مراجعة حوادث أمان الجسور عبر السلسلة: عشرة حوادث هجوم تكبدت خسائر تتجاوز 19 مليار دولار

في السنوات الأخيرة، أصبحت الجسور عبر السلسلة هدفًا شائعًا لهجمات القراصنة. نظرًا لأن الجسور عبر السلسلة تدير كميات كبيرة من الأموال وغالبًا ما تحتوي على ثغرات أمنية، فإنها أصبحت منطقة عالية المخاطر. تستعرض هذه المقالة عشر هجمات كبيرة على الجسور عبر السلسلة، حيث بلغ إجمالي المبلغ المتعلق بها أكثر من 1.9 مليار دولار، تم استرداد أو تعويض حوالي 1.55 مليار دولار منها.

1. ChainSwap: خسارة حوالي 8.8 مليون دولار نتيجة لهجومين

في يوليو 2021، تعرضت ChainSwap لهجومين في فترة قصيرة، حيث كانت الخسارة الأولى حوالي 800,000 دولار، بينما كانت الخسارة الثانية حوالي 8,000,000 دولار. أثر الهجوم الثاني على أكثر من 20 مشروعًا استخدمت ChainSwap للجسور عبر السلسلة.

تحليل السبب: لم يتمكن البروتوكول من التحقق بدقة من صحة التوقيع، مما يسمح للمهاجم باستخدام توقيع تم إنشاؤه ذاتيًا لتفويض المعاملات.

الحل: تم أخذ لقطات لمشاريع متعددة متأثرة، وتم إصدار رموز جديدة لتعويض الحائزين ومقدمي السيولة.

2. شبكة بولي: خسرت في وقت ما 6.1 مليار دولار، وتم استرداد المبلغ بالكامل

في أغسطس 2021، تكبدت شبكة Poly خسائر تقدر بحوالي 610 مليون دولار من الأصول على كل من إيثريوم وسلسلة بينانس الذكية وPolygon.

أسلوب الهجوم: استغل المهاجمون ثغرات إدارة صلاحيات العقد لتعديل عنوان المدقق في السلسلة المستهدفة، مما سمح لهم بالتحكم في نقل الأصول.

النتيجة: أعاد المهاجمون في النهاية جميع الأموال، واعتبرت الجهة المعنية به "هاكر القبعة البيضاء"، ودعته لتولي منصب المستشار الأمني الرئيسي.

3. متعدد السلاسل: خسارة 6 ملايين دولار، تم تعويض جزء منها

في يناير 2022، اكتشفت Multichain ثغرة كبيرة تؤثر على ست عملات رقمية، وتمت سرقة أصول بقيمة حوالي 6040000 دولار.

أسباب الثغرة: ظهرت مشكلة في العقد عند فحص صلاحية الرموز المدخلة من قبل المستخدم، حيث لم يؤخذ في الاعتبار أن ليس كل الرموز تنفذ دالة permit.

المعالجة: تم استرداد حوالي 50% من الأموال المسروقة، واقترح الفريق إعادة الأموال إلى المستخدمين الذين تم إلغاء تفويضهم، لكنهم لن يدفعوا تعويضات عن الخسائر اللاحقة.

4. QBridge: خسارة 80 مليون دولار، تعويض فقط 2%

في نهاية يناير 2022، تعرض الجسر عبر السلسلة QBridge لبروتوكول الإقراض Qubit للاختراق، مما أدى إلى خسارة تبلغ حوالي 80 مليون دولار.

مبدأ الهجوم: لم يتحقق QBridge من العنوان الصفري مرة أخرى، واستغل المهاجم هذه الثغرة لصك كميات كبيرة من رموز xETH على BSC.

الوضع الحالي: نسبة استخدام Qubit منخفضة للغاية، و98% من الأموال المسروقة لم يتم تعويضها.

5. Meter.io: خسارة 4.4 مليون دولار، وعد بتعويض من الأرباح المستقبلية

في فبراير 2022، تعرض الجسور عبر السلسلة Meter Passport للهجوم، مما أدى إلى خسارة تبلغ 4.4 مليون دولار.

