مهاجم يفرغ 1.6 مليون دولار من Token of Power (TOP) في استغلال Aragon DAO
- استغل مهاجم ثغرة في حوكمة DAO لصك tokens وسحب 944 WETH (بقيمة 1.58 مليون دولار) من تجمع سيولة على Balancer.
- من خلال التحكم في أكثر من 50% من عرض TOP، كان المهاجم قادراً على تمرير وتنفيذ المقترحات بشكل أحادي الجانب.
- غياب مؤقت زمني (timelock) سمح بإنشاء المقترحات والموافقة عليها وتنفيذها في معاملة واحدة.
استغل مهاجم سوء تكوين الحوكمة في Aragon DAO الخاص بـ Token of Power (TOP).
ووفقًا للتقارير، استخدموا قوة التصويت الأغلبية لصك الرموز وتصريف حوالي 944 WETH، والتي تبلغ قيمتها حوالي 1.58 مليون دولار، من خزانة سيولة Balancer V1 على Ethereum.
أشارت شركات أمان البلوكتشين المختلفة إلى الحادث، معتمدة على المتجه الفعال، والذي أظهر أن إجمالي عرض الرموز في TOP كان 16,384 رمزًا فقط، واحتوى المهاجم على أكثر من نصفها قليلاً.
كيف عمل استغلال رمز TOP؟
TOP هو MiniMeToken يتم حوكمته من خلال بنية Aragon للتصويت. وفقًا لـ تحليل Blockaid، جمع المهاجم 8,192.000001 TOP، وكان هذا أكثر من كافٍ لمساعدته على تجاوز عتبة 50% اللازمة لتمرير مقترحات الحوكمة بشكل أحادي.
ونتيجة لعدم وجود مؤقت زمني (timelock) في تطبيق Aragon Voting على DAO الخاص بـ TOP، تمكن المهاجم من إنشاء اقتراع، والتصويت عليه، وتنفيذه في معاملة واحدة.
BlockSec Phalcon أكد أن الاقتراح الذي تم تمريره صك كمية كبيرة من رموز TOP الجديدة إلى عنوان المهاجم. ثم استخدم المهاجم تلك الرموز المصكوكة حديثًا لتصريف خزانة TOP/WETH Balancer V1 BPool، مستخرجًا 944.2 WETH.
وُجد أن بروتوكول Balancer نفسه لم يكن عرضة للثغرات. كانت الخزانة ببساطة المكان الذي حوّل فيه المهاجم حيازات TOP المنتفخة إلى WETH.
كيف نقل المهاجم الأموال؟
تم تمويل محفظة المهاجم، 0xff8eF7bC455a57e5893232203052Ce0232b39Fa2، من خلال Tornado Cash. تم تنفيذ الاستغلال في معاملة واحدة من خلال عقد مخصص، وفقًا للتحليل على السلسلة من Blockaid.
سيناريو استيلاء على الحوكمة نموذجي
السبب الجذري للاستغلال لم يكن خطأ في العقد الذكي بالمعنى التقليدي. يحتوي رمز TOP على عرض صغير نسبيًا وقيمة سوقية منخفضة، مما جعل الحصول على حصة مسيطرة رخيصًا.
عندما تم الجمع بين ذلك مع تكوين تصويت Aragon، الذي يسمح بإنشاء الاقتراحات والتصويت عليها وتنفيذها في نفس الكتلة، لم يواجه المهاجم أي عائق كبير بين اكتساب الأغلبية وتصريف الأموال.
توثيق Aragon نفسه حول أمان DAO يسلط الضوء على ضوابط الوصول وأهمية تقييد من يمكنه استدعاء الوظائف الحساسة على العقود الذكية.
في نفس التوثيق، ذكرت المنظمة أن الوظائف على السلسلة متاحة للجميع بشكل افتراضي وأن الوصول المصرح به "يجب تقييده للعناوين المصرح لها" عندما يتعلق الأمر بصك الرموز أو تحركات الأموال.
ومع ذلك، لم يفرض تكوين TOP مؤقتًا زمنيًا أو تأخيرًا للكمون الذي كان يمكن أن يمنح حاملي الرموز الآخرين وقتًا للرد.
ما يجب مراقبته
لم يصدر فريق Token of Power أو Aragon أي بيان بشأن الاستغلال حتى وقت النشر.
بينما WETH المسروق لا يزال قابلاً للتتبع على السلسلة، فإن تمويل Tornado Cash لمحفظة المهاجم يعقد آفاق الاسترداد. الحادث تذكير بأن معاملات الحوكمة (المؤقتات الزمنية، عتبات الكمون، تأخيرات الاقتراحات) ليست ميزات أمان اختيارية للرموز ذات العرض المنخفض مع تعرض كبير للخزينة.
لا تكتفِ بقراءة أخبار العملات الرقمية فحسب، بل افهمها. اشترك في نشرتنا الإخبارية. مجانية.
الأسئلة الشائعة
كيف استغل المهاجم Token of Power؟
اشترى المهاجم أكثر من 50% من إجمالي عرض TOP البالغ 16,384 رمزاً، ثم استخدم تطبيق Aragon للتصويت لإنشاء وموافقة وتنفيذ مقترح حوكمة في معاملة واحدة صكت خلالها رموز TOP جديدة إلى عنوانه، والتي تم تبادلها مقابل 944.2 WETH من تجمع Balancer V1.
هل تعرض بروتوكول Balander للاختراق أثناء الهجوم؟
لا. أكدت Blockaid أن بروتوكول Balancer نفسه لم يكن مصدر الثغرة. استخدم المهاجم فقط تجمع TOP/WETH على Balancer V1 BPool كنقطة خروج لتحويل الرموز المصكوكة إلى WETH.
كم سُرق وهل يمكن استرداد الأموال؟
تم سحب حوالي 1.58 مليون دولار بقيمة WETH. عملية الاسترداد معقدة بسبب حقيقة أن محفظة المهاجم ممولّة عبر Tornado Cash، وهو بروتوكول خلط مشمول بالعقوبات.
إخلاء مسؤولية. المعلومات المقدمة ليست نصيحة تداول. Cryptopolitan.com لا تتحمل أي مسؤولية عن أي استثمارات تُجرى بناءً على المعلومات الواردة في هذه الصفحة. نوصي بشدة بإجراء بحث مستقل و/أو الاستعانة بمستشار مؤهل قبل اتخاذ أي قرارات استثمارية.
هانا كولي مور
هانا كاتبة ومحرّرة تمتلك خبرة تمتد لأكثر من عقد في كتابة المدونات وتغطية الفعاليات في مجال العملات الرقمية. في موقع كريبتوبوليتان، تساهم هانا في صفحة الأخبار من خلال تغطية وتحليل أحدث التطورات في مجالات التمويل اللامركزي (DeFi)، والأصول الواقعية (RWA)، وتنظيم العملات الرقمية، والذكاء الاصطناعي، وتقنيات الحدود الجديدة. تخرجت هانا من جامعة أركاديا بدرجة البكالوريوس في إدارة الأعمال.
