أكبر عمليات الاستغلال في DeFi في Web3: كيفية منع اختراقات أمنية مماثلة

تقدم بروتوكولات التمويل اللامركزي (DeFi) خدمات مالية لامركزية للمستخدمين، مما يسمح لهم بإجراء المعاملات والدخول في اتفاقيات مع المشاركين الآخرين. بينما تهدف بروتوكولات DeFi إلى توفير منصة آمنة وموثوقة لمستخدميها، فقد تسببت عدة عمليات استغلال خلال السنوات القليلة الماضية في خسائر كبيرة في الأموال. سيقوم هذا المقال بمناقشة بعض أكبر عمليات استغلال DeFi التي حدثت مؤخرًا.

إليك أكبر 8 عمليات استغلال للعملات المشفرة في DeFi في Web3 بعد خصم الأموال المستردة:

سلسلة Ronin – 600 مليون دولار

كان شهر مارس 2023 شهرًا حافلًا لفضاء العملات المشفرة، حيث تصدرت عملية اختراق جسر Axie Infinity Ronin القائمة بمبلغ 612 مليون دولار.

جسر Ronin هو سلسلة جانبية من Ethereum تُستخدم في لعبة Play-to-Earn الشهيرة Axie Infinity.

تمكنت مجموعة الجرائم الإلكترونية Lazarus، المشتبه في ارتباطها بكوريا الشمالية، من الوصول إلى المفاتيح الخاصة لتسعة من validators المعاملات، مما مكنهم من الموافقة على معاملتين كبيرتين ونقل الأموال من عنوان محفظتهم. لحسن الحظ، ساعد التعاون بين السلطات وشركات الأمن ومنصات العملات المشفرة في تتبع بعض هذه الأموال بعد أن نقلها اللصوص إلى Tornado cash - مقلب عملات مشفرة مفتوح المصدر - ومنصات أخرى.

جسر Wormhole – 323 مليون دولار

في فبراير 2022، حدث حادث مؤسف حيث استغل القراصنة ثغرة في كود wormhole لسرقة عملات مشفرة بقيمة 326 مليون دولار.

Wormhole هو جسر رموز بين Solana و Ethereum، والذي فشل في منع الهجوم بشكل مؤسف. تم ذلك بفضل وظيفة غير آمنة منتهية الصلاحية/غير نشطة تجاوزت التحقق من التوقيع وتمكن من سلسلة تفويضات التوقيعات.

يقترح خبراء الأمن السيبراني أن المطورين كانوا يمكن أن يمنعوا الهجوم إذا كانوا قد مارسوا 'ممارسات البرمجة الآمنة' حيث يجب عليهم التحقق من جميع المعلمات. كان من الممكن أن يضمن التحقق مصادقة العناوين الصالحة وبالتالي يستبعد المصادر غير المشروعة من الوصول إلى الأصول على السلسلة.

Beanstalk – 181 مليون دولار

في عطلة نهاية الأسبوع المصيرية في أبريل 2022، أطلق قراصنة هجومًا هز مجتمع العملات المشفرة. باستخدام قرض فلاش - ميزة من بروتوكولات التمويل اللامركزي (DeFi) - تمكنوا من سرقة 182 مليون دولار من ETH وعملة BEAN المستقرة وأصول أخرى من بروتوكول Beanstalk المستقر.

قدم القراصنة اقتراحين خبيثين إلى DAO Beanstalk عبر وظيفة الالتزام الطارئة الخاصة به، والتي تتطلب تصويت ⅔ قبل التنفيذ بعد 24 ساعة. استخدم المهاجم تقنية القرض الفلاش للسيطرة على 79% من الرموز لتمرير كلا الاقتراحين وتنفيذ خطتهم بنجاح.

أرسلت الأموال من داخل البروتوكول لسداد القرض الفلاش، مع تذهب الباقي إلى عنوان مرتبط بصندوق طوارئ في أوكرانيا. الإجمالي، تم أخذ ما يصل إلى 76 مليون دولار من قبل الشخص المسؤول عن هذا العمل الشجاع.

