تم استغلال عقد Vestra DAO الذكي أقل من شهر بعد إطلاقه

يبدو أن Vestra DAO قد تم اختراقها. لاحظ محللو السلسلة نشاطاً مشبوهًا حيث كانت رموز VSTR، وهي العملة الأصلية ERC-20 للبروتوكول، تُنقل من العقود الذكية المتاحة وترسل فوراً إلى مختلط Tornado. 

تم سرقة ما لا يقل عن 480 ألف دولار من الرموز في وقت التقارير. على الرغم من أن الهجوم الأولي كان صغيراً نسبياً، إلا أن الخطر ظل قائماً للمشاركين الآخرين. لاحظ باحث السلسلة Chaofan Shou الاستغلال لأول مرة، مشيراً إلى جميع المستخدمين بسحب الأذونات. 

Vestra DAO @Vestra_DAO تم اختراقها الآن ولا تزال مستمرة. خسارة 480 ألف دولار بالفعل والمزيد قادم. انسحبي من حصتك واسحبي السيولة فوراً. pic.twitter.com/0b9i1lhrEw

— Chaofan Shou (@Fried_rice) ديسمبر 4، 2024

أثر الاستغلال على عقد حصة رموز VSTR، حيث تم تصفية الأموال فوراً وإرسالها إلى مختلط Tornado. بالنسبة لـ VSTR، يتم قفل أكثر من 65% من الرموز للحوكمة، مع أكثر من 34 مليار رمز.

يحتوي العقد الذكي المتأثر على المتبقي 755M رموز VSTR، مما يشكل 1.51% من المعروض الكلي. على الرغم من الهجوم ضد رمز صغير نسبياً، فإن الانهيار اللاحق في السوق محى قيمة أكبر من المشروع. في الوقت الحالي، قد يكون لدى Vestra DAO ما يكفي من VSTR في احتياطياتها لتعويض المستخدمين، بينما تحاول إصلاح ضرر سمعتها.

انتظر المستغل شهراً قبل استغلال عيب في منطق العقد

باع المستغل بسرعة، مدفوعاً بـ 0.51 ETH لشركة Beaverbuild للإدراج ذو الأولوية في كتلة. عقد حصة Vestra DAO تأثر، مما أدى إلى إرسال رموز VSTR مباشرة. 

لساعات، أرسل المستغل معاملات عشوائية لـ 520 ألف أو 500 ألف VSTR إلى العقد، وفي النهاية تداول ما مجموعه 480 ألف دولار. استغل الهجوم عيباً في منطق العقد، مما سمح للمخترق باستلام 20,000 VSTR بعد كل معاملة. 

أظهر التحليل على السلسلة أن المهاجم قام أولاً بحصة VSTR في العقد قبل 30 يوماً، مختبئاً ودارساً عيب العقد. ثم بدأت سلسلة المعاملات الآلية استخراج VSTR مع كل تكرار للحصة والسحب.

لم تنشط فحوصات البيانات على كل إيداع وسحب أي تحذيرات، مما سمح للمهاجم بتصريف العقد عبر معاملات إيداع وسحب متعددة. تحقق العقد من النضج مرة واحدة فقط، لكن المهاجم أكمل المتطلب بحصة قبل 30 يوماً.

كان نتيجة الاستغلال جني 125 ETH، والتي تم مختلطها عبر Tornado Cash. أنفق المهاجم 40 ألف دولار على رسوم Ethereum لأقصى سرعة ممكنة في المبادلات، ليصبح مؤقتاً أكبر مستخدم للرسوم على السلسلة. 

لم تصدر Vestra DAO تفاصيل الهجوم وزعمت أن أموال المستخدمين ظلت غير متأثرة. ومع ذلك، تم تصريف العقد من رموز VSTR، مما أخذ قيمة واضحة من المشروع. 

تم اختراق رموز VSTR بعد شهر من إطلاق التداول

Vestra DAO مشروع جديد نسبياً، حيث تتداول رموز VSTR منذ 6 نوفمبر. الرمز متاح فقط في زوج تداول Uniswap V3. 

أدار DAO مقترحه الأول في 14 أكتوبر، وكان مرتبطاً بـ البيع 1 مليار رمز من خزينة المشروع. لا يزال رمز VSTR يحتوي فقط على 1,643 حائزين، مما يضيف إلى التأثير المحدود للاختراق. 

انخفض الرمز فوراً بعد الإعلان عن أنه ليس أصلًا رسميًا من باس. بعد الهجوم، من 0.013 دولار إلى 0.005 دولار. لاحقاً، ارتفع VSTR ببطء إلى 0.009 دولار لكنه يظل سيلاً للغاية ومتقلباً. بالإضافة إلى الخسارة المباشرة، محى VSTR أيضاً نصف قيمته السوقية.

في هذه المرحلة، قد يكون VSTR أكثر خطورة من رموز الميم في المراحل المبكرة. أكبر خطر هو أن رموز VSTR لديها فقط 1.9 مليون دولار في السيولة، وهي غير مقفلة ويمكن استغلالها أكثر عبر سحب السيولة المفاجئ (Rug Pull). 

المخاطر الأخرى للمشروع هي أن عقودها تستدعي وظائف من عقود ذكية خارجية، مما يؤدي إلى عام تنبيه على CoinGecko. زعمت Vestra DAO أنها أسقطت عقد الحصة الخاص بها من القائمة البيضاء، لكن من غير المعروف ما إذا كانت هناك ثغرات مماثلة موجودة للعقود الذكية الأخرى. 

حتى بالنسبة للمشاريع المراجعة، قد لا تكون العقود الذكية دائماً آمنة تماماً وقد تحمل إمكانيات للاستغلال. في حالة VestraDAO، قد يتعافى المشروع في مراحله المبكرة ويعزز موثوقيته. 

ناشدت Vestra DAO المجتمع التركي للعملات المشفرة، وهو أحد أكثر المجموعات نشاطاً من المتبنين الأوائل. كان لرمز VSTR حتى سعر تحويل إلى الليرة التركية.