هاكرز الذكاء الاصطناعي وعقود DeFi الذكية يهيئون مواجهة مع تصاعد الخسائر

تفاقمت سلسلة الهجمات على الشبكة الرئيسية لإيثريوم والتي أسفرت عن خسائر تتجاوز 1.5 مليون دولار بفضل أبحاث جديدة تظهر أن وكلاء الذكاء الاصطناعي (AI) يمكنهم الآن اكتشاف واستغلال الثغرات في بروتوكولات التمويل اللامركزي بشكل مستقل.

أفادت شركة الأمان GoPlus Security بأن أربعة عقود منفصلة تم استغلالها في غضون 48 ساعة فقط انتهت في 29 أبريل. وحذرت الشركة من أن الهاكرز المسلحين بالذكاء الاصطناعي أصبحوا أكثر دقة وسرعة من أي وقت مضى.

ولا يوجد لدى مطوري العقود الذكية في DeFi مكان يلجؤون إليه سوى الذكاء الاصطناعي لمعالجة المشاكل التي بدأها الذكاء الاصطناعي نفسه.

هل يمكن للذكاء الاصطناعي اختراق DeFi بمفرده؟

a1616z crypto اختبر وكيل برمجة ذكاء اصطناعي جاهزاً ضد 20 حادثاً سابقاً للتلاعب بالأسعار على إيثريوم ووجد أنه عندما يُعطى عنوان العقد والأدوات الأساسية فقط، نجح الذكاء الاصطناعي في استغلال الثغرة بنسبة 10٪ فقط من الوقت. 

ومع ذلك، عندما منح الباحثون الوكيل وصولاً إلى معرفة منظمة حول أنماط الهجمات الشائعة مثل استغلال تبرعات الخزائن والتلاعب بمجمعات صناعي السوق الآلي (AMM)، قفزت نسبة النجاح إلى 70٪.

لاحظ الباحثون أنه بينما يتفوق الذكاء الاصطناعي في العثور على الأخطاء، فإنه يواجه أحياناً صعوبة في الهجمات المعقدة متعددة الخطوات. حاول أحد الوكلاء حتى "الهروب" من بيئة الاختبار الخاصة به عن طريق استخراج مفتاح سري للنظر في بيانات الكتل المستقبلية.

أعلنت Anthropic مؤخراً . نموذج ذكاء اصطناعي جديد يُدعى "Claude Mythos Preview". وذكرت الشركة أن هذا النموذج يمكنه العثور بشكل مستقل وكتابة استغلاالات تعمل بنجاح للثغرات الأمنية من يوم الصفر عبر أنظمة التشغيل الرئيسية والمتصفحات. 

قبل Mythos Preview, كانت النماذج الأقدم لديها "معدل نجاح يقترب من 0٪" في كتابة الاستغلاالات. وأكدت الشركة أيضاً أن التحسينات نفسها التي تجعل النموذج جيداً في تصحيح الثغرات تجعله جيداً أيضاً في استغلالها. 

عند منح الوكيل وصولاً إلى واجهة برمجة التطبيقات (API) لـ Etherscan، وجد الوكيل معاملات هجوم سابقة حقيقية وعكس هندستها لكتابة كود الاستغلال الخاص به. 

كم بلغت الخسائر في اختراق ZetaChain؟

GoPlus Security صنفت أربعة استغلاالات منفصلة للعقود الذكية على الشبكة الرئيسية لإيثريوم ضمن نافذة زمنية مدتها 48 ساعة انتهت في 29 أبريل. تجاوزت الخسائر الإجمالية 1.5 مليون دولار. وصفت الشركة وتيرة الهجمات المدعومة بالذكاء الاصطناعي الحالية بأنها "عصر العد التنازلي بالثانية". 

في واحدة من أكبر الحوادث في الأسبوع، تم سحب ما يقارب 333,868 دولاراً عبر تسع معاملات على أربع سلاسل، بما في ذلك إيثريوم وArbitrum وBase وBSC. التقرير التحليلي الرسمي لـ ZetaChain يذكر أنه لم تفقد أي أموال المستخدمين؛ حيث تنتمي المحافظ الثلاث المتأثرة إلى فريق ZetaChain. 

استغل المهاجم ميزة في عقد GatewayEVM باستخدام "المكالمات التعسفية". لم يكن لدى البوابة قائمة حظر صارمة، مما سمح للمهاجم بتوجيهها لنقل سميات الرموز التي تم تعيينها بواسطة محافظ الفريق.

مول المهاجم المحافظات من خلال Tornado Cash قبل ثلاثة أيام من الهجوم بينما كان يحاكي محفظة الضحية. 

ZetaChain أقرت بأن الثغرة قد تم الإبلاغ عنها سابقاً من خلال برنامج مكافآت الثغرات الخاصة بها، لكن التقارير الأولية تم تجاهلها. وقد علقت البروتوكول المعاملات عبر السلاسل منذ ذلك الحين ويبدأ في نشر تصحيح لإيقاف الكود الخطير. 

تشمل الاستغلاالات الأخرى لإيثريوم التي حددتها GoPlus Security خلال الـ 48 ساعة الماضية عقد مجمع على السلسلة خسر حوالي 983,000 دولار بسبب نقص ضوابط الوصول؛ وخزان طرف ثالث غير مصرح به مرتبط بـ TradingProtocol خسر حوالي 398,000 دولار أيضاً بسبب نقص فحوصات الأذونات؛ وعقد BCB خسر حوالي 39,800 دولار من ثغرة إعادة الدخول؛ وعقد أصل QNT خسر حوالي 124,900 دولار من ثغرة المكالمة التعسفية. 

تبلغ كريبتوبولتان أن خسائر DeFi في أبريل وحدها بلغت مستويات قياسية، متجاوزة الإحصائيات المجمعة للأشهر الثلاثة الأولى من العام.

مع تصاعد الخسائر في الحالات الأخيرة، فإنها تهيئ مواجهة ملحمية حيث يقاتل الهاكرز والمطورون الذكاء الاصطناعي بالذكاء الاصطناعي. ومع دخول Mythos من Anthropic وغيرها الآن إلى النقاش، يبدو أن الذكاء الاصطناعي يزود الهاكرز بالسلاح ولن يكون لدى المطورين أي خيار سوى استخدام الذكاء الاصطناعي للدفاع عن أنفسهم