Nomad – 155 مليون دولار

أثارت عملية اختراق جسر Nomad الغامضة عناوين الصحف عندما حدثت في 1 أغسطس 2022. صدمت العديد من عشاق البلوك تشين حيث استغل المهاجمون ثغرة لتصريف أكثر من 190 مليون دولار من الأصول القائمة على Ethereum المخزنة في الجسر العابر متعدد السلاسل.

تحرك اللصوص بسرعة وحماس، مع مشاركة مئات المحافظ في 960 معاملة نتج عنها 1,175 انسحابًا فرديًا من القيمة الإجملة المقفلة للجسر (TVL). كل ذلك خلال ساعات.

كان جانبًا محيرًا من هذا الاختراق هو أن كل ما على المستخدمين فعله لسرقة أموال الجسر هو نسخ ولصق بيانات استدعاء المعاملة الخاصة بالقراصنة الأصليين، واستبدال العنوان الأصلي بعنوان شخصي، وستكتمل المعاملة.

أرسل الاختراق موجات صدمة في مجتمع التمويل اللامركزي (DeFi)، مما أثبت أن القراصنة يبقون خطوة واحدة أمام عندما يستغلون ثغرات في الكود. يوفر جسر Nomad مثالًا توضيحيًا يوضح أهمية ممارسات البرمجة الآمنة ويعزز لماذا يظل الأمن تحديًا مستمرًا لمشاريع البلوك تشين اليوم.

CREAM Finance – 130.8 مليون دولار

على الرغم من أن الهجوم على CREAM في أكتوبر 2021 كان واحدًا من أكبر عمليات سرقة القروض الفلاش، إلا أنه لم يكن بالتأكيد حادثًا معزولًا. تتضمن هجمات القرض الفلاش استخدام 'قرض فلاش' من السيولة، والاقتراض، والتخلف عن سداد هذا التمويل السريع، كل ذلك في معاملة واحدة.

باستغلال أخطاء حساب السعر، يمكن للقراصنة تحقيق أرباح سريعة من اقتراضاتهم. على سبيل المثال، في حالة CREAM، تفاعل عنوانان مختلفان مع yUSDVault الخاص به لصك عدد كبير من رموز crYUSD. استغلوا ثغرة ستضاعف قيمة هذه الأسهم. على الرغم من أنهم نجحوا في تأمين 130 مليون دولار من الأموال، إلا أن الضمانات المتاحة البالغة حوالي 1 مليار دولار يمكن أن تأخذ أكثر من هذا المبلغ بكثير. 

هجمات القرض الفلاش تصبح أكثر انتشارًا، ويجب على المجتمع طرح أسئلة حول كيفية منع المزيد من الاختراقات الأمنية في المستقبل.

مركز رموز BSC – 127 مليون دولار

في أكتوبر 2022، استغل القراصنة ثغرة حرجة في كود جسر BSC Beacon العابر وسرقوا أصولًا مشفرة بقيمة إجمالية تبلغ 570 مليون دولار.

سلسلة BSc Beacon، المعروفة أيضًا باسم Token Hub، هي جسر بين السلاسل يربط بين BNB Beacon Chain (BEP2) و BNB Chain (BEP20/BSC).

زيف القراصنة البراهين المشفرة المسماة إثباتات Merkle المقصودة لتأكيد صحة البيانات مثل المعاملات. بدورهم، استخدموا هذه الإثباتات الكاذبة لنقل الأموال من جسر BSC Beacon العابر إلى سلاسل أخرى.

بمجرد أن قامت Tether بحظر عنوان المهاجمين، تلى ذلك إجراء سريع بنقل أكثر من 7 ملايين دولار من سلسلة BNB المجمدة، مما صادر معظم أموالهم غير المشروعة.

Harmony Horizon – 100 مليون دولار

في يونيو 2022، تم اختراق مشروع Harmony Horizon Bridge عندما سرق القراصلة اثنين من المفاتيح الخاصة للـ validators الخمسة، مما مكن المحتالين من نقل عملات بقيمة 100 مليون دولار.

