انخفض سعر «بولكادوت» بنسبة 6% عقب اختراق أدى إلى إصدار مليار توكن على شبكة «إيثريوم»

النقاط الرئيسية:

• استخدم أحد المتسللين ثغرة إعادة التشغيل لإنشاء مليار توكن Polkadot مزيف عبر بوابة Hyperbridge.
• انخفض سعر DOT بنسبة 6% إلى 1.16 دولار قبل أن يتعافى، بينما حقق المخترق ربحًا صافيًا قدره 237,000 دولار من الإيثر.
• من المتوقع الآن أن يقوم مطورو Hyperbridge بنشر تصحيحات لتأمين وظائف العقود الذكية الإدارية.

اختناق السيولة يحد من الخسائر

في 13 أبريل، نبهت شركة Certik المتخصصة في أمن البلوكشين مجتمع العملات المشفرة إلى ثغرة أمنية تتعلق ببوابة Hyperbridge، حيث قام أحد المخترقين بإصدار مليار توكن Polkadot غير مصرح بها على شبكة Ethereum. عقب الحادث، انخفض سعر DOT لفترة وجيزة من 1.23 دولار إلى 1.16 دولار، بانخفاض يقارب 6%. ومع ذلك، في وقت كتابة هذا التقرير، كان الرمز قد استرد بعضًا من تلك الخسائر، حيث ارتفع إلى 1.19 دولار.

وفقًا لبيانات السلسلة وتقارير الأمان، استغل المهاجم ثغرة أمنية في العقد الذكي لبوابة Hyperbridge. باستخدام رسالة مزيفة للحصول على امتيازات إدارية على عقد DOT المرتبط على Ethereum، أطلق الجاني معاملة واحدة أنتجت مليار توكن.

على الرغم من العدد الكبير من التوكنات التي تم إنشاؤها، لم يتمكن المهاجم من صرفها بالقيمة السوقية لأن النسخة المرتبطة من DOT على Ethereum كانت ذات سيولة ضئيلة.

يؤكد تحليل Lookonchain أن المخترق قام بتصفية كامل الغنيمة البالغة مليار توكن في عملية مبادلة واحدة. أسفرت الصفقة عن حوالي 108.2 إيثر، بقيمة تقارب 237,000 دولار في وقت إجراء المعاملة. لو كان الأصل المرتبط يتم تداوله على نطاق أوسع، لكان التأثير المالي أعلى بكثير.

سارع خبراء الأمن إلى توضيح أن الاختراق كان محصوراً في بوابة Hyperbridge على Ethereum. تظل سلسلة الترحيل الأساسية لـ Polkadot ورموز DOT الأصلية الموجودة على شبكة Polkadot آمنة ولم تتأثر بالحادث.

في تحليلها الأولي للحادث، قالت Certik إن الاستغلال نجم عن ثغرة إعادة تشغيل في وظيفة calculateroot في Merkle Mountain Range. كان هذا الخلل يعني أن الإثباتات لم تكن مرتبطة بشكل صحيح بالطلبات، مما سمح للمهاجمين بإعادة استخدام التزامات الحالة القديمة. وفي المرحلة التالية، فشلت وظيفة tokengateway.handlechangeadmin في فرض فحوصات صارمة، مما سمح للمهاجمين بإدخال بيانات الطلب بشكل تعسفي.

ونتيجة لذلك، انتشر الكود الخبيث دون رادع عبر النظام، مما مكن المهاجم في النهاية من تغيير المسؤول عن توكن Polkadot. وكما أشارت Certik:

"تم نسخ قيمة "الإثبات" التي قدمها المهاجم من "_stateCommitments" في معاملة سابقة… مما جعل إعادة التشغيل ممكنة."

لم تصدر Hyperbridge بعد تقريرًا كاملاً عن الخلل المحدد في العقد الذكي للبوابة، ولكن من المتوقع أن يقوم المطورون بتنفيذ تصحيحات لمنع استغلالات مماثلة في المستقبل.