ما تعرّض للاختراق هذه المرة ليس العقد الذكي، بل موقع الوثائق.

في 27 أكتوبر، أعلن سوق التنبؤ Predict.fun على BNB Chain في منشور على X أن محافظ عدد قليل من المستخدمين شهدت تحويلات غير مصرّح بها بلغ مجموعها نحو 400 ألف $USDT.

خلص التقييم الأولي الرسمي إلى أن المشكلة وقعت في موقع وثائق API تستضيفه جهة خارجية، وربما تعرّض للاختراق، ما أثر لفترة وجيزة على عدد قليل من المستخدمين. واتُّخذت ثلاثة إجراءات: إيقاف موقع الوثائق مؤقتًا وعدم إعادته قبل انتهاء التحقيق؛ تعويض الأضرار المباشرة كاملةً؛ ونشر مراجعة كاملة وإجراءات وقائية لاحقًا.

ومن المفيد أيضًا تسجيل التسلسل الزمني. فقبل صدور البيان الرسمي، كان محقق البلوك تشين Naeven قد تتبّع ما لا يقل عن 19 عنوانًا للضحايا، ونحو 105 $ETH (حوالي 260 ألف دولار)، ثم انتقلت الأموال إلى شبكة إيثيريوم ودخلت Tornado Cash (وفقًا لـ crypto.news). أما الرقم الرسمي، 400 ألف، فيعتمد نطاقًا أوسع؛ لذا يختلف نطاق الرقمين، ويُعتدّ بالمراجعة اللاحقة.

وجهة نظري:

1）تنتقل نقاط الهجوم إلى «الأطراف المحيطة». مهما بلغت جودة تدقيق العقود، فإن استبدال أي عنصر، مثل موقع التوثيق أو الواجهة الأمامية أو النطاق أو خدمة استضافة تابعة لجهة خارجية، قد يدفع المستخدمين إلى توقيع معاملات خاطئة بأنفسهم. والتصيد الاحتيالي عبر نطاق محفظة Foundation هذا الأسبوع يتبع النهج نفسه.

2）«التعويض الكامل» يعكس موقفًا، أما كيفية التعويض وموعد وصول الأموال، فيتوقفان على نتائج المراجعة.

3）إذا سبق لك استخدام Predict.fun أو دمجت شيئًا بالاستناد إلى وثائق واجهة API الخاصة بها، فننصحك بمراجعة الأذونات الممنوحة (وإلغاء الموافقات غير الضرورية). ولا تنقر على روابط وثائق مجهولة المصدر خلال فترة التحقيق.

للفرز فقط، لا للتوعية. ولا يُعدّ ذلك نصيحة استثمارية.

#PredictFun #链上安全 #BNBChain