قد يكون المهاجمون قد استغلوا عطلاً في محفظةArgent لسرقة أموال المستخدمين

كان من الممكن أن يمكّن عطل في محفظةArgent المهاجمين من سرقة أموال المستخدمين الذين لا يمتلكون حراساً.

وفقاً لتقرير من باحثين في OpenZeppelin، كان من الممكن أن يسمح العطل للمهاجمين بالسيطرة على محافظ Argent، خاصة تلك التي لم تنشط أي ميزات الحارس.

استغلال عطل في محفظةArgent

تتيح ميزة الحارس للمستخدمين التحكم في إجراءات معينة للمحفظة مثل استعادة المحفظة وقفلها. لإنشاء حساب على المنصة، يحتاج المستخدمون إلى إعداد حراس. ومع ذلك، يمكن إنشاء الحسابات قبل 30 مارس 2020 دون حارس.

استغل المهاجمون عطلاً في كود Argent وشغلوا عملية استعادة على الحسابات التي لم تضبط حارساً. ومع ذلك، يمكن للمستخدمين حماية أموالهم من خلال مراقبة محافظهم بانتظام وإلغاء طلب الاستعادة خلال 36 ساعة من إصداره.

هذه فترة استعادة افتراضية يمكن استخدامها الآن لحماية أموال المستخدمين. ومع ذلك، إذا منع المستخدم محاولة الاستعادة، يترك العطل في المحفظة المستخدم عرضة لهجوم حجب الخدمة الذي قد يجمد أموالهم لفترة غير محددة من الزمن.

يمكن القيام بذلك عن طريق طلب استعادة المحفظة بشكل متكرر بحيث تظل الحساب في فترة الاستعادة ولن يتمكن المستخدم من الوصول إلى الأموال.

الحل

أفادت فريق Argent أنهم سيستخدمون إصلاح OpenZeppelin الذي سيمنع المهاجمين من تشغيل استعادة المحفظة. نظراً للكثير من المحافظ التي لا تحتوي على حراس، اقترحت الشركة إضافة وظيفة تضمن أنه إذا كانت المحفظة تحتوي على صفر حراس، فلن يتم إرجاع الطلب.

كشفت Argent أنها كانت تتواصل بالفعل مع المستخدمين المتضررين لإعداد حارس واحد على الأقل لـ محفظتهم.