BitcoinWorldمستخدم في Aave يخسر 305,000 دولار في عملية اختطاف موقع Across Protocol

خسر مستخدم أودع أصولًا لدى Aave نحو 148.60 من aWETH، بقيمة تُقدّر بحوالي 305,000 دولار، بعد توقيعه على تصريح بالإنفاق في الصفحة الاحتيالية التي حلّت محل نطاق across.to الخاص بـ Across Protocol في 10 نوفمبر، وفقًا لتحقيق أجرته شركة تحليلات السلسلة Bitquery، حُدّث في 12 نوفمبر ونشره موقع Cryptoslate. وكانت Across قد كشفت لأول مرة عن الاختراق في منشورات على X، وعزته إلى الهندسة الاجتماعية التي استهدفت مسجّل نطاقها Namecheap، وقالت إن النطاق عاد إلى سيطرتها في 11 نوفمبر.

يقدّر تتبّع Bitquery بتاريخ 12 نوفمبر أن 401,900 دولار سُحبت من تسع محافظ عبر خمس سلاسل بلوكتشين أثناء الاختراق، وأن المودع الوحيد لدى Aave كان مسؤولًا عن نحو 76% من الإجمالي. وكان الأصل رمز إيداع لدى Aave يدرّ فائدة، لذا طالت السرقة مركز إقراض محفوظًا خارج الجسر. الحقائق الرئيسية

  • يقدّر تحديث Bitquery الصادر في 12 نوفمبر سحب 401,900 دولار من تسع محافظ على Ethereum وArbitrum وBase وBNB Chain وOptimism أثناء اختراق across.to في 10 نوفمبر.

  • في 20:09:23 بالتوقيت العالمي المنسق يوم 10 نوفمبر، سجّلت معاملة على Ethereum موافقة غير محدودة من المحفظة 0x42e7…483c، ثم أرسلت نحو 115.23 aWETH إلى 0x2846…1fde و28.81 aWETH إلى 0x0c7c…d37b، في تقسيم بنسبة 80/20 تنسبه Bitquery إلى المهاجم ومحفظة رسوم السحب.

  • يُظهر سجل تحويلات المودع أربع عمليات سحب انتهت بحلول 20:12:23 بالتوقيت العالمي المنسق، وتقول Bitquery إن المالك ألغى الموافقة بعد دقيقة من آخر عملية سحب.

  • أبلغت Across المستخدمين بأن نطاقها استُعيد في 11 نوفمبر بمساعدة ريتشارد كيركيندال، مؤسس Namecheap، وأفادت Cointelegraph بأن الفريق تعهّد بتعويض جميع المستخدمين المتضررين بالكامل، على أن ينشر تقريرًا لاحقًا عن الحادثة.

  • قدّرت شركة الأمن GoPlus الخسائر بنحو 350,000 دولار عبر ست شبكات بلوكتشين، وفقًا لما أورده crypto.news، وذكرت Ethereum وArbitrum وBase وBNB Chain وInk وPlasma.

كيف وصل تصريح موقّع إلى إيداع لدى Aave

كان الأصل المسروق aWETH، وهو رمز يدرّ فائدة ويمثل إيداعًا لدى Aave. وتشير وثائق Aave، التي استشهدت بها Bitquery، إلى إمكانية تحويل هذه الرموز، وإلى أن رسالة تصريح يمكنها تخويل حساب آخر بإنفاقها. ووفقًا لإعادة بناء Bitquery للأحداث، طلبت صفحة Across المزيفة مثل هذا التصريح، واستخدمه المهاجم لسحب الرموز.

جمعت المعاملة الأولى بين الموافقة وتحويلين للرموز. وتلتها ثلاث عمليات سحب أخرى خلال الدقائق الثلاث التالية، لترتفع الخسائر المرتبطة بـAave إلى نحو 304,500 دولار وفق أسعار وقت السرقة — أي 76% من الإجمالي الذي جرى تتبعه — قبل إلغاء الموافقة. يؤدي إلغاء الإذن إلى إيقاف التحويلات اللاحقة، لكنه لا يلغي التحويلات المسجلة بالفعل على البلوكتشين، ولهذا كانت أموال المودع قد نُقلت بالفعل.

