في اللحظة التي تستورد فيها المفتاح الخاص إلى روبوت تداول، تفقد السيطرة على تلك المحفظة.
صباح 26 أكتوبر (بتوقيت UTC+8)، تعرّض مستخدمو Bloom، وهو روبوت قنص على تيليغرام يعمل على Solana، لسرقة جماعية: أكدت الشركة أن 9 مستخدمين و49 محفظة تأثروا، وأن نحو 9,400 SOL (ما يقارب 950 ألف دولار) نُقلت خلال دقائق إلى العنوان نفسه. وُقّعت كل عملية تحويل باستخدام المفتاح الخاص للمستخدم نفسه، بينما لم تُمسّ عملات USDC في بعض المحافظ. قالت Bloom إن السبب الجذري لم يتأكد بعد، وإنها تحقق في احتمالات تشمل اختراق مزوّد خدمة خارجي، وتعهدت بتعويض كامل المتضررين، ونصحت المستخدمين بنقل أموالهم المتبقية إلى محافظ بمفاتيح خاصة جديدة.
من منظور هندسي:
· يحتاج روبوت القنص إلى تنفيذ الأوامر في أجزاء من الثانية، لذا لا يمكنه انتظار توقيعك اليدوي على كل عملية. وهذا يعني أن المفتاح الخاص الذي تستورده يجب أن يُحفظ على خوادمه بصيغة تتيح له فك تشفيره؛
· عندها يصبح هو الجهة التي تحتفظ بأموالك، وأي مشكلة في خوادمه أو عملياته أو خدمات الجهات الخارجية التي يعتمد عليها تعني أن مفتاحك الخاص يصبح مكشوفًا؛
· حصل المهاجمون على المفاتيح الخاصة نفسها، لا على مجرد صلاحية، لذلك لن يمنعهم «قطع الاتصال» أو «إلغاء الصلاحية»؛
· استهداف SOL وحدها دون USDC يوحي أكثر بوجود نص برمجي ينفّذ عمليات سحب جماعية وفق قواعد محددة: كل من كان مفتاحه الخاص في قاعدة البيانات كان ضمن القائمة.
خمس نصائح للمستثمرين الأفراد:
1) اعتبر أي عنوان سبق أن استوردت مفتاحه الخاص مكشوفًا: أنشئ محفظة جديدة بعبارة استرداد جديدة، وانقل أصولك إليها؛
2) لا تستخدم مع أي روبوت سوى محفظة صغيرة، ولا تضع فيها إلا المبلغ الذي ستحتاج إلى استخدامه في ذلك اليوم؛
3) لا تُدخل عبارة استرداد محفظتك الأساسية أو مفتاحها الخاص مطلقًا في أي روبوت أو موقع أو نموذج؛
4) إذا أمكنك استخدام مفاتيح جلسات أو صلاحيات محدودة المبلغ والمدة، فلا تسلّم المفتاح الخاص كاملًا؛
5) «التعهد بالتعويض» لا يعني أن الخدمة آمنة. انتظر صدور تقرير السبب الجذري قبل أن تقرر ما إذا كنت ستعود إليها.
أنا دائمًا كريم مع الجميلات؛ يمكنني إعطاؤهن مفتاحًا احتياطيًا، لكن مفتاح غرفة نومي الرئيسية لا أعطيه أبدًا 😏
#链上安全 #钱包安全 #Solana
صباح 26 أكتوبر (بتوقيت UTC+8)، تعرّض مستخدمو Bloom، وهو روبوت قنص على تيليغرام يعمل على Solana، لسرقة جماعية: أكدت الشركة أن 9 مستخدمين و49 محفظة تأثروا، وأن نحو 9,400 SOL (ما يقارب 950 ألف دولار) نُقلت خلال دقائق إلى العنوان نفسه. وُقّعت كل عملية تحويل باستخدام المفتاح الخاص للمستخدم نفسه، بينما لم تُمسّ عملات USDC في بعض المحافظ. قالت Bloom إن السبب الجذري لم يتأكد بعد، وإنها تحقق في احتمالات تشمل اختراق مزوّد خدمة خارجي، وتعهدت بتعويض كامل المتضررين، ونصحت المستخدمين بنقل أموالهم المتبقية إلى محافظ بمفاتيح خاصة جديدة.
من منظور هندسي:
· يحتاج روبوت القنص إلى تنفيذ الأوامر في أجزاء من الثانية، لذا لا يمكنه انتظار توقيعك اليدوي على كل عملية. وهذا يعني أن المفتاح الخاص الذي تستورده يجب أن يُحفظ على خوادمه بصيغة تتيح له فك تشفيره؛
· عندها يصبح هو الجهة التي تحتفظ بأموالك، وأي مشكلة في خوادمه أو عملياته أو خدمات الجهات الخارجية التي يعتمد عليها تعني أن مفتاحك الخاص يصبح مكشوفًا؛
· حصل المهاجمون على المفاتيح الخاصة نفسها، لا على مجرد صلاحية، لذلك لن يمنعهم «قطع الاتصال» أو «إلغاء الصلاحية»؛
· استهداف SOL وحدها دون USDC يوحي أكثر بوجود نص برمجي ينفّذ عمليات سحب جماعية وفق قواعد محددة: كل من كان مفتاحه الخاص في قاعدة البيانات كان ضمن القائمة.
خمس نصائح للمستثمرين الأفراد:
1) اعتبر أي عنوان سبق أن استوردت مفتاحه الخاص مكشوفًا: أنشئ محفظة جديدة بعبارة استرداد جديدة، وانقل أصولك إليها؛
2) لا تستخدم مع أي روبوت سوى محفظة صغيرة، ولا تضع فيها إلا المبلغ الذي ستحتاج إلى استخدامه في ذلك اليوم؛
3) لا تُدخل عبارة استرداد محفظتك الأساسية أو مفتاحها الخاص مطلقًا في أي روبوت أو موقع أو نموذج؛
4) إذا أمكنك استخدام مفاتيح جلسات أو صلاحيات محدودة المبلغ والمدة، فلا تسلّم المفتاح الخاص كاملًا؛
5) «التعهد بالتعويض» لا يعني أن الخدمة آمنة. انتظر صدور تقرير السبب الجذري قبل أن تقرر ما إذا كنت ستعود إليها.
أنا دائمًا كريم مع الجميلات؛ يمكنني إعطاؤهن مفتاحًا احتياطيًا، لكن مفتاح غرفة نومي الرئيسية لا أعطيه أبدًا 😏
#链上安全 #钱包安全 #Solana