التوقيع حقيقي، لكن هذا لا يعني أن المال من حقك.
في 9 نوفمبر، الساعة 08:42 بتوقيت لندن، أطلقت Blockaid تحذيرًا: جسر Ankr العابر للسلاسل على Ethereum يتعرض لهجوم. أجرى المهاجم خمس استدعاءات متتالية للدالة withdraw() باستخدام إيداع صغير جدًا على Optimism. ووفقًا لتحليل SlowMist للأسباب الجذرية، تشير إيصالات العبور الخمسة جميعها إلى معاملة حقيقية واحدة على Optimism، لكن المستلِم والعملة والمبلغ عُدّلت، كما أن كل إيصال يحمل توقيع إجماع موثوقًا من الجسر. تتراوح تقديرات الخسائر لدى الجهات المختلفة بين 286 ألفًا و305 آلاف دولار. وشملت الأصول المسحوبة ankrETH وaMATICb وankrPOL وANKR، وقد حُوّل معظمها إلى ETH. وحتى الآن، لم تصدر Ankr أي رد رسمي علني.
من منظور هندسي:
· يتحقق العقد من أن «الختم أصلي»، لكنه لا يرجع إلى السلسلة المصدر للتحقق مما «أودعه صاحب الإيداع، وما إذا كان قد استردّه»؛
· إمكانية استرداد الإيداع الواحد خمس مرات تعني أن الإيصالات غير مرتبطة بأحداث السلسلة المصدر على نحو فردي، ولا توجد حماية من هجمات إعادة التشغيل؛
· لا يزال التحقيق جاريًا لمعرفة كيفية الحصول على التوقيعات، ولم يتأكد بعد ما إذا كان الموقّعون قد تعرضوا للاختراق.
ثلاث نصائح لحاملي الأصول:
1) إذا كنت تملك أصولًا عابرة للسلاسل مثل ankrETH أو ankrPOL، فتحقق أولًا من الإعلانات الرسمية، ولا تنقر على أي «رابط استرداد»؛
2) لا تحتفظ في الجسور العابرة للسلاسل إلا بالأموال اللازمة للعبور، واحتفظ بالأصول طويلًا على سلسلتها الأصلية؛
3) قبل إجراء تحويل كبير بين السلاسل، تحقّق من وجود تحقق مستقل، وحد أقصى لكل معاملة، وإمكانية الإيقاف الطارئ.
حتى موظف البنك يتحقق من سجل المعاملات عندما يرى إيصالًا قديمًا مختومًا، لكن الجسر الذي تمر عبره مئات الآلاف من الدولارات يكتفي بالختم. هل ترى أنه ينبغي فرض حدود للسحب على الجسور العابرة للسلاسل؟ شاركنا رأيك في التعليقات 😏
#链上安全 #جسر_عابر_للسلاسل
$ANKR
في 9 نوفمبر، الساعة 08:42 بتوقيت لندن، أطلقت Blockaid تحذيرًا: جسر Ankr العابر للسلاسل على Ethereum يتعرض لهجوم. أجرى المهاجم خمس استدعاءات متتالية للدالة withdraw() باستخدام إيداع صغير جدًا على Optimism. ووفقًا لتحليل SlowMist للأسباب الجذرية، تشير إيصالات العبور الخمسة جميعها إلى معاملة حقيقية واحدة على Optimism، لكن المستلِم والعملة والمبلغ عُدّلت، كما أن كل إيصال يحمل توقيع إجماع موثوقًا من الجسر. تتراوح تقديرات الخسائر لدى الجهات المختلفة بين 286 ألفًا و305 آلاف دولار. وشملت الأصول المسحوبة ankrETH وaMATICb وankrPOL وANKR، وقد حُوّل معظمها إلى ETH. وحتى الآن، لم تصدر Ankr أي رد رسمي علني.
من منظور هندسي:
· يتحقق العقد من أن «الختم أصلي»، لكنه لا يرجع إلى السلسلة المصدر للتحقق مما «أودعه صاحب الإيداع، وما إذا كان قد استردّه»؛
· إمكانية استرداد الإيداع الواحد خمس مرات تعني أن الإيصالات غير مرتبطة بأحداث السلسلة المصدر على نحو فردي، ولا توجد حماية من هجمات إعادة التشغيل؛
· لا يزال التحقيق جاريًا لمعرفة كيفية الحصول على التوقيعات، ولم يتأكد بعد ما إذا كان الموقّعون قد تعرضوا للاختراق.
ثلاث نصائح لحاملي الأصول:
1) إذا كنت تملك أصولًا عابرة للسلاسل مثل ankrETH أو ankrPOL، فتحقق أولًا من الإعلانات الرسمية، ولا تنقر على أي «رابط استرداد»؛
2) لا تحتفظ في الجسور العابرة للسلاسل إلا بالأموال اللازمة للعبور، واحتفظ بالأصول طويلًا على سلسلتها الأصلية؛
3) قبل إجراء تحويل كبير بين السلاسل، تحقّق من وجود تحقق مستقل، وحد أقصى لكل معاملة، وإمكانية الإيقاف الطارئ.
حتى موظف البنك يتحقق من سجل المعاملات عندما يرى إيصالًا قديمًا مختومًا، لكن الجسر الذي تمر عبره مئات الآلاف من الدولارات يكتفي بالختم. هل ترى أنه ينبغي فرض حدود للسحب على الجسور العابرة للسلاسل؟ شاركنا رأيك في التعليقات 😏
#链上安全 #جسر_عابر_للسلاسل
$ANKR