. نقطه عطف اصلی این بود که متوجه شدیم این مسئله تنها یک ردیابی برداشت نیست، بلکه یک باگ حسابداری (accounting bug) است که نیاز به بازسازی وضعیت‌های گذشته قرارداد دارد."

سوال: برای تحلیل داده‌های زنجیره‌ای و ردیابی جریان وجوه در مرحله مقدماتی از چه ابزارها، تکنیک‌ها و روش‌های تحلیلی استفاده کردید؟ اگر برنامه‌ای که خودتان توسعه داده‌اید یا روش تحلیلی خاصی دارید، لطفاً آن را معرفی کنید.

"ما از پایتون (Python) و RPC بلاکچین، نودهای آرشیوی و اکسپلوررهایی مانند Etherscan، Blockscout، Tronscan و Solana Explorer استفاده کردیم.

ما بیش از 40 اسکریپت قابل استفاده مجدد برای ABI دیکودینگ، جستجوی داده‌های گذشته، بازسازی رویدادها، خوشه‌بندی کیف پول و ردیابی بین زنجیره‌ای داشتیم که از CTFهای قبلی وب3 به دست آمده بودند.

ما این اسکریپت‌ها را به یک جریان کاری خودکار تبدیل کردیم تا بتوانیم بر اساس وظایف، اسکریپت‌های مناسب را انتخاب و دوباره استفاده کنیم. جمع‌آوری داده‌های تکراری عمدتاً به صورت خودکار انجام شد و نتایج مهم را از طریق تراکنش‌های اصلی و کد منبع قرارداد و چندین منبع داده مستقل به طور مستقیم تأیید کردیم."

سوال: به نظر شما بزرگ‌ترین مزیت یا روش حل مسئله متمایز تیم شما در مقایسه با سایر تیم‌های راه‌یافته به مرحله نهایی چیست؟

"بزرگ‌ترین مزیت ما احتمالاً هماهنگی‌ای است که از بیش از 200 CTF که با هم انجام داده‌ایم، به دست آمده است. ما می‌توانیم به سرعت مسائل را تقسیم کنیم و به فرضیات یکدیگر شک کنیم و نقاط قوت خود را در OSINT و رمزنگاری ترکیب کنیم.

روش ما نیز بسیار سیستماتیک است. ما از اسکریپت‌های موجود برای خودکارسازی جمع‌آوری داده‌های تکراری استفاده می‌کنیم، اما تمام نتایج مهم را به طور مستقیم تأیید می‌کنیم. این تعادل بین سرعت و تأیید دقیق یکی از عناصر ساختار منحصر به فرد ماست."

سوال: پیش از مرحله نهایی در تاریخ 28 سپتامبر، چه آماده‌سازی‌هایی انجام می‌دهید؟

"ما در حال مرور دوباره مسائل مرحله مقدماتی هستیم و به دنبال بهبود بخش‌هایی هستیم که بیشترین زمان را صرف کرده‌ایم. همچنین در حال بهبود اسکریپت‌های تحلیلی و تمرین در شرایط تحقیقاتی با محدودیت زمانی هستیم. هدف ما این است که تا زمان برگزاری مرحله نهایی، یک جریان کاری قابل اعتماد و تقسیم وظایف واضح داشته باشیم و به اندازه کافی با ابزارها آشنا شویم تا به جای صرف زمان برای اشکال‌زدایی محیط، بر روی خود مسئله تمرکز کنیم."

سوال: اگر در مرحله نهایی اول شوید و جایزه‌ای دریافت کنید، چه کار خواهید کرد؟

"بخش عمده‌ای از جایزه را برای تحصیلات آینده و حرفه‌ام در زمینه امنیت سایبری پس‌انداز خواهم کرد. همچنین می‌خواهم به تیم اینفینیتی، انجمن ما، کمک کنم تا زیرساخت‌های مسابقه امنیت سایبری IRON CTF که هر ساله برگزار می‌کنیم را بهبود بخشم. بخشی دیگر از آن را برای کارگاه‌ها و حمایت از منابع برای جامعه امنیت سایبری گسترده‌تر استفاده خواهم کرد و البته با خانواده و اعضای تیمم نیز جشنی برای این موفقیت خواهیم گرفت.

این محتوا صرفاً برای اطلاع‌رسانی عمومی ارائه شده است و به‌منزله مشاوره مالی، سرمایه‌گذاری، حقوقی یا مالیاتی تلقی نمی‌شود. هرگونه رویداد، جایزه، کمپین آنلاین یا اطلاعات مرتبط که در اینجا ذکر شده است، نباید به‌عنوان توصیه، ترغیب یا دعوت به خرید، فروش، معامله یا هرگونه دادوستد دیگر دارایی‌های رمزارزی تلقی شود. دارایی‌های رمزارزی از نوسان بالایی برخوردار هستند و ممکن است منجر به زیان شوند. دسترسی به خدمات، محصولات و رویدادهای مرتبط با WEEX ممکن است بسته به منطقه جغرافیایی متفاوت باشد. اطمینان از اینکه استفاده شما از این خدمات با قوانین و مقررات محلی مطابقت دارد، بر عهده خود شماست.