تم استبدال نصّ قياس السرعة، فخسر أكثر من 700 متداول 2.7 مليون دولار في ساعة واحدة
في 29 أكتوبر، وقع أمر غير متوقع إطلاقًا على الموقع الدولي لسوق التنبؤات Polymarket. لم ينقر من سُرقت أموالهم على روابط تصيّد، ولم يكشفوا عن عبارات الاسترداد، ولم يُخترق العقد الذكي. كل ما فعلوه هو فتح موقع Polymarket كالمعتاد؛ ظلوا مسجلين الدخول، ثم حُوّلت أموالهم من حساباتهم هم.
كانت المشكلة في نصّ لقياس سرعة الموقع. فقد أُدرج في صفحة Polymarket نصّ لمراقبة المستخدمين الفعليين تابع لشركة DebugBear البريطانية، وكان الغرض منه قياس سرعة تحميل الصفحات. تعمل هذه النصوص في متصفح كل زائر، وتتمتع عمليًا بالصلاحيات نفسها التي يتمتع بها كود الموقع. في 29 أكتوبر، عُدّلت سجلات نطاق DebugBear لدى مسجّل النطاقات، وبدأ خادم آخر بالاستجابة. فلم يعد ما يصل إلى متصفحات المستخدمين ملفًا لقياس السرعة، بل برنامجًا لسرقة العملات المشفرة حجمه نحو 15 كيلوبايت. وقد نزّل الباحثون الملف الخبيث نفسه مرتين.
كانت طريقة هذا البرنامج في السرقة بسيطة للغاية. فقد قرأ نوع تسجيل الدخول وعناوين المحافظ وبيانات اعتماد المعاملات المخزنة في المتصفح، ثم عثر على عميل التداول الخاص بـ Polymarket داخل الصفحة واستعان به لإجراء العمليات. بيعَت المراكز وحُوّلت إلى عملة POL على شبكة Polygon، ثم أُرسلت عبر خدمة الترحيل الخاصة بالمنصة، التي لا تتطلب دفع رسوم الغاز. وتُظهر سجلات البلوك تشين أنه خلال ساعة واحدة، من 17:10 إلى 18:10، نُفذت 985 عملية سحب غير مصرّح بها. وتلقت محفظة المهاجم 28.6 مليون وحدة POL، بقيمة تقارب 2.64 مليون دولار وفقًا لسعر ذلك الوقت. وقدّرت شركتا التحليل Bubblemaps وBitquery المبلغ الإجمالي بنحو 2.7 مليون دولار، مع تأثر أكثر من 700 حساب. ورغم اختلاف التقديرات بعشرات الآلاف من الدولارات، فإن حجم الأموال المسروقة ليس محل خلاف.
حوّلت Polymarket موقعها الدولي إلى وضع يسمح بإلغاء الأوامر فقط عند الساعة 14:05 من بعد ظهر ذلك اليوم، واستأنفت التداول قرابة الساعة 15:05. واقتصر التصريح العلني للشركة على القول إن مزودًا خارجيًا تعرّض للاختراق، وإن الأمر أُحيل إلى سلطات إنفاذ القانون، وإن المستخدمين المتضررين سيُعوّضون بالكامل. وأُعلن لاحقًا أن إجمالي التعويضات بلغ نحو 3.9 ملايين دولار؛ خُصص نحو 2.7 مليون دولار للمحافظ التي سُرقت أموالها مباشرة، ونحو 1.19 مليون دولار لنحو 5500 محفظة تضررت خلال فترة تعليق التداول، من دون حاجة المستخدمين إلى تقديم طلبات بأنفسهم. أما الموقع الأميركي، الذي يعمل بصورة مستقلة، فلم يتأثر بهذه الحادثة. ولم يُقدَّم حتى الآن تفسير كامل لكيفية تغيير إعدادات النطاق.
ثمة نقطة تستحق التوقف عندها. لم يعثر Hudson Rock في العينة التي فحصها على برنامج يرسل عبارات الاسترداد أو المفاتيح الخاصة إلى جهة خارجية. لم تتطلب هذه السرقة سرقة المفاتيح؛ فجلسة المتصفح المسجل دخوله كانت بحد ذاتها بمثابة مفتاح الدخول. وهذه ثاني مرة تتعرض فيها الشركة لمشكلة بسبب طرف ثالث هذا العام؛ ففي حادثة يونيو، استُبدل كود الواجهة الأمامية أيضًا. ومهما بلغت صرامة إدارة المحافظ الذكية، فقد لا تتمكن من ضبط كود الآخرين الموجود على صفحة الويب.