كانت هذه المشكلة الأمنية بسبب طريقة إعداد الجسر، مع مخطط تحقق 2 من 5. ونتيجة لذلك، احتاج المهاجم فقط إلى موافقتين لأي معاملة خبيثة ليتم التحقق منها. لتغطية آثارهم، استخدم المهاجمون Tornado Cash لغسل بعض أرباحهم غير المشروعة. 

على الرغم من أن هذا الإعداد قد يبدو آمنًا في البداية، إلا أنه أثبت أنه هدف مربح للجهات الفاعلة السيئة ودروس مكلفة في سلامة البلوك تشين لأولئك الذين وقعوا فيه.

راري - 91 دولار أمريكي

هجمات إعادة الدخول موجودة منذ الأيام الأولى لإيثريوم. لقد استغلت ثغرات العقود لسحب الأموال بشكل متكرر قبل الموافقة على المعاملة الأصلية أو رفضها.

في مايو 2022، تم اختراق منصتين للتمويل اللامركزي بهذه الطريقة، حيث سرق القراصنة 90 مليون دولار. قال جاك لونغارزو من راري كابيتال إن المهاجم استغل الشركة، وعرض بروتوكول فيي، الذي اندمج مع راري كابيتال، مكافأة قدرها 10 ملايين دولار للمهاجم.

شرحت شركة أمن البلوك تشين BlockSec أن القراصنة استخدموا ثغرة إعادة الدخول. 

يمكن للمطورين منع هذه الأنواع من الهجمات من خلال اختبار ومراجعة العقود بشكل صحيح قبل نشرها على شبكة إيثريوم.

كيفية حماية نفسك من استغلال التمويل اللامركزي

أصبحت بروتوكولات التمويل اللامركزي أكثر شعبية وتعقيدًا، مما يجعلها أهدافًا جذابة للقراصنة. فيما يلي سبع نصائح لمساعدتك في حماية نفسك من استغلال التمويل اللامركزي:

1. قم بإجراء العناية الواجبة الشاملة على أي مشروع قبل الاستثمار. تحقق من كود المنصة وموقعها الإلكتروني وأعضاء الفريق وقنوات التواصل الاجتماعي بحثًا عن علامات تحذيرية.
2. تأكد من قيام مصدر موثوق بمراجعة العقود التي تتفاعل معها وأن نتائج المراجعة متاحة للجمهور.
3. لا تخزن مبالغ كبيرة من الأموال في عقد تمويل لامركزي واحد، مما يجعله أكثر عرضة للهجوم.
4. ابقَ على اطلاع بآخر أخبار الأمان للتعرف على الاستغلالات الجديدة.
5. نفذ إجراءات مصادقة وصلاحيات مناسبة لجميع الحسابات التي تتفاعل مع بروتوكولات التمويل اللامركزي.
6. تأكد من أن محفظتك آمنة، واستخدم المصادقة الثنائية كلما أمكن ذلك.
7. راقب أموالك ومعاملاتك بانتظام على البلوك تشين للكشف عن أي نشاط مشبوه أو سحب غير مصرح به.

يمكن أن تساعدك هذه النصائح في حماية نفسك من استغلال التمويل اللامركزي وضمان سلامة أموالك عند التفاعل مع بروتوكولات التمويل اللامركزي. ومع ذلك، من المهم أيضًا أن تتذكر أن لا نظام مثالي، لذا فمن الأفضل دائمًا اتخاذ احتياطات إضافية عند التعامل مع الأصول الرقمية.

الخلاصة

بشكل عام، يُعد الأمان أحد أهم الاعتبارات عند التعامل مع العملات الرقمية وبروتوكولات التمويل اللامركزي. وللأسف، مع استمرار نمو الصناعة، تزداد مخاطر النشاط الخبيث. وعلى الرغم من استحالة ضمان السلامة التامة، فإن اتباع هذه النصائح يمكن أن يساعدك في حماية نفسك من استغلال التمويل اللامركزي والحفاظ على أموالك آمنة. 

من خلال البقاء على اطلاع بأحدث التطورات في أمن البلوك تشين وضمان وجود إجراءات مصادقة مناسبة لجميع الحسابات، يمكنك المساعدة في ضمان بقاء أصولك الرقمية آمنة.