اختراق Bedrock DeFi لسرقة 1.7 مليون دولار من uniBTC عبر استغلال في العقد الذكي

تم تفريغ Bedrock DeFi، وهو بروتوكول DeFi قائم على البيتكوين مع أصل مغلف، بمبلغ 1.7 مليون دولار. حدث سرقة uniBTC بعد يوم واحد فقط من هجوم على Onyx Finance. 

تم استغلال Bedrock DeFi لسرقة 1.7 مليون دولار من uniBTC، حيث تم تفريغ مجموعة إعادة الرهن من خلال استغلال في العقد الذكي. بعد البحث في الهجوم، أغلقت Bedrock العقد الذكي المشكل، متجنباً المزيد من الهجمات. تمكن المخترق من صك uniBTC دون حدود، مما يعرض جميع المجموعات وأزواج التداول ذات الصلة للخطر.

تم اكتشاف الاستغلال في البداية من قبل فريق تحليل Dedaub، الذين حاولوا على الفور الاتصال بمطوري Bedrock. ومع ذلك، بعد أقل من ثلاث ساعات، طبق مهاجم آخر تلك المعرفة وأنشأ uniBTC فائضاً.

أعلنت Bedrock DeFi أن الاستغلال أثر فقط على uniBTC، وهو شكل آخر من أشكال البيتكوين الرمزية. تبقى الاحتياطيات الأساسية آمنة، وقد حل البروتوكول المشكلة. تحتفظ المنصة بأصول تزيد عن 243 مليون دولار مرهونة من شبكات مختلفة، بما في ذلك البيتكوين والإيثريوم. تهدف Bedrock DeFi إلى تقديم إعادة الرهن السائل متعدد السلاسل، حيث يمكن للأصول الخاملة كسب دخل سلبي. 

أصل uniBTC الرمزي هو عقد ERC-20 على سلسلة Ethereum. يتم الاحتفاظ بالبيتكوين المغلف في 3,552 عنواناً ولديه قيمة سوقية إجمالية تبلغ 75.4 مليون دولار. بعد وقت قصير من الاستغلال، شهدت بعض أزواج اللامركزية حركة استثنائية. 

توجد نسخ من uniBTC على ما مجموعه ثماني شبكات، ولديها بعض البروتوكولات مثل Pendle تعرضاً يصل إلى 30 مليون دولار للأصل، متساوياً مع بروتوكول Corn. كان عقد صك uniBTC الضعيف المماثل يخلق تهديدات على Ethereum وBinance وArbitrum وOptimism mainnet وMantle وMode وBOB وZetaChain. حذر باحثو Dedaub Pendle، مما أنقذ معظم القيمة المحتجزة من الاستغلال كسيولة خروج.

أدى اختراق uniBTC إلى بعض العدوى في البورصات اللامركزية. شهدت إحدى مجموعات Uniswap V3 انهيار السعر إلى $17,889.15، بينما تداول زوج آخر بخصم أصغر عند 62,311.48 دولار. انهارت النسخة من Optimism للزوج اللامركزي بنسبة 90% إلى أقل من 18,000 دولار. وصل الأصل حتى إلى أدنى مستوى جديد يبلغ 5,741.48 دولار. يهيمن ضغط البيع، مما يمنع محاولات المراجحة، بسبب السيولة المنخفضة للأزواج. 

قد يكون انهيار سعر التبادل الفعلي قد أضر بالبروتوكول أكثر، مما تسبب أيضاً في ضرر سمعة. بعد ساعات من الاختراق، لم يتعافَ uniBTC من تكافؤه مع WBTC، الذي يشكل معظم أزواج التداول. 

كما هو الحال مع الاستغلال الأخرى، دعت التعليقات المزيفة على وسائل التواصل الاجتماعي إلى استخدام موقع إلغاء الصلاحية. يواجه مستخدمو المحافظ مخاطر إضافية من تلك الروابط الخبيثة، والتي يمكن أن تفريغ الأصول المتبقية. 

المخترق استغل استدعاء Bedrock لعقد uniBTC 

أثر الاستغلال على uniBTC المغلف الرمزي، الذي يدعمه بيتكوين حقيقي وWBTC. زعم باحثون مثل Dedaub أنهم لاحظوا الوظيفة المحتملة لاستغلال Bedrock، لكن الاختراق حدث بعد ساعات من التحذير.

لاحظ Dedaub أن الفاعل الخبيث يمكنه إنشاء لا نهائي من uniBTC والهجوم على الخزانات وأزواج التداول اللامركزية. أثر الهجوم المحتمل على Pendle وCorn، بالإضافة إلى Bedrock DeFi. يمكن للمخترق إيداع مبلغ صغير من ETH وصك uniBTC بسعر صرف مختلف. سيكون الأصل المصاغ حديثاً قابلاً للتحويل بالكامل ويمكن إعادة بيعه للحصول على المزيد من WBTC على Uniswap أو بروتوكولات لامركزية أخرى. 

أشار باحث آخر، Chaofan Shou، إلى أن عقد uniBTC كان عرضة لاستدعاء وظيفة. تم تفريغ المبلغ المعرض للخطر بدقة قبل ساعات من التحليل. 

يمكنك استخدام ItyFuzz لتوليد استغلال كامل الوظائف يسرق ما يصل إلى 1.7 مليون دولار من @Bedrock_DeFi uniBTC.

وكل ما يتطلبه الأمر هو نواة وحدة معالجة مركزية واحدة + 0.5 ثانية. pic.twitter.com/SMMD1MSbvT

— Chaofan Shou (@Fried_rice) سبتمبر 27، 2024

تظل استدعاءات العقود الذكية واحدة من أكبر المخاطر، خاصة بعد تعزيز القيمة المحتجزة في بروتوكولات DeFi. حدث الهجوم ضد Bedrock DeFi بينما كانت القيمة المحتجزة الإجمالية للبروتوكول قريبة من أعلى مستوى لها على الإطلاق عند 243 مليون دولار.

ما أنقذ البروتوكول كان الطبيعة غير الوصائية للرهن، مما سمح للمخترق بسرقة الأصل المغلف والتأثير على مجموعات سيولة البورصات اللامركزية، ولكن ليس الاحتياطيات الأساسية. غالباً ما يستخدم البيتكوين المغلف محافظ باردة وليس من السهل استبداله مرة أخرى بالأصل الأصلي. 

تستخدم Bedrock Babylon Labs وEigen Layer لتحقيق هيكل المكافآت الخاص بها. تقوم هذه البروتوكولات بفك قفل قيمة BTC وETH بأمان، دون تعريض الأصول مباشرة للمخاطر. يمكن أيضاً استخدام uniBTC المصاغ على Pendle وVelodrome لتحقيق عوائد سلبية. 

كانت معظم الهجمات في الأسابيع الماضية ضد DeFi القائم على Ethereum. أثر الهجوم الحالي على أصل مشتق من البيتكوين، رغم أنه لا يزال يستخدم سلسلة Ethereum للجزء الأكبر من تحويلات القيمة.

تقرير من Cryptopolitan بقلم هريستينا فاسيليفا