الدروس المستفادة من الهجوم على Tinyman ، أكبر DEX على Algorand

وقت القراءة: 5 دقائق

تستمر عمليات اختراق العملات المشفرة في عام 2022 حيث يهاجم المتسللون نقاط الضعف داخل الشبكات المختلفة ، مما يضيف إلى ملايين الأصول المسروقة. بدأ مجتمع Algorand العام في ملاحظة سيئة بعد هجوم على البورصة اللامركزية أدى إلى خسارة ما قيمته 3 ملايين دولار من الأصول.

وفقا للتقارير ، يوم ٣ فبراير ٢٠٢٤، هاجم المستخدمون غير المصرح لهم تيني مان، وهي منصة مالية لا مركزية مبنية على Algorand. تم تنفيذ الحدث في أربع هجمات منفصلة ، مما سمح للقراصنة بالسرقة 3 مليون دولار من المجمعات ضمن البروتوكول.

أظهر تقرير صادر عن Tinyman أنه تم اختراق أربعة حسابات ، مما أثر على حوالي 250 مستخدمًا لديهم مقتنيات في goBTC و goETH. تأثر ثلاثة وأربعون تجمعًا بـ 360 نشاطًا خبيثًا تم تنفيذها بواسطة 13 عنوانًا فريدًا.

والجدير بالذكر أن المهاجمين فعّلوا عناوين محفظتهم مما سمح لهم بإيداع أموال أولية للهجوم. بالإضافة إلى ذلك ، ورد أن هؤلاء الأفراد انتهكوا نقاط ضعف غير معروفة سابقًا في عقد Tinyman الذكي. سمح لهم ذلك بالحصول على اثنين من نفس الرموز ، ثم شرعوا بعد ذلك في مبادلة بعض الأصول ورموز التجمع المسكوكة.

وبحسب ما ورد كانت الهجمات لصالح المستخدمين غير المصرح لهم لأن com.goBTC كان الأصل أكثر قيمة من آلجو تم استبدالهم مقابل الحصول على المزيد من الأموال. بالإضافة إلى ذلك ، قام المهاجمون أيضًا بتبادل المجموعات باستخدام العملات المستقرة قبل سحب الأصول إلى محافظ أخرى وتبادلات مركزية.

كبروتوكول غير موثوق به وغير مصرح به ، يستخدم Tinyman بشكل خاص العقود غير القابلة للتغيير ، مما يجعل من المستحيل على البورصة إصلاح نقاط الضعف وإيقاف الهجوم بسرعة. ومع ذلك ، نتيجة لذلك ، يمكنهم فقط نصح المستخدمين بعدم استخدام النظام الأساسي أثناء عملهم على حل المشكلة.

بينما يواصل فريق Tinyman التحقيق في الإصابة ، هناك عدد قليل من المجالات الرئيسية التي تحتاج إلى معالجة. وتشمل هذه:

أهمية عمليات التدقيق

نظرًا للأعداد المتزايدة من حالات الاحتيال والهجمات المتعلقة بالعملات المشفرة داخل DeFi وسوق العملات المشفرة بشكل عام ، لا يمكن التأكيد على الحاجة إلى أنظمة الفحص والمساءلة بشكل كافٍ. 

العام الماضي في نوفمبر ، إهليلجي، وهي شركة عالمية لمخاطر إدارة العملات المشفرة ، أجرت بحثًا أظهر أن أكثر من ذلك بـ10.5 مليار دولار فقدت DeFi قيمة الأصول في عام 2021 بسبب الاختراق والهجمات الأخرى على الشبكات والبروتوكولات. 

علاوة على ذلك ، تم حساب الاختراقات المتعلقة بـ DeFi 76% من بين جميع الاختراقات الرئيسية في عام 2021. وفقًا للتقرير ، فإن الطبيعة غير الموثوقة للتطبيقات اللامركزية (DApps) داخل DeFi هي نعمة ونقمة. عدم الثقة يزيل أي سيطرة من قبل طرف ثالث على أموال المستخدمين. ومع ذلك ، يضطر المستخدمون إلى الوثوق في أن مبتكري البروتوكولات المعنية لم يرتكبوا أي أخطاء في الترميز أو التصميم مما قد يسمح بالهجوم على النظام.

تسمح عمليات التدقيق للكيانات الموثوقة بالتحقق من الثغرات الأمنية باستخدام الرموز والتصميم الهيكلي للمشروع ، مما يزيد من الأمان العام. يجب إجراء عمليات التدقيق باستمرار لمواكبة التقنيات المتطورة والجديدة التي يستخدمها المتسللون لمهاجمة الأنظمة. على الرغم من أن Tinyman قد خضع لعملية تدقيق ، فقد كان من الممكن أن يساعد فحص تدقيق حديث في إصلاح الأخطاء أو نقاط الضعف وربما منع الخسائر.

يجب أن يقرأ: الأربعة الكبار يعملون نحو تدقيق blockchain

من الناحية المثالية ، ينبغي إجراء عمليات تدقيق العقود الذكية قبل نشر العقود. تسعى عمليات التدقيق هذه إلى التحقق من الأخطاء الشائعة مثل مشاكل المكدس وأخطاء إعادة الدخول والمضاعفات المحتملة الأخرى. تتحقق عملية التدقيق أيضًا من الأخطاء المعروفة والعيوب الأمنية للمنصات المضيفة مع السماح للمطورين باختبار العقد الذكي.

