چگونه یک اشتباه ساده کدنویسی به هکر اجازه داد 7.8 میلیون دلار از یک کیف پول ارز دیجیتال را خالی کند

روز سه‌شنبه، مهاجمی با سوءاستفاده از یک خطای کدنویسی در قرارداد کمکی مرتبط با یک کیف پول Gnosis Safe روی اتریوم، حدود 2900 توکن rsETH به ارزش تقریبی 7.8 میلیون دلار را خارج کرد. به گفته شرکت‌های امنیتی BlockSec، Blockaid و SlowMist، یک ربات خودکار به نام yoink تراکنش حمله را جلو زد و توکن‌ها را استخراج کرد. کیف پول قربانی طوری تنظیم شده بود که یک قرارداد کمکی بتواند به‌جای آن دارایی‌ها را جابه‌جا کند؛ ترتیبی رایج برای خودکارسازی معاملات. قرار بود این قرارداد بررسی کند که فراخواننده مجوز دارد، اما SlowMist و BlockSec دریافتند شرط بررسی برای هر کسی که خود قرارداد کمکی را به‌عنوان هدف معرفی می‌کرد، تأیید صادر می‌کرد. مهاجم سپس حدود 2900 rsETH را وارد یک استخر معاملاتی کرد که دقایقی قبل حول یک توکن بی‌ارزش به نام Permissionless Attacker Token ساخته شده بود و کیف پول فقط یک رسید بی‌ارزش دریافت کرد. ربات yoink حدود 47 هزار دلار پرداخت کرد تا از صف جلو بزند و توکن‌ها را بردارد و 2882 rsETH را به آدرسی جداگانه ارسال کند. AstraSec علت ریشه‌ای را نقص در بررسی مجوز در قرارداد Multicall دانست. شرکت‌های امنیتی دیگر نیز توافق کردند که ایراد در مؤلفه‌ای بوده که مالک کیف پول به آن اعتماد کرده، نه در قراردادهای اصلی Safe. Kelp DAO که rsETH را منتشر می‌کند می‌گوید قراردادهایش امن و rsETH کاملاً پشتوانه‌دار است. این پروژه پس از شناسایی فعالیت مشکوک روی آدرسی که rsETH دریافت کرده بود، آن آدرس را به مدت 24 ساعت موقتاً متوقف کرد تا rsETH نتواند وارد یا خارج شود. در بخش دیگری از گزارش‌ها آمده است دارایی‌های سهام توکنیزه‌شده در حال پیشتازی در ورودی‌های RWA هستند و bStocks بایننس در دو ماه به حدود 118.5 میلیون دلار رسیده و اکنون دومین ناشر و حدود 90٪ حجم معاملات DEX سهام آن‌چین را در اختیار دارد.