بالنسبة إلى صغار المستثمرين، غيّرت هذه الحادثة البند الأول في قائمة إجراءات الحماية من السرقة. كانت القائمة سابقًا: اختر منصة كبيرة وموثوقة، ولا تنقر على روابط التصيّد، واحتفظ بعبارة الاسترداد لنفسك. والآن ينبغي إضافة بند جديد: قد تتغير صفحة التداول نفسها من دون علمك. فصفحة التداول التي تتركها مفتوحة، وحالة تسجيل الدخول المحفوظة في المتصفح، كلاهما قابل للاستغلال. والاحتفاظ بالأموال في حساب تداول طوال الليل يختلف تمامًا عن الاحتفاظ بها في محفظتك الخاصة.
استخلصتُ من هذه الحادثة ثلاثة دروس. سجّل الخروج بعد التداول، ولا تترك صفحة التداول مفتوحة في المتصفح طوال اليوم. لا تحتفظ بمبالغ كبيرة في رصيد حساب التداول لفترات طويلة؛ اسحبها إلى مكان تتحكم فيه بنفسك بعد الانتهاء. وإذا بدأت الصفحة فجأة ببيع مراكزك من تلقاء نفسها أو عرضت طلب تفويض لم تره من قبل، فأغلق الصفحة وافصل الاتصال، ولا تواصل النقر استجابةً لتعليماتها.
رأيي واضح: عند تقييم أي منصة مستقبلًا، لا تسأل فقط عمّا إذا كانت عقودها قد خضعت للتدقيق، بل اسأل أيضًا عن مقدار كود الأطراف الأخرى الذي يعمل على صفحاتها، وما إذا كان بإمكانها إيقاف كل ذلك الكود فورًا عند وقوع مشكلة. لن أترك مبالغ كبيرة في حالة تسجيل الدخول على منصة لا تستطيع الإجابة عن ذلك. هل تسجّل الخروج عادةً بعد التداول، أم تترك الصفحة مفتوحة؟
—— شياوكاي، مستثمر تجزئة في Web3
هذا المقال لا يتجاوز كونه مشاركة لآراء شخصية، ولا يشكّل أي نصيحة استثمارية. تستند البيانات إلى التصريحات العلنية لـ Polymarket والتتبعات المنشورة من Hudson Rock وBitquery وBubblemaps. تختلف المبالغ قليلًا بحسب منهجية الحساب؛ يُرجى تقييم المخاطر بأنفسكم.
#Polymarket #DeFi安全 #供应链攻击 #أمان_المحفظة
في 29 أكتوبر، وقع أمر غير متوقع إطلاقًا على الموقع الدولي لسوق التنبؤات Polymarket. لم ينقر من سُرقت أموالهم على روابط تصيّد، ولم يكشفوا عن عبارات الاسترداد، ولم يُخترق العقد الذكي. كل ما فعلوه هو فتح موقع Polymarket كالمعتاد؛ ظلوا مسجلين الدخول، ثم حُوّلت أموالهم من حساباتهم هم.
كانت المشكلة في نصّ لقياس سرعة الموقع. فقد أُدرج في صفحة Polymarket نصّ لمراقبة المستخدمين الفعليين تابع لشركة DebugBear البريطانية، وكان الغرض منه قياس سرعة تحميل الصفحات. تعمل هذه النصوص في متصفح كل زائر، وتتمتع عمليًا بالصلاحيات نفسها التي يتمتع بها كود الموقع. في 29 أكتوبر، عُدّلت سجلات نطاق DebugBear لدى مسجّل النطاقات، وبدأ خادم آخر بالاستجابة. فلم يعد ما يصل إلى متصفحات المستخدمين ملفًا لقياس السرعة، بل برنامجًا لسرقة العملات المشفرة حجمه نحو 15 كيلوبايت. وقد نزّل الباحثون الملف الخبيث نفسه مرتين.
كانت طريقة هذا البرنامج في السرقة بسيطة للغاية. فقد قرأ نوع تسجيل الدخول وعناوين المحافظ وبيانات اعتماد المعاملات المخزنة في المتصفح، ثم عثر على عميل التداول الخاص بـ Polymarket داخل الصفحة واستعان به لإجراء العمليات. بيعَت المراكز وحُوّلت إلى عملة POL على شبكة Polygon، ثم أُرسلت عبر خدمة الترحيل الخاصة بالمنصة، التي لا تتطلب دفع رسوم الغاز. وتُظهر سجلات البلوك تشين أنه خلال ساعة واحدة، من 17:10 إلى 18:10، نُفذت 985 عملية سحب غير مصرّح بها. وتلقت محفظة المهاجم 28.6 مليون وحدة POL، بقيمة تقارب 2.64 مليون دولار وفقًا لسعر ذلك الوقت. وقدّرت شركتا التحليل Bubblemaps وBitquery المبلغ الإجمالي بنحو 2.7 مليون دولار، مع تأثر أكثر من 700 حساب. ورغم اختلاف التقديرات بعشرات الآلاف من الدولارات، فإن حجم الأموال المسروقة ليس محل خلاف.
