المخترقون يضربون نسخة Fork من بروتوكول Flooring المسماة Asterisk مع انتشار العدوى

حصل استغلال بروتوكول Flooring في 8 يونيو على تكملة في وقت سابق اليوم عندما أصبح Asterix، وهو نسخة forked من منصة السيولة NFT، ضحية لاستغلال أدى إلى صرف حوالي 40,000 دولار من الأصول. 

أدى خبر الاستغلال إلى تدهور المزاج بعد أن أفاد باحثو القبعات البيضاء بمساعدتهم في استرداد أكثر من 500,000 دولار من NFTs ذات القيمة العالية من نفس ثغرة عقود Flooring التي يبدو أنها استُخدمت للاختراق إلى Asterisk.

انتشرت ثغرة بروتوكول Flooring إلى Asterix عبر الكود forked

كان Phalcon، وهو عضو في شركة أمن البلوكشين BlockSec، من أوائل من لاحظوا أوجه التشابه بين متجه هجوم Asterix والخلل الذي سمح للمهاجمين بصرف صناديق بروتوكول Flooring في 8 يونيو.

قال Phalcon إن هجوم بروتوكول Flooring تم تشغيله فعلياً مرة أخرى على Asterix لأن الأخيرة كانت على ما يبدو forked من DN404/BT404، وهو معيار رموز يدمج ميكانيكيات القابلية للتبادل وغير القابلة للتبادل.

كانت أرقام الخسائر في التقارير الأولية حول حادث Flooring أعلى من 900,000 دولار قبل تدخلات القبعات البيضاء ساعدت في استرداد حوالي $500,000.

أكدت Asterix بالفعل الاختراق في بيان على منصة X، معترفة بأن استغلالاً قد ضرب عقد رمز $ASTX حوالي الساعة 4 صباحاً بتوقيت GMT+8. وقالت الفريق إنها تحقق في الأمر وستنشر تقريراً كاملاً بعد اكتمال التحليل.

كيف حدث استغلال Flooring؟

سمح بروتوكول Flooring، الذي أوقف عملياته العام الماضي، للمستخدمين بإيداع NFTs في صناديق واستلام رموز قابلة للتبادل مقومة بنسبة واحد لواحد مع تلك الأصول المقفلة.

استغل هجوم بروتوكول Flooring الذي بدأ ينتشر منذ ذلك الحين خللاً في نظام المحاسبة على نمط BT404 في المنصة، والذي وصفه نائب رئيس البلوكشين في Yuga Labs بظاهرة "الملكية الشبحية" على X.

ببساطة، يعني ذلك أنه يمكن لشخص ما استخدام معرف رمز خبيث واحد لاجتياز فحص ملكية واحد ولا يزال يعيد استخدامه لإنتاج نتيجة مختلفة في منطق محاسبي آخر، مما يسبب مشكلة رياضية في رصيد الرموز.

في هذه الحالة، أنشأ المهاجم رصيداً شبه لا نهائي من fpTokens، وهي الرموز القابلة للتبادل التي يمكن لأي شخص استخدامها للمطالبة بـ NFTs المقفلة في صناديق Flooring.

Yuga Labs تتصدى بجهد من القبعات البيضاء

بمجرد أن أصبح صرف Flooring علنياً، قال مايكل فيجي، الرئيس التنفيذي لـ Yuga Labs، إن الشركة أطلقت بسرعة إنقاذاً من القبعات البيضاء قبل أن يتمكن مهاجم آخر من الوصول إلى NFTs المعرضة للخطر.

نجحت عملية إنقاذ الرموز غير القابلة للاستبدال (NFTs) في تأمين 68 رمزاً غير قابل للاستبدال، تقدر قيمتها بـ 346 إيثريوم (نحو 570,000 دولار أمريكي في ذلك الوقت)، بما في ذلك 29 رمزاً من Bored Ape Yacht Club، وأربعة من Mutant Apes، واثنين من CryptoPunks، وواحد من Azuki، واثنين من Elementals، و26 من Captains، وواحد من Moonbird، واثنين من Doodles.

Super Secret Rare (SSR)، وهو مشروع اكتشف ثغرة أمانه بعد تعرض Asterisk للهجوم، حذرت المستخدمين عدم التفاعل مع الصندوق طالما أن الحالة لم تُحل.

أكدت شركة FreeLunchCapital، المطور وراء العقود المتأثرة في Flooring، أن الاستغلال أصاب أيضاً BitmapPunks، الذي اعتمد على تصميم عقد مشابه. اعتمد كلا المشروعين على رموز قابلة للاستبدال مرتبطة بنسبة واحد لواحد برموز NFT مغلقة، مما جعلها عرضة لنفس مسار الهجوم.

استغلال تلو الآخر

تضيف حادثا Flooring وAsterix إلى سلسلة سيئة من إخفاقات الأمن التي تجتاح الويب 3. وكما لاحظ Cryptopolitan في تقارير سابقة، تحولت الخسائر بالدولار الفلكية في أبريل إلى عدد أعلى من الحوادث الفردية في مايو، حيث بلغت 60 حادثاً أمنياً مؤكدة بإجمالي خسائر قدره 68.3 مليون دولار وفقاً لـ Certik. نسبت PeckShield خسائر بقيمة 340.7 مليون دولار إلى 14 اختراقاً للجسور والتشغيل المتقاطع عبر السلاسل اعتباراً من 1 يونيو.

تقدم البروتوكولات المشتقة (Forked) أنواعاً خاصة من التحديات. عندما تقوم المشاريع الفرعية بنسخ الكود دون تدقيقه، يمكن تكرار ثغرة أمنية واحدة في الكود الأساسي عبر مستويات متعددة، تماماً كما حدث في حالة Flooring وAsterix الآن.

أعلنت يوجا لابس أن الرموز غير القابلة للاستبدال (NFTs) المنقذة ستُعاد بمجرد أن يكمل مطورو بروتوكول Flooring تحديث التصحيح. وحذر المستخدمون 0xQuit من إيداع رموز NFT جديدة في Flooring بينما لا يزال الثغرة مفتوحة. وبالنسبة لحاملي Asterix، فإن الخسارة البالغة 40,000 دولار أقل حجماً، لكن الفريق لم يكشف بعد عما إذا كان أي تعويض ممكناً.