پروتکل‌های متصل به بیت‌کوین و اتریوم در چند حمله ساعتی 35 میلیون دلار از دست دادند

پل‌ها و پروتکل‌های زنجیره‌ای متقابل رمزارزها روز سختی را پشت سر می‌گذارند. بر اساس داده‌های بلاک‌چین که توسط CoinDesk بررسی و توسط شرکت‌های امنیتی BlockAid و Peckshield گزارش شده است، حداقل سه پروتکل در یک بازه 6 ساعته و با فاصله زمانی کم تخلیه شدند که مجموع خسارت آن بیش از 35 میلیون دلار است. این حملات یک وجه مشترک دارند: هیچ‌کدام رمزنگاری زیربنایی را نقض نکرده‌اند. هر کدام یا یک نقص منطقی بوده‌اند (جایی که کد همانطور که نوشته شده اجرا می‌شود اما قوانین همچنان اجازه خروج پول را می‌دهند) یا یک کلید به خطر افتاده که به مهاجم کنترلی داده که هرگز نباید داشته باشد. بدترین حمله مربوط به شبکه بلاک‌چین Verus بود. Blockaid یک بهره‌برداری در پل Verus-Ethereum در اوایل پنجشنبه شناسایی کرد که حدود 7.54 میلیون دلار اتر، بیت‌کوین توکن‌شده و مجموعه‌ای از استیبل‌کوین‌ها را تخلیه کرد. این شرکت اشاره کرد که این حمله از همان قرارداد پل و مسیر ورودی یک هک قبلی استفاده کرده و از یک نوع باگ مشابه بهره برده است. CoinDesk قبلاً آن حادثه را با ضرر 11.5 میلیون دلار در ماه مه گزارش کرده بود. پل ابزاری مبتنی بر بلاک‌چین است که به دارایی‌ها اجازه می‌دهد بین دو شبکه که در غیر این صورت نمی‌توانند با یکدیگر تعامل کنند، جابه‌جا شوند. این پل توکن‌های واقعی را در یک طرف نگه می‌دارد و ادعاهایی علیه آن‌ها در طرف دیگر صادر می‌کند و امنیت آن کاملاً به تأیید صحیح این موضوع بستگی دارد که هر برداشت واقعاً توسط دارایی‌های قفل‌شده در زنجیره دیگر پشتیبانی می‌شود. نقص Verus به مهاجم اجازه داد تا پرداخت‌هایی را در سمت اتریوم ایجاد کند که هرگز به درستی در سمت Verus پشتیبانی نشده بودند، بنابراین پل پول واقعی را در برابر ادعایی تقریباً بی‌ارزش آزاد کرد. مهاجم پس از حمله ماه مه بیشتر وجوه را در ازای پاداش بازگرداند. Verus سپس پول بازیابی‌شده را در 8 ژوئیه دوباره به همان پل واریز کرد و دو هفته بعد پل دوباره تخلیه شد. هزینه این اعتماد در آمار خود پروتکل قابل مشاهده است. Verus در ابتدای سال 2025 نزدیک به 100 میلیون دلار ارزش کل قفل‌شده داشت و اکنون حدود 9 میلیون دلار دارد. چنین شکست‌های مکرر نه تنها پول دزدیده‌شده در یک حمله را هزینه می‌کند، بلکه اعتماد را که دارایی‌ها را در پلتفرم نگه می‌دارد، از بین می‌برد. حمله تأییدشده دیگر مربوط به شبکه B² بود، یک شبکه مقیاس‌پذیر برای ارزان‌تر و سریع‌تر کردن تراکنش‌های بیت‌کوین. B² اعلام کرد که یک مهاجم به اختیار ارتقای قرارداد استیکینگ توکن آن دسترسی غیرمجاز پیدا کرده است. شرکت امنیتی Lookonchain حدود 3.86 میلیون دلار توکن B2 را ردیابی کرد که فروخته و به اتر و استیبل‌کوین تبدیل شده و جابه‌جا شده‌اند. B² گفت که حادثه را مهار کرده، استیکینگ را متوقف کرده و به کاربران آسیب‌دیده غرامت کامل خواهد داد. یک قرارداد هوشمند تنها به اندازه کلیدها و مجوزهایی که آن را کنترل می‌کنند امن است. اگر مهاجم اختیار تغییر نحوه عملکرد قرارداد را به دست آورد، کد نیازی به باگ ندارد، زیرا مهاجم می‌تواند قوانین را بازنویسی کند یا مستقیماً وجوه را تخلیه کند. این حالت شکست پشت بزرگ‌ترین سرقت‌های تاریخ رمزارزهاست، از هک‌های پل Wormhole و Nomad در سال 2022 تا ضرر حدود 290 میلیون دلاری KelpDAO در اوایل امسال. و دفاع در برابر آن سخت‌تر خواهد شد.