حوّلت Polymarket موقعها الدولي إلى وضع يسمح بإلغاء الأوامر فقط عند الساعة 14:05 من بعد ظهر ذلك اليوم، واستأنفت التداول قرابة الساعة 15:05. واقتصر التصريح العلني للشركة على القول إن مزودًا خارجيًا تعرّض للاختراق، وإن الأمر أُحيل إلى سلطات إنفاذ القانون، وإن المستخدمين المتضررين سيُعوّضون بالكامل. وأُعلن لاحقًا أن إجمالي التعويضات بلغ نحو 3.9 ملايين دولار؛ خُصص نحو 2.7 مليون دولار للمحافظ التي سُرقت أموالها مباشرة، ونحو 1.19 مليون دولار لنحو 5500 محفظة تضررت خلال فترة تعليق التداول، من دون حاجة المستخدمين إلى تقديم طلبات بأنفسهم. أما الموقع الأميركي، الذي يعمل بصورة مستقلة، فلم يتأثر بهذه الحادثة. ولم يُقدَّم حتى الآن تفسير كامل لكيفية تغيير إعدادات النطاق.
ثمة نقطة تستحق التوقف عندها. لم يعثر Hudson Rock في العينة التي فحصها على برنامج يرسل عبارات الاسترداد أو المفاتيح الخاصة إلى جهة خارجية. لم تتطلب هذه السرقة سرقة المفاتيح؛ فجلسة المتصفح المسجل دخوله كانت بحد ذاتها بمثابة مفتاح الدخول. وهذه ثاني مرة تتعرض فيها الشركة لمشكلة بسبب طرف ثالث هذا العام؛ ففي حادثة يونيو، استُبدل كود الواجهة الأمامية أيضًا. ومهما بلغت صرامة إدارة المحافظ الذكية، فقد لا تتمكن من ضبط كود الآخرين الموجود على صفحة الويب.
بالنسبة إلى صغار المستثمرين، غيّرت هذه الحادثة البند الأول في قائمة إجراءات الحماية من السرقة. كانت القائمة سابقًا: اختر منصة كبيرة وموثوقة، ولا تنقر على روابط التصيّد، واحتفظ بعبارة الاسترداد لنفسك. والآن ينبغي إضافة بند جديد: قد تتغير صفحة التداول نفسها من دون علمك. فصفحة التداول التي تتركها مفتوحة، وحالة تسجيل الدخول المحفوظة في المتصفح، كلاهما قابل للاستغلال. والاحتفاظ بالأموال في حساب تداول طوال الليل يختلف تمامًا عن الاحتفاظ بها في محفظتك الخاصة.
استخلصتُ من هذه الحادثة ثلاثة دروس. سجّل الخروج بعد التداول، ولا تترك صفحة التداول مفتوحة في المتصفح طوال اليوم. لا تحتفظ بمبالغ كبيرة في رصيد حساب التداول لفترات طويلة؛ اسحبها إلى مكان تتحكم فيه بنفسك بعد الانتهاء. وإذا بدأت الصفحة فجأة ببيع مراكزك من تلقاء نفسها أو عرضت طلب تفويض لم تره من قبل، فأغلق الصفحة وافصل الاتصال، ولا تواصل النقر استجابةً لتعليماتها.
رأيي واضح: عند تقييم أي منصة مستقبلًا، لا تسأل فقط عمّا إذا كانت عقودها قد خضعت للتدقيق، بل اسأل أيضًا عن مقدار كود الأطراف الأخرى الذي يعمل على صفحاتها، وما إذا كان بإمكانها إيقاف كل ذلك الكود فورًا عند وقوع مشكلة. لن أترك مبالغ كبيرة في حالة تسجيل الدخول على منصة لا تستطيع الإجابة عن ذلك. هل تسجّل الخروج عادةً بعد التداول، أم تترك الصفحة مفتوحة؟
—— شياوكاي، مستثمر تجزئة في Web3
هذا المقال لا يتجاوز كونه مشاركة لآراء شخصية، ولا يشكّل أي نصيحة استثمارية. تستند البيانات إلى التصريحات العلنية لـ Polymarket والتتبعات المنشورة من Hudson Rock وBitquery وBubblemaps. تختلف المبالغ قليلًا بحسب منهجية الحساب؛ يُرجى تقييم المخاطر بأنفسكم.
#Polymarket #DeFi安全 #供应链攻击 #أمان_المحفظة
