استیبل‌کوین یورویی مطابق با MiCA پس از سوءاستفاده از مولتی‌سیگ ۱ از ۳ که میلیون‌ها دلار را تخلیه کرد، تا ۰٫۸۵ دلار دِپگ شد

EURR با افت ۲۴٪ و USDR با سقوط ۳۷٪ مواجه شد؛ دو استیبل‌کوین StablR پس از بهره‌برداری از کلید، دپگ شدند

گزارش‌ها می‌گویند این رخنه از نقص قرارداد هوشمند ناشی نشده است. گفته می‌شود مهاجمان به یک کلید خصوصی واحد دسترسی پیدا کردند که یک کیف پول مولتی‌سیگ ۱ از ۳ را کنترل می‌کرد؛ کیف پولی که تابع مینتِ StablR را اداره می‌کرد. مهاجم با همان یک کلید، امضاکنندگان مشروع را حذف کرد، یک آدرس تحت کنترل خود افزود و توکن‌هایی بدون پشتوانهٔ وثیقه‌ای صادر کرد.

ساعت ۸:۱۰ صبح به وقت شرق آمریکا در روز یکشنبه، StablR در X به این موضوع پرداخت و اعلام کرد:

“به‌روزرسانی امنیتی: ما یک سوءاستفاده را که بر StablR اثر می‌گذارد شناسایی کرده‌ایم و به‌صورت فعال در حال کار برای مهار آن و کاهش اثرات هستیم. حفاظت از کاربران و دارایی‌های شما اولویت اصلی ماست. جزئیات تأییدشده و گام‌های بعدی را هرچه سریع‌تر به اشتراک خواهیم گذاشت.”

تحلیل‌گران آن‌چین برآورد کردند که مهاجم پیش از فروش آن‌ها در جفت‌های معاملاتی DEX با نقدشوندگی کم، حدود ۸٫۳۵ میلیون USDR و ۴٫۵ میلیون EURR مینت کرده است. ارزش استخراج‌شده حدود ۱٬۱۱۵ ETH گزارش شد که معادل تقریباً ۲٫۸ میلیون دلار است، هرچند مجموع صدور توکنِ بدون پشتوانه ممکن است به ۱۰٫۴ میلیون دلار رسیده باشد.

فشار فروش، هر دو پگ را به‌سرعت شکست. EURR به ۰٫۸۵ دلار سقوط کرد که نزدیک به ۲۴٪ کاهش است. USDR بیشتر افت کرد و در ۰٫۶۴ دلار معامله شد؛ کاهشی نزدیک به ۳۶٪ از ابتدای سال تا امروز. USDR به کف درون‌روزی ۰٫۴۰ دلار هم رسید. هر دو توکن همچنین در برابر دلار آمریکا، بیت‌کوین و اتریوم به‌شدت افت کردند.

StablR، EURR را به‌عنوان یک استیبل‌کوینِ متصل به یورو و USDR را به‌عنوان توکنی متصل به دلار بازاریابی می‌کند؛ هر دو نیز به‌عنوان ابزارهای قانون‌گذاری‌شده تحت چارچوب «بازارها در دارایی‌های رمزارزی» اتحادیهٔ اروپا (MiCA) با افشای گواهی ذخایر جایگاه‌دهی شده‌اند. این شرکت میان مالی سنتی و بازارهای مالی غیرمتمرکز پل می‌زند.

شرکت امنیتی Blockaid این رخداد را به‌طور عمومی علامت‌گذاری کرد و آستانهٔ ۱ از ۳ را «شکست در مدیریت کلید و حاکمیت» توصیف کرد. بسیاری از ناظران گفتند یک کلیدِ به‌خطر افتاده نباید قدرت صدور پول را داشته باشد، اما بنا بر ادعا پیکربندی StablR دقیقاً چنین امکانی را فراهم کرده بود.

یکی از حساب‌های X روز یکشنبه نوشت: «صدور EURR توسط یک پیاده‌سازی مولتی‌سیگ ۱/۳ (نه Safe) کنترل می‌شد که امضاکنندگانش توسط مهاجمِ ادعایی جایگزین شدند.» «سپس آن‌ها انتقال و مینت EURR جدید را برای فروش در بازارهای ثانویه ادامه دادند که به دپگ در بازار ثانویه انجامید. شایان ذکر است که StablR پیش‌تر گفته بود برای توان‌دهی به صدور EURR از پلتفرم توکنیزه‌سازی Hadron متعلق به تتر استفاده می‌کند.»

آن فرد افزود:

“اگر این یک اکسپلویت باشد، نخستین نمونه از نوع خود برای یک استیبل‌کوینِ مطابق MiCA است.”

در حالی که StablR از طریق حساب‌های رسمی X خود اکسپلویت را تأیید کرد، تا زمان نگارش این مطلب هیچ گزارش فنیِ کالبدشکافی (postmortem) یا جدول زمانی بازیابیِ دقیقی در دسترس نبود. تحلیل‌گران جامعه در X در طول روز دربارهٔ برآورد زیان‌ها از ۲٫۸ میلیون دلار تا ۱۰٫۴ میلیون دلار بحث کردند. این اختلاف گسترده بازتاب تفاوت میان مقدار اتریوم (ETH) استخراج‌شده و مجموع ارزش اسمی توکن‌های بدون پشتوانه‌ای است که وارد بازار شده‌اند.

این رخداد با الگویی همخوان است که در میان صادرکنندگان استیبل‌کوین دیده می‌شود؛ جایی که کنترل اداری، نه کد قرارداد، نقطهٔ شکست است. آستانه‌های بالاتر مولتی‌سیگ، تایم‌لاک روی توابع مینت، محدودیت نرخ، و سامانه‌های تشخیص ناهنجاری از کاهش‌دهنده‌های ریسک استاندارد برای شبکه‌های استیبل‌کوین هستند.

چارچوب مقرراتی MiCA که برای پاسخ‌گو کردن صادرکنندگان استیبل‌کوینِ فعال در اروپا طراحی شده است، به نظر نمی‌رسد کنترل‌های عملیاتی‌ای را الزام کرده باشد که بتواند از این حمله جلوگیری کند. پس از این رویداد، ممکن است بر تنظیم‌گران و حسابرسان فشار وارد شود تا استانداردهای مدیریت کلید را به‌طور مستقیم‌تر پوشش دهند.

دارندگان EURR و USDR باید کانال‌های رسمی StablR را برای به‌روزرسانی‌ها دربارهٔ هرگونه برنامه برای سوزاندن عرضهٔ بدون پشتوانه، تجدید ذخایر، یا جبران خسارت رصد کنند. استیبل‌کوین‌های اصلیِ دلار آمریکا، از جمله USDT و USDC، تحت تأثیر قرار نگرفتند.

بازار گسترده‌تر استیبل‌کوین این رویداد را بدون سرایت قابل‌توجه جذب کرد، اما رخداد StablR به سابقهٔ رو‌به‌رشدِ از دست رفتن کنترل پگ توسط صادرکنندگان کوچک‌تر و منطقه‌ای—از طریق شکست‌های حاکمیتی به‌جای آسیب‌پذیری‌های کد—می‌افزاید.