اکسپلویت پروتکل Wasabi بیش از ۵.۵ میلیون دلار را در چهار زنجیره تخلیه می‌کند، زیرا کلید ادمین به خطر افتاده یک نقص امنیتی حیاتی را آشکار می‌سازد

پروتکل Wasabi هک گسترده‌ای را تجربه کرد و بیش از ۵.۵ میلیون دلار در چهار بلاک چین از دست داد: Ethereum، Base، Blast و Berachain.

این سوءاستفاده از آسیب‌پذیری‌ها نشأت می‌گیرد، اما تحقیقات تاکنون تأیید کرده‌اند که این اکسپلویت به دلیل ضعف در کد قرارداد هوشمند خود پروتکل نبوده است. بلکه این هک به دلیل به خطر افتادن کیف پول deployer رخ داد و یکی از ضعف‌های همیشگی دیفای را آشکار کرد: وابستگی بیش از حد به حاکمیت متمرکز.

تحلیلگران امنیتی تقریباً بلافاصله این حادثه را شناسایی کردند، چرا که متوجه شدند حمله با سرعت بالا و با روشی یکسان در تمام زنجیره‌های پشتیبانی‌شده انجام شده است. این رویداد توجه قابل توجهی از اعضای جامعه کریپتو را به خود جلب کرده که آن را نمونه‌ای بارز از نحوه آسیب‌رسانی آسیب‌پذیری‌های غیر کدی می‌دانند.

سوءاستفاده از امتیازات ادمین توسط حمله

حمله به شکلی بسیار سیستماتیک از دسترسی‌های مدیریتی سوءاستفاده کرد. مهاجمان ابتدا نقش اصلی که کنترل مجموعه‌ای از نودهای داینامیک را بر عهده داشت به خطر انداختند؛ نودهایی که توسط افراد دارای دسترسی قابل ایجاد هستند.

با استفاده از این دسترسی، مهاجم تابع grantRole را فراخواند و فوراً به یک قرارداد مخرب و جدید حقوق ادمین اعطا کرد. ویژگی اصلی این عملیات این بود که تمام محافظت‌های تأخیری را دور زد، زیرا سیستم اجازه می‌داد نقش‌ها بدون هیچ timelock ای تخصیص یابند.

پس از به دست گرفتن کنترل مدیریتی، مهاجم یک قرارداد orchestrator مستقر کرد که به ترتیب سپرده‌گذاری استراتژی را برای هر یک از vaultها فراخواند. با داشتن امتیازات سطح ادمین، تنها modifier ادمین که قرار بود دسترسی را محدود کند، بی‌اثر شد.

این امر به مهاجم اجازه داد دارایی‌ها را مستقیماً از vaultها تخلیه کند و وجوه را به EOAها در هر چهار زنجیره منتقل کند. سرعت و دقت حمله نشان می‌دهد که مهاجمان از پیش با معماری سیستم و آسیب‌پذیری‌های آن آشنا بودند.

اقدامات فوری بازیابی دارایی دسترسی به خطر افتاده را غیرفعال می‌کند

متعاقباً، اقدامات آنچین برای غیرفعال کردن سریع مجوزهای کلید به خطر افتاده انجام شد. تمام نقش‌های مهم (مثلاً ADMIN، و همچنین شناسه‌های نقش مانند ۱۰۰، ۱۰۱، ۱۰۲ و ۱۰۳) از کیف پول deployer اصلی که به خطر افتاده بود حذف شدند. این اقدام هرگونه دسترسی ادمین باقی‌مانده مهاجم به پروتکل را کاملاً از بین برد. در نتیجه، این نقض امنیتی بردار حمله خاص را مسدود کرد.

تحلیلگران می‌گویند کلید به خطر افتاده دیگر نمی‌تواند برای هیچ دور دیگری از عملیات غیرمجاز استفاده شود، که این یک نقطه عطف در توقف این حادثه است. با این حال، حتی اگر دسترسی مجدداً برقرار شده باشد، وجوه سرقت‌شده باقی‌مانده هنوز در کیف پول مهاجمان روی این زنجیره‌ها قرار دارند و در حال حاضر هیچ گزینه‌ای برای بازیابی دارایی وجود ندارد.

کاربران پروتکل با توکن‌های LP بی‌ارزش گیر افتاده‌اند و اکنون منتظر اعلام یک برنامه جبران خسارت هستند. این نقض امنیتی تأثیر شگرفی بر کاربران گذاشته است. در این مورد، توکن‌های سهام تامین کننده نقدینگی (LP) که هنوز در کیف پول کاربران بودند، حداقل برای مدتی، از ارزش خود تهی شدند، زیرا دارایی‌های نگهداری‌شده در vaultها تخلیه شده‌اند.

