چگونه یک اشتباه ساده کدنویسی به هکر اجازه داد 7.8 میلیون دلار از یک کیف پول ارز دیجیتال خالی کند

روز سه‌شنبه، مهاجمی از یک آسیب‌پذیری در کیف پول Gnosis Safe روی شبکه اتریوم استفاده کرد و حدود 2٬900 توکن rsETH به ارزش تقریبی 7.8 میلیون دلار را از آن خارج کرد. به گفته شرکت‌های امنیتی BlockSec، Blockaid و SlowMist، یک ربات خودکار به نام yoink تراکنش حمله را جلو زد و توکن‌ها را برداشت. کیف پول قربانی طوری تنظیم شده بود که یک قرارداد کمکی بتواند دارایی‌ها را برای آن جابه‌جا کند؛ ترتیبی معمول برای کسانی که معاملات خود را خودکار می‌کنند. قرار بود این قرارداد کمکی بررسی کند که فراخواننده مجوز دارد، اما SlowMist و BlockSec دریافتند این بررسی برای هر کسی که خود قرارداد کمکی را به عنوان هدف نام می‌برد، تأیید صادر می‌کرد. مهاجم سپس حدود 2٬900 rsETH را به یک استخر معاملاتی که دقایقی قبل حول یک توکن بی‌ارزش ساخته شده بود ریخت و کیف پول را با یک رسید بی‌ارزش باقی گذاشت. ربات yoink حدود 47 هزار دلار پرداخت کرد تا از صف جلو بزند و توکن‌ها را بردارد و 2٬882 rsETH را به آدرسی جداگانه فرستاد. AstraSec علت ریشه‌ای را یک بررسی احراز مجوز معیوب در قرارداد Multicall دانست. سایر شرکت‌های امنیتی نیز توافق کردند که خرابی در کامپوننتی بوده که مالک کیف پول به آن اعتماد کرده بود، نه در قراردادهای اصلی Safe. Kelp DAO که rsETH را منتشر می‌کند می‌گوید قراردادهایش امن است و rsETH کاملاً وثیقه‌گذاری شده است. این پروژه اعلام کرد فعالیت مشکوک در آدرسی که چند ساعت قبل rsETH دریافت کرده بود شناسایی شده و برای احتیاط، آن آدرس را موقتاً 24 ساعت متوقف کرده است تا rsETH نتواند وارد یا خارج شود.