كيف سرق بولي نتورك هاكر 600 مليون دولار؟ أصابع نقاط خبراء الأمن

بعد مرور أكثر من سبع ساعات على الإبلاغ عنه لأول مرة ، كانت التفاصيل حول ثغرة استولت على 600 مليون دولار من الأصول الرقمية من PolyNetwork بطيئة في الظهور. في حالة عدم وجود تدقيق شامل ، أصدرت مجموعات الأمن السيبراني لازمة مشتركة للمبرمجين وراء شبكة التوافق عبر السلاسل: هذا عليك.

تم تتبع الأموال المرتبطة بالهجوم إلى ثلاثة عناوين منفصلة - عنوان واحد في كل يوم إثيريم, سلسلة Binance الذكيةو المضلع.

فيما يتعلق بسلسلة الأحداث التي جلبت الأموال غير الصحيحة هناك ، فإن خبراء الأمن لديهم آراء متباينة - حيث ذهب البعض إلى حد اتهام زملائهم بتضليل الجمهور.

وفقًا لتحليل أولي أجراه مدقق الأمن BlockSec ومقره الصين ، والذي حذر من أنه لم يتم التحقق منه بعد ، يمكن أن تكون السرقة نتيجة "إما تسرب المفتاح الخاص المستخدم لتوقيع الرسالة عبر السلسلة" أو " خطأ في عملية التوقيع على PolyNetwork تم إساءة استخدامه لتوقيع رسالة مُعدّة ".

أشار باحثون آخرون أيضًا إلى أن الممارسات الأمنية السيئة ربما أدت إلى سرقة المفاتيح الخاصة التي يستخدمها فريق PolyNetwork للسماح بالمعاملات.

مطور Ethereum والباحث الأمني ​​Mudit Gupta كتب أن PolyNetwork تستخدم محفظة multisig للمعاملات. في تكوينه ، أربعة أشخاص لديهم حق الوصول إلى المفتاح لتوقيع المعاملات ، ويجب على ثلاثة أن يوقعوا: "حصل المهاجم على 3 حراس على الأقل ثم استخدمهم لتغيير الحراس إلى حارس واحد." في الواقع ، قام المتسلل بإغلاقهم. (اعتقد جوبتا في البداية أن بولي يستخدم 1/1 multisig.)

يقول فريق أمان Blockchain SlowMist أن هذا ليس بالضبط ما حدث. بدلاً من ذلك ، كما تقول ، استغل المهاجم عيبًا في وظيفة العقد الذكي لتغيير حارسه ، وإعادة توجيه تدفق الأموال إلى عنوان المهاجم نفسه. "ليس الأمر أن هذا الحدث وقع بسبب تسرب المفتاح الخاص للحارس" وذكرت.

قامت PolyNetwork بإعادة تغريد منشور المدونة ، في حين اختلف Gupta بشدة مع SlowMist ، مما يشير إلى العجز الجسيم أو الفساد.

بغض النظر عما إذا كان المهاجم قد حصل على مفاتيح خاصة أو استغل عقدًا ذكيًا ضعيفًا ، فإن إحدى طرق القيام بأي من هذه الأشياء هي أن تكون مسؤولاً. لكن هل كانت وظيفة داخلية؟ بعد كل شيء ، وفقًا لشركة CipherTrace لتحليلات blockchain ، فإن ما يسمى بـ Rug pulls ، وهو نوع من عمليات احتيال الخروج ، كان بمثابة الشكل الأكثر شيوعًا للاحتيال بالعملات المشفرة العام الماضي. 

من السابق لأوانه معرفة ذلك. تقول SlowMist إنها "استوعبت صندوق بريد المهاجم وعنوان IP وبصمات أصابع الجهاز من خلال التتبع داخل السلسلة وخارجها ، وهي تتعقب أدلة الهوية المحتملة المتعلقة بمهاجم شبكة Poly." لكن التحقيق الذي أجرته لم يؤد بعد إلى قيام مسؤول تنفيذي في شركة Poly بحمل مسدس دخان. (أو ، إذا كان الأمر كذلك ، فإن SlowMist لم تقل بعد.)

في غضون ذلك ، من غير الواضح ما إذا كان المهاجم سيتمكن من استخدام الأموال. كما طلبت شركة PolyNetwork من "مُعدني منصات تبادل العملات المشفرة والبلوك تشين المتأثرة إدراج الرموز المميزة في القائمة السوداء" من عناوين المستغِلين. رداً على ذلك ، قالت تيثر إنها جمدت 33 مليون دولار من دولارات الولايات المتحدة المرتبطة بالهجوم ، بينما تعهد المسؤولون التنفيذيون في Binance و OKEx و Huobi بالمساعدة في الحد من الضرر.

المخترق ، مع ذلك ، أخذ إلى إصدار التهكم من Ethereum blockchain ، من خلال إلحاق الرسائل بالكتل. كتبوا في إحدى الرسالة.

ربما ، ولكن ربما يجب على شخص آخر كتابة العقود الذكية لذلك.

المصدر: https://decrypt.co/78250/how-did-polynetwork-hacker-steal-600-million-security-experts-point-fingers