تیم پروتکل Wasabi حادثه را تأیید کرد و گفت تحقیقات در حال انجام است. تا اطلاع ثانوی، به کاربران اکیداً توصیه می‌شود از استفاده از هر قرارداد Wasabi خودداری کنند تا ریسک‌های اضافی را محدود نمایند. شرکت‌های امنیتی مانند SEAL 911 و Blockaid مستقیماً با تیم پروتکل همکاری می‌کنند تا میزان خسارت را بررسی کرده و اقدامات اصلاحی را تشریح کنند. در حال حاضر، جامعه منتظر اطلاعاتی درباره برنامه جبران خسارت است که برای بازسازی اعتماد و کمک به کاربران برای جبران ضررهایشان حیاتی خواهد بود.

Virtuals Protocol با مسدود کردن ویژگی‌های مرتبط با Wasabi پاسخ می‌دهد

این اکسپلویت بارها پلتفرم‌های متصل را تحت تأثیر قرار داده است، از جمله Virtuals Protocol که از زیرساخت Wasabi برای سیستم‌های خاصی استفاده می‌کند.

Virtuals Protocol با مسدود کردن سپرده‌های مارجین مرتبط با Wasabi به سرعت واکنش نشان داد. آن‌ها اقدامات احتیاطی انجام دادند و اطمینان حاصل کردند که عملیات اصلی آن، یعنی معاملات، برداشت‌ها و توابع agent، همچنان فعال هستند.

از آنجا که وضعیت هنوز در حال تحول است، به کاربران هشدار داده می‌شود که هرگز هیچ نوع تراکنشی مربوط به Wasabi را امضا نکنند. تیم تأکید کرد که این محدودیت‌ها موقت هستند و تا زمانی که بتوانند یکپارچگی سیستم‌های upstream را تضمین کنند، باقی خواهند ماند.

ZachXBT غیاب حفاظت‌های امنیتی بنیادی را به شدت انتقاد می‌کند

این اکسپلویت بحث‌های تازه‌ای را درباره بلوغ شیوه‌های امنیتی در دیفای برانگیخت، در میان سؤالات مداوم درباره استفاده از کنترل‌های مدیریتی. کارشناس تحلیل بلاک چین ZachXBT منطق پشت اعطای کنترل کلی فراوان به یک حساب خارجی (EOA) را بدون شبکه‌های ایمنی اولیه مانند multisig و بدون قابلیت timelock زیر سؤال می‌برد.

انتقاد او نشان‌دهنده یک روند گسترده‌تر در صنعت است: قراردادهای هوشمند به طور معمول تحت حسابرسی‌های گسترده قرار می‌گیرند، اما ساختارهای امنیتی و حاکمیتی روزانه اغلب هدف‌های آسانی باقی می‌مانند.

اکسپلویت‌های غیر کدی در این ماه فروردین در حال رشد هستند

حادثه Wasabi نمونه بارزی از چیزی است که در طول فروردین شاهد تشدید آن بودیم: ظهور اکسپلویت‌های بزرگی که نه به دلیل نقص در قرارداد هوشمند، بلکه به دلیل مشکلات در امنیت مدیریتی هستند.

منطق قرارداد در این مورد طبق طراحی عمل کرد. مدل اعتماد شکست خورد، به همین سادگی؛ در این مورد S1 از یک کلید ادمین واحد برای کنترل upstream بدون هیچ لایه حفاظتی اضافی استفاده کرد.

این الگو نشان‌دهنده تغییر در چشم‌انداز تهدید است. مهاجمان کمتر و کمتر سعی می‌کنند وارد کدی شوند که به سختی قابل نفوذ است، بلکه بیشتر به مسیر مقاومت کمتر تمایل دارند و بر آسیب‌پذیری‌های حاکمیتی و عملیاتی تمرکز می‌کنند.

درس اصلی برای هر دو توسعه‌دهنده و پروتکل‌ها این است که امنیت فراتر از بررسی امنیتی کد است و شامل اطمینان از سیاست‌های مدیریت کلید سختگیرانه، کنترل دسترسی و مکانیزم‌های ایمنی خودکار می‌شود.

با ادامه تحقیقات و آشکار شدن جزئیات بیشتر، اکسپلویت Wasabi احتمالاً به نمونه مهمی از ریسک‌های فزاینده‌ای که امور مالی غیر متمرکز با نام اختصاری دیفای با آن روبرو است تبدیل خواهد شد.

افشاگری: این مشاوره معاملاتی یا سرمایه‌گذاری نیست. همیشه قبل از خرید هر ارز دیجیتال یا سرمایه‌گذاری در هر سرویسی تحقیق خود را انجام دهید.

ما را در Twitter @nulltxnews دنبال کنید تا از آخرین اخبار Crypto، NFT، AI، امنیت سایبری، محاسبات توزیع‌شده و Metaverse به‌روز بمانید!