بالإضافة إلى ذلك ، تساعد عمليات التدقيق المشاريع على تحسين عقودها الذكية باستمرار ، مما يضمن تحديثها دائمًا. على سبيل المثال ، في أعقاب الهجوم ، أُجبرت Tinyman على تحديث عقودها الذكية لمنع مثل هذه الهجمات في المستقبل.

تأمين DeFi

والجدير بالذكر ، قبل إجراء أي ترتيب داخل سوق DeFi ، يحتاج المستخدمون إلى فهم المخاطر المرتبطة بالسوق بشكل كامل. بصرف النظر عن مخاطر العقود الذكية ، قد يواجه المستخدمون أيضًا مخاطر أوراكل ومخاطر الحوكمة. 

ومع ذلك ، فإن إجراء بحث مناسب عن الأسواق والمشاريع فيها يتيح للمستخدمين اتخاذ قرارات مستنيرة. أحد هذه القرارات هو الحصول على الحماية من الهجمات غير المتوقعة من خلال DeFi Insurance.

DeFi Insurance هي عملية التأمين على الذات أو شراء التغطية ضد الخسائر التي قد تتعرض لها الأحداث في صناعة DeFi. أدت الأعداد المتزايدة من الخسائر داخل DeFi إلى زيادة الطلب على منتجات التأمين DeFi حيث تستمر المشروعات الجديدة في الارتفاع يومًا بعد يوم. 

عادة ، ينتهي المطاف بالعديد من البورصات المتضررة بتعويض ضحاياهم بعد الهجوم. ومع ذلك ، فإن بعض المشاريع المخترقة لا يمكنها تعويض مستخدميها.

لاحظ أن فريق Tinyman قد تقدم ليؤكد للمستخدمين المتأثرين أنه سيتم تعويضهم عن خسائرهم.

القوة في المجتمعات

والجدير بالذكر أنه بعد أن أصبح الهجوم الأول علنيًا ، انتهز العديد من المتسللين الفرصة لنسخ الاختراق. استخدموا نفس نقاط الضعف لتنفيذ هجمات أصغر (الهجمات من الثاني إلى الرابع) على البورصة. ومع ذلك ، تمكنت Tinyman من توفير نسبة كبيرة من أصولها بمساعدة المجتمع.

في هذا الهجوم وما شابه ، ساعدت المجتمعات في نشر الأخبار بشكل أسرع ، مما سمح للمستخدمين باتخاذ الإجراءات الأمنية اللازمة للمساعدة في الحفاظ على أصولهم آمنة. بالإضافة إلى ذلك ، ساعدت المجتمعات ، إلى حد ما ، في بناء تواصل وتعاون أفضل بين المطورين والمستخدمين من أجل نمو النظام البيئي بأكمله.

في الأيام الأخيرة ، ساعدت المجتمعات القائمة على العملة المشفرة في إثارة الثورات التي أدت إلى نمو المشاريع داخل الصناعة.

اختتام

بينما حققت blockchain اختراقات هائلة ، لا سيما في مجال التمويل ، فإن التكنولوجيا بعيدة عن الكمال. ومع ذلك ، يمكن لمالكي المشاريع والمطورين والمستخدمين على حدٍ سواء اتخاذ التدابير المناسبة لضمان المزيد من الأمان داخل التطبيقات المستندة إلى blockchain.

من خلال اتخاذ تدابير المساءلة من خلال عمليات التدقيق وغيرها من التدابير ذات الصلة ، يمكن للمشاريع القضاء على أي أخطاء أو نقاط ضعف يمكن استخدامها ضد التطبيق. أيضًا ، يعد اتخاذ الاحتياطات الأخرى مثل تأمين DeFi والحفاظ على مجتمع محكم أمرًا مهمًا في التخفيف من مثل هذه الأحداث. 

تواصل مع QuillAudits

QuillAudits هي عبارة عن منصة ذكية آمنة لتدقيق العقود تم تصميمها بواسطة ريشة
التقنيات.
إنها منصة تدقيق تقوم بتحليل العقود الذكية والتحقق منها بدقة للتحقق من نقاط الضعف الأمنية من خلال المراجعة اليدوية الفعالة باستخدام أدوات التحليل الثابتة والديناميكية ، وأجهزة تحليل الغاز وكذلك أجهزة الاستيعاب. علاوة على ذلك ، تتضمن عملية التدقيق أيضًا اختبارًا شاملاً للوحدة بالإضافة إلى التحليل الهيكلي.
نقوم بإجراء كل من عمليات تدقيق العقود الذكية واختبارات الاختراق للعثور على الإمكانات
الثغرات الأمنية التي قد تضر بسلامة النظام الأساسي.

إذا كنت بحاجة إلى أي مساعدة في تدقيق العقود الذكية ، فلا تتردد في التواصل مع خبرائنا هنا!

لتكون على اطلاع دائم بعملنا ، انضم إلى مجتمعنا: -

تويتر | لينكدين: | فيسبوك | تیلیجرام

وظيفة الدروس المستفادة من الهجوم على Tinyman ، أكبر DEX على Algorand ظهرت للمرة الأولى على Blog.quillhash.

المصدر: https://blog.quillhash.com/2022/01/lessons-from-the-attack-on-tinyman-largest-dex-on-algorand