وأضافت Bitquery أيضًا عملية سحب لم تُلحظ سابقًا شملت 26.38 ETH، أي نحو 54,000 دولار في ذلك الوقت، من ضحية أخرى، وقالت إن الرقم المتداول على نطاق واسع، وهو 294,000 دولار، يطابق الأصول الموجودة في محفظة الرسوم، بما فيها أموال كانت فيها قبل الهجوم.

التقارير لا تتفق على الإجمالي

تختلف الروايات المتاحة من حيث النطاق والأرقام. يقدّر تحديث Bitquery الصادر في 12 نوفمبر الإجمالي بـ401,900 دولار عبر تسع محافظ وخمس سلاسل؛ أما GoPlus، وفقًا لما أورده crypto.news، فقدّرت الخسائر بنحو 350,000 دولار عبر ست شبكات، مضيفةً Ink وPlasma. وأشار تقرير Cointelegraph الصادر في 11 نوفمبر إلى أن Across لم تكن قد أعلنت بعد رقمًا مؤكدًا لخسائرها أو عدد المستخدمين المتضررين.

قالت Across إن الحادثة نتجت عن اختراق جهة تسجيل النطاقات، لا عن عقودها الذكية: إذ أعاد المهاجم توجيه الزوار إلى صفحة تصيّد، ولم تتأثر عمليات التكامل التابعة لجهات خارجية أو مستخدمو واجهة برمجة التطبيقات. وقالت GoPlus، وفقًا لما أورده crypto.news، إن الضحايا ربما أُقنعوا بتوقيع تصاريح EIP-2612 أو تفويضات Permit2 أو موافقات مباشرة على الرموز.

أهمية الأمر

تُظهر الخسارة أن اختراقًا على مستوى النطاق قد يكلّف أكثر من اختراق الجسر نفسه: فالضحية الأكبر التي جرى تتبعها لم تنقل أصولًا عبر Across قط، لكنها تعرضت للخطر من خلال رمز إقراض قابل للتحويل. وهذا يوسّع نطاق الأضرار المحتملة الناجمة عن اختراق مواقع الويب في التمويل اللامركزي، حيث توجد الأصول المرمّزة والمدرّة للعائد بشكل متزايد في محافظ تتفاعل مع واجهات أمامية تابعة لجهات خارجية.

وتأتي الحادثة أيضًا عقب هجمات أخرى استهدفت مواقع ويب في التمويل اللامركزي، من بينها عمليات الاختراق التي وقعت في أكتوبر ورُصدت عبر أداة Step Drainer، ما يسلّط الضوء على أن جانبًا كبيرًا من مخاطر المستخدمين بات متمركزًا عند الواجهة بدلًا من العقد.

ما الذي ينبغي متابعته

قالت Across إنها ستنشر تقريرًا كاملًا عن الحادثة يوضح كيف سيطر المهاجم، ويُعد تعهّدها بالتعويض الخطوة الملموسة التالية للمستخدمين المتضررين. وقد يتغير الرقم النهائي أيضًا إذا راجعت Bitquery أو GoPlus عمليات التتبع التي أجرتها، وفي هذه الأثناء وُجّه الضحايا إلى التحقق من الموافقات عبر Revoke.cash.

لمحة عن السوق

في 03:16 بالتوقيت العالمي المنسق يوم 13 نوفمبر، جرى تداول Aave (AAVE) بسعر 112 دولارًا (10,568 روبية هندية)، بانخفاض 5.5% خلال 24 ساعة و14.2% خلال سبعة أيام، مع قيمة سوقية تبلغ 1.73 مليار دولار وحجم تداول خلال 24 ساعة قدره 153.9 مليون دولار، وفق بيانات CoinPaprika. وجرى تداول Ethereum (ETH) بسعر 1,981 دولارًا (186,288 روبية هندية)، بانخفاض 3.5% خلال اليوم و11.2% خلال الأسبوع.

نُشر هذا المقال، «مستخدم Aave يخسر 305,000 دولار في اختراق موقع بروتوكول Across»، أولًا على BitcoinWorld.

#ETH