تحديث الحادثة

#GUA شارك في شبكته الرسمية X الاكتشافات الرئيسية والجوهرية من أول 24 ساعة من البحث. (البحث مستمر). سيتم إجراء تحليل ما بعد الوفاة كامل بمجرد الانتهاء من هذه المراحل. الاكتشافات المفصلة أدناه هي التي يمكننا مشاركتها بشكل مسؤول في الوقت الحالي.

نحن مدركون أيضًا للشائعات والمعلومات المضللة التي يتم تداولها ونعتزم التعامل معها مباشرةً بالأدلة التي نقدمها في اكتشافاتنا. أولاً، ليس هناك هجوم داخلي ولا أي مشاركة من أي فريق؛ الإيحاءات بأن الفريق يقوم ببيع التوكنات في السر أو شيء من هذا القبيل هي كاذبة تمامًا ويمكن إثبات عكسها تجريبيًا. ثانيًا، وبما يتعلق بما سبق، لم يكن لدينا أي علاقة مع Web3Port. كلا الشائعتين مختلقتان تمامًا.

✅ تفاصيل مؤكدة:

1️⃣ لم يتمثّل الهجوم في التلاعب بعناوين تدفق عملنا الخاص ببناء المعاملات. تم تأكيد تقييمنا السابق بأن التلاعب بالعناوين غير مرجّح من خلال اختبارات جنائية مباشرة. قام عضو في الفريق اقترح معاملة متعددة التوقيع (الموقّع 1) بتوقيع عنوان المستلم الصحيح، 0x70ae7D3DECfB4C3aE996fb1c07092566F73D5c15، عند الساعة 03:17 UTC من 27 مايو، أثناء مكالمة التحقق الداخلية. يتم الاحتفاظ بحمولة البيانات الموقّعة كاملة في سجلات الجهاز المحلي، مع العنوان والمبلغ الصحيحين.

2️⃣ تمثّل الهجوم في اختراق المفتاح الخاص لجهة التوقيع المذكورة. تم إرسال توقيع صالح مستقل —لـمعاملة مختلفة أخرى باستخدام عنوان المهاجم، 0x70AE678b457C5E1b3fD7AD9537F234dFc1795C15، باعتباره المستلم— إلى خدمة المعاملات الآمنة عند الساعة 04:00 UTC، بعد 43 دقيقة. هذا التوقيع الثاني صالح تشفيريًا لنفس المحفظة، لكنه لا يظهر في سجلات الجهاز المحلي الخاص بالـموقّع 1. يشرح ذلك أن المهاجم كان يمتلك المفتاح الخاص بشكل مستقل، وقام بتوقيع المعاملة المستبدلة من خارج بنية الموقّع 1.

راجع الموقّعون الآخرون المعاملة الموجودة في قائمة الانتظار عبر واجهة Safe. تم إنشاء عنوان المهاجم خصيصًا ليشارك نفس الأربعة أحرف السداسية الأولى والربعة أحرف السداسية الأخيرة مع المستلم الصحيح: يبدأ الاثنان بـ 0x70AE وينتهيان بـ 5C15. تُستخدم هذه الأنماط من العناوين الزائفة حتى تبدو كالعنوان الصحيح في المعاينة داخل واجهة مستخدم Safe. يتطلب إنشاء هذه العناوين الزائفة وقتًا وموارد، ويتضمن ذلك تَعمّدًا وتخطيطًا مسبقًا من قِبل المهاجم (مزيد من التفاصيل في النقطة 4). بعد تأكيد المعاينة، قام الموقّعون الآخرون بتوقيع المعاملة. حدث التنفيذ على السلسلة عند الساعة 17:59:24 UTC.

3️⃣ يتم تتبّع الأموال بالكامل وهي مودعة حاليًا في Ethereum. بعد مرور حوالي أربع ساعات على التنفيذ، قام المهاجم بتسييل الرموز GUA المسروقة على PancakeSwap، ونقل الأرباح إلى محفظة تشغيلية (0xb292a7016c0008e786edca46459ccee063673afb)، وحوّل القيمة إلى Ethereum عبر بروتوكولات بين السلاسل، ثم وحّد ما يقارب 2783,99 ETH في ثلاث محافظ تخزين بارد لا تزال تحتفظ بالأموال دون أي مخارج:

- 0x111b78A86C16dBD4261FCb5C7D3A9dAF25E2b589

- 0x7b8f28Ff2E1D4DF2D8ddD1daBaFf8c3E58FE841C

- 0xfa4cb6add9da4a4b714541b98fd4b2e3da86b7c8

- محفظة منفصلة تم تحويل ما يقارب 170.121 USDT.

4️⃣ يستخدم المهاجم بنية تحتية كبيرة وقابلة لإعادة الاستخدام. يتم إحاطة عنوان مركز التشغيل وثلاثة عناوين تخزين بارد لـEthereum بعناوين زائفة، تم إنشاؤها بالقوة الغاشمة، يقوم المهاجم بحقنها باستخدام أحداث تحويل زائفة مع رموز رموز زائفة عبر Unicode (ETH, EṬH, ĖTḨ). أنشأت التقنية نفسها لعناوين زائفة العنوان الذي تم استخدامه ضد مشروعنا. إن حجم هذه البنية والتحضير المسبق لها يشيران إلى عملية مُنَسَّقة صناعياً، وليس هجومًا عارضًا وانتهازيًا.

سنواصل نشر التحديثات المهمة مع تقدّم التحقيق، مع حماية المعلومات التي قد تعرض تدفقات العمل النشطة للخطر. نواصل التعاون عن كثب مع السلطات وخبراء أمن المعلومات وخدمات التتبّع. نتقدم بالشكر على صبر المجتمع.