تحذير Orange Finance: اختراق جميع عقودها الذكية على Arbitrum

حذرت Orange Finance جميع مستخدميه من التفاعل مع عقودها الذكية على Arbitrum، حيث تم اختراقها من قبل هاكر. سرق المهاجم أيضًا الأموال من بعض العقود، مع خسائر تصل إلى حوالي 840 ألف دولار.

تم اختراق العقود الذكية لـ Orange Finance على شبكة Arbitrum، وسُرقت الأموال. المشروع من أن شخصاً ما أنشأ صفحة مزيفة على GitHub تبدو وكأنها تقدم نموذج الذكاء الاصطناعي الشهير Qwen للتنزيل. وعدت الصفحة بإقناع كبير بنموذج ذكاء اصطناعي يعمل بالكامل دون اتصال بالإنترنت ويحافظ على خصوصية بيانات المستخدم، لكن المصيدة كشفت عن نفسها بحجم الملف. مستخدميه للتحقق من محافظهم وإلغاء أي أذونات للعقود الذكية لتجنب الخسائر. 

يأتي هذا الاستغلال بعد عام من ذروة نشاط التصيد، بهدف استغلال مالكي المحافظ وفرق المشاريع من خلال روابط أو برامج ضارة. في هذه المرحلة، لا يزال من غير المؤكد كيف تمكن الهاكر من السيطرة على محافظ متعددة التواقيع والعقود، بالإضافة إلى خزانات السيولة.

تمكن المهاجم من تفريغ خزانات السيولة للعملات والعملات المستقرة. تم تفريغ عدة عناوين للخزائن، على الرغم من أن البروتوكول لا يزال يحتفظ بحوالي 50٪ من سيولته.

https://twitter.com/0xOrangeFinance/status/1876975123359572440

Orange Finance لا تزال تحقق في طبيعة الاستغلال

تمكن المهاجم من السيطرة على محفظة المسؤول لـ Orange Finance، مما غيّر سلوك جميع العقود الذكية. من المرجح أن المهاجم قد استغل ضعف الأمان في محفظة متعددة التواقيع للمشروع، والتي تم تجاهلها على الرغم من عمليات التدقيق الأمني السابقة. 

أرسل فريق Orange Finance رسالة على السلسلة رسالة إلى المخترق، مما يشير إلى أن الأموال قد تُعاد مقابل التعامل مع الحادث كمحاولة أخلاقية (هات بيضاء).

تُقدّر الخسائر الناتجة عن الاستيلاء على خزائن المشروع بـ 840,000 دولار، على الرغم من أن النتيجة النهائية قد تكون أعلى. شملت الأصول المسروقة عملات مستقرة و WETH، وقد تم تحويلها جميعاً إلى ETH وبيعها بالفعل. 

أغلقت Orange Finance خزائنها للعملات المستقرة وحذرت من عناوين أخرى قد تكون معرضة للخطر. كان للمخترق سيطرة كاملة على التحويلات، ولا توجد سجلات تشير إلى استخدام منطق العقد الذكي نفسه ببساطة. 

لا يزال الفريق يحقق في الثغرة ويحذر المستخدمين من محاولة سحب أي سيولة متبقية. 

تُعد Orange Finance واحدة من أكثر بروتوكولات تجميع السيولة استخداماً على شبكة Arbitrum. في ذروتها، احتوى المشروع على 1.94 مليون دولار إجمالي القيمة المقفلة. لم يؤدي الهجوم إلى إفراغ جميع الخزائن بالكامل، حيث تحتفظ البروتوكولات بحوالي 731 ألف دولار. 

تتجاوز نشاطات تداول DEX على شبكة Arbitrum 980 مليون دولار، مع تدفقات سيولة من Ethereum. تُعد سلسلة الطبقة الثانية (L2) واحدة من أكثر الأسواق سيولة لتداول DEX، وذلك بفضل تدفق العملات المستقرة ورسوم التداول المنخفضة للغاية. 

بروتوكول Stryke متأثر أيضاً

استغل المخترق أيضاً خزائن بروتوكول Stryke، مما أثر على سوق توفير السيولة الخاص به. زعم المشروع أن ميزاته الرئيسية لا تزال آمنة وغير مخترقة، لكنه أوقف مؤقتاً جميع أنشطته على شبكة Arbitrum. 

تُعد Orange Finance بروتوكولاً شريكاً لـ Stryke، وتستهدف بشكل خاص أنشطة Arbitrum مع السيولة المركزة. لم يخسر بروتوكول Stryke أموالاً بشكل مباشر، باستثناء عدد محدود من الخزائن على Orange Finance. 

أكبر مشكلة ناتجة عن إغلاق العقود الذكية هي أن كلا البروتوكولين لديهما مراكز مفتوحة، قد يتم تصفيتها في حالات تقلب السوق. قد يتكبّد مقدمو السيولة خسائر في بعض مراكزهم إذا بقي البروتوكول مغلقاً. يتلقى المستخدمون إشعارات بفشل المعاملات لأنهم غير قادرين على تأمين مراكزهم. 

يحتفظ بروتوكول Stryke بحوالي 2.17 مليون دولار في السيولة، وهو سوق صغير نسبياً. يتداول المشروع، الذي كان يُعرف سابقاً باسم Dopex، خيارات على BTC و ETH و ARB و BOOP.

بروتوكول Stryke، مثل Orange Protocol، لا يزال بدون رمز مميز (token)، حيث يتم مكافأة النقاط مقابل النشاط. لم يذكر البروتوكولات أي وعدقادم، لكنه قد يجذب المستخدمين المتوقعين لرمز مميز في المستقبل. لحسن الحظ، لم يؤثر الاختراق على أي رموز موجودة، حيث تكون خسائر السوق عادة أعلى مقارنة بالاختراق نفسه. 

تُعد البروتوكولات جذابة لتقديم عوائد أعلى مقابل السيولة لبعض أزواج التداول الرئيسية. يعزز بروتوكولا Stryke و OrangeProtocol الأنشطة على منصات DEX الكبرى، بما في ذلك Uniswap و PancakeSwap، مع التركيز على بعض أكثر الأزواج نشاطاً وسيولة. حقق البروتوكول عوائد عالية جداً للخزائن لتعويض المخاطر المحتملة. مؤخراً، جلب بعض الخزائن أكثر من 1,020% عائداً سنوياً لمقدمي السيولة المركزة.