السبب: يوجد "افتراض ثقة خاطئ" في كود Meter الممتد، مما يسمح للمهاجمين بتزوير تحويلات BNB و ETH.

خطة التعويض: إصدار رمز جديد PASS لتعويض المستخدمين، مع الالتزام بإعادة الشراء من الإيرادات المستقبلية، ولكن لم يتم التنفيذ بعد.

6. رونين: خسارة 6.2 مليار دولار، تم سداد المبلغ بالكامل

في مارس 2022، تعرضت سلسلة Ronin الخاصة بـ Axie Infinity لهجوم، مما أسفر عن خسارة تقدر بحوالي 620 مليون دولار.

أسلوب الهجوم: الحصول على معلومات موظفي Sky Mavis من خلال الهندسة الاجتماعية، وبالتالي السيطرة على عدة عقد تحقق.

الحل: قامت شركة Sky Mavis بجمع 150 مليون دولار للتعويض، ولكن انخفاض سعر ETH أدى إلى تقليص القيمة الفعلية للتعويض.

7. Wormhole: خسارة بقيمة 3.26 مليار دولار، تم التعويض عنها

في فبراير 2022، تعرض Wormhole لهجوم، وخسر حوالي 120,000 قطعة من ETH، بقيمة 326 مليون دولار.

ثغرة: خطأ في التحقق من توقيع العقد الأساسي على سولانا، يمكن للمهاجمين تزوير رسالة "الوصي" لصك whETH.

تمت المعالجة: قامت Jump Crypto بضخ 120,000 ETH في Wormhole لتعويض الخسائر.

8. EvoDeFi: تقدير الخسائر بأكثر من عشرة ملايين دولار، غير معالجة

في يونيو 2022، فقدت عملة USDT ربطها بشكل كبير على منصة ValleySwap اللامركزية في نظام Oasis البيئي، ومن المتوقع أن تصل الخسائر إلى أكثر من عشرة ملايين دولار.

السبب: الجسور عبر السلسلة EVODeFi تعاني من نقص في السيولة في سلسلة المصدر، وقد توجد ثغرة لسرقة أصول المستخدمين.

الوضع الحالي: لم يقدم الأطراف المعنيون حلاً، ويُشتبه في أنهم قد هربوا.

9. Horizon: خسارة تقارب 100 مليون دولار، جارٍ وضع خطة التعويض

في يونيو 2022، تعرض الجسر عبر السلسلة الرسمي من Harmony، Horizon، لهجوم، مما أدى إلى خسارة تقدر بحوالي 100 مليون دولار.

السبب: يُشتبه في أن تسرب المفتاح الخاص هو السبب.

التقدم: يتم إعادة صياغة خطة التعويض، ولم يتم التوصل إلى توافق بعد.

10. نوماد: خسارة 1.9 مليار دولار، قيد المعالجة

في أغسطس 2022، تم استنفاد سيولة Nomad بسرعة، مما أدى إلى خسارة قدرها 190 مليون دولار.

ثغرة: تم تهيئة الجذر الموثوق به بشكل خاطئ أثناء ترقية العقد، مما يسمح لأي شخص بسحب الأموال.

الوضع الراهن: بعض القراصنة الأخلاقيين أعربوا عن استعدادهم لإعادة الأموال، ولم يتم تحديد خطة التعويض المحددة بعد.

الخاتمة

تتكرر حوادث أمان الجسور عبر السلسلة، حتى المشاريع الكبيرة قد لا تسلم. ومع ذلك، فإن المشاريع التي تتمتع بخلفية قوية تكون أكثر قدرة على التعامل مع الأزمات، وغالبًا ما تتمكن من استرداد الأموال أو تقديم تعويضات. يجب على المستخدمين عند اختيار الجسور عبر السلسلة أن يأخذوا بعين الاعتبار المشاريع التي تتمتع بقوة تقنية كبيرة وقدرة على التعامل مع المخاطر، لتقليل خطر الخسائر المحتملة.