Slowmist: یک خط کدِ جاافتاده باعث شد ۱۱۱٬۰۰۰ دلار از توکن DIP تخلیه شود

انتقالی که دو بار اجرا شد

Slowmist این رخداد را در یک هشدار اطلاعات تهدید علامت‌گذاری کرد و میزان زیان را ۱۱۱,۰۹۷.۶ USDC اعلام کرد. این شرکت گفت تابع “_transfer()” توکن DIP در شاخه‌ای که معاملاتِ مسیردهی‌شده از طریق روتر Pancakeswap را مدیریت می‌کند (سرویسی که صرافی‌های غیرمتمرکز برای سواپ توکن‌ها در برابر استخرهای نقدینگی از آن استفاده می‌کنند) فاقد عبارت “return” بوده است. تیم همچنین افزود:

“مهاجم با فراخوانی `skim(router)` از این سوءاستفاده کرد تا انتقال‌های دوگانه DIP را فعال کند، سپس با `sync()` ذخیره DIP را به مقداری بسیار پایین تنظیم کرد و با دستکاری قیمت AMM استخر را تخلیه کرد.”

با وجود ارائه توضیحی دقیق، Slowmist نام مهاجم را اعلام نکرد و نگفت آیا امکان بازیابی وجوه سرقت‌شده در آینده نزدیک وجود دارد یا نه.

سازوکار کل این عملیات، با توجه به اینکه صرافی‌های غیرمتمرکزی مانند Pancakeswap برای جابه‌جایی توکن‌ها بین معامله‌گران و استخرهای نقدینگی به قراردادهای روتر خودکار متکی‌اند، بسیار عادی به نظر می‌رسد. یک توکن می‌تواند منطق سفارشی به تابع انتقال خود اضافه کند، اما وقتی آن منطق تعاملات روتر را به‌درستی مدیریت نکند، در برای پرداخت‌های تکراری و ناخواسته باز می‌شود.

در مورد DIP، نبودِ “return” باعث شد کدی که باید پس از یک انتقال متوقف می‌شد، ادامه پیدا کند و بار دوم هم اجرا شود. هر معامله‌ای که روتر را درگیر می‌کرد عملاً دو بار پرداخت انجام می‌داد و به‌طور نامحسوس USDC را از استخر خارج می‌کرد.

برای کارکرد این باگ نه وام فلش لازم بود، نه ترفند اوراکل و نه کلید دزدیده‌شده (فقط یک خلأ در کد خود توکن). چنین توکن‌های آگاه از روتر و دارای کارمزد هنگام انتقال، روی زنجیره‌های مرتبط با بایننس رایج‌اند؛ جایی که پروژه‌ها اغلب رفتارهای اضافی را به قالب‌های استاندارد توکن اضافه می‌کنند. هر شاخه اضافه، جای دیگری است که می‌تواند خطایی در آن پنهان شود، و سواپ‌های خودکار می‌توانند پیش از آنکه کسی متوجه شود، هزاران بار همان خطا را فعال کنند.

بخشی از سال پرهزینه ۲۰۲۶ برای دیفای

زیان DIP در مقایسه با رخنه‌های تیترساز سال کوچک است، اما با ریتم ثابت شکست‌های سطح کد هم‌خوانی دارد. پایگاه داده عمومی هک Slowmist به‌تنهایی بیش از ۲,۱۵۰ رخداد و حدود ۳۷.۸ میلیارد دلار زیان تجمعی را ثبت کرده است. در روزهای اخیر، این ردیاب زیان ۱۰۵,۰۰۰ دلاری در Thetanuts Finance و یک اکسپلویت Aztec Connect به ارزش ۲.۱ میلیون دلار را ثبت کرد.

حتی مشخص‌تر، می‌توان دید که باگ‌های قرارداد هوشمند بخش زیادی از خسارت سال را رقم زده‌اند؛ به‌طوری که پروتکل‌های دیفای (تا ماه گذشته) بیش از ۱ میلیارد دلار بر اثر هک‌ها و اکسپلویت‌ها از دست داده‌اند. خودِ Slowmist تخلیه Aztec Connect را به یک قرارداد منسوخ نسبت داد و سرقت Grok-Bankr به مبلغ ۱۷۴,۵۷۰ دلار را به یک عامل هوش مصنوعی (AI) نسبت داد که فریب خورد و یک انتقال را تأیید کرد.

در نهایت، Bitcoin.com News اوایل سال گزارش داد که Zetachain پس از آنکه Slowmist نبود کنترل دسترسی در قرارداد GatewayZEVM را شناسایی کرد، مین‌نت خود را متوقف کرد؛ نمونه‌ای دیگر از اینکه یک شکاف منطقیِ واحد چگونه به مهاجمان فرصتی برای حمله می‌دهد.

با نبودِ تأیید برای بازیابی و همچنان ناشناس بودن مهاجم، ماجرای DIP یک درس تکرارشونده را تقویت می‌کند: یک خطِ جاافتاده می‌تواند برای خالی کردن یک استخر کافی باشد و با افزایش زیان‌های دیفای، ممیزی‌های مستقل همچنان خط اصلی دفاع باقی می‌مانند.