خسارة تزيد عن 26 مليون دولار أمريكي، تحليل حادثة أمان بروتوكول Truebit وتتبع تدفقات الأموال المسروقة

null

المؤلف: Beosin

في صباح يوم 9 يناير، تعرض عقد غير مفتوح المصدر تم نشره قبل 5 سنوات بواسطة بروتوكول Truebit إلى هجوم، مما أدى إلى خسارة 8,535.36 ETH (بقيمة حوالي 26,400,000 دولار أمريكي). قام فريق أمان Beosin بتحليل الثغرات وتتبع الأموال الناتجة عن هذا الحادث الأمني، وشارك النتائج على النحو التالي:

تحليل أساليب الهجوم

في هذا الحدث، قمنا بتحليل المعاملة الرئيسية للهجوم، ورمز المعاملة هو: 0xcd4755645595094a8ab984d0db7e3b4aabde72a5c87c4f176a030629c47fb014

1. قام المهاجم باستدعاء getPurchasePrice() للحصول على السعر

2. ثم استدعى الدالة ذات العيب 0xa0296215()، وضبط قيمة msg.value على قيمة صغيرة جدًا

نظرًا لعدم فتح المصدر للعقد، واستنادًا إلى الكود المعاد تجميعه، يُعتقد أن هذه الدالة تحتوي على ثغرة منطقية حسابية، مثل مشكلة في تقطيع الأعداد الصحيحة، مما أدى إلى تمكن المهاجم من إصدار كمية كبيرة من رموز TRU.

3. قام المهاجم من خلال دالة burn بإعادة بيع الرموز المصدرة إلى العقد، واستخرج كمية كبيرة من ETH من احتياطيات العقد.

كرر هذه العملية 4 مرات، مع زيادة قيمة msg.value في كل مرة، حتى تم استنزاف تقريبًا جميع ETH في العقد.

تتبع الأموال المسروقة

وفقًا لبيانات المعاملات على السلسلة، قام فريق Beosin من خلال منصة التحقيق والتتبع على السلسلة التابعة له، BeosinTrace، بإجراء تتبع شامل للأموال، وشارك النتائج على النحو التالي:

حتى الآن، تم نقل 8,535.36 ETH المسروقة، ومعظمها مخزن في العنوانين 0xd12f6e0fa7fbf4e3a1c7996e3f0dd26ab9031a60 و0x273589ca3713e7becf42069f9fb3f0c164ce850a.

من بين العناوين، يمتلك العنوان 0xd12f حوالي 4,267.09 ETH، والعنوان 0x2735 يمتلك 4,001 ETH. العنوان الذي قام المهاجم ببدء الهجوم منه (0x6c8ec8f14be7c01672d31cfa5f2cefeab2562b50) لا يزال يحتفظ بـ267.71 ETH، ولم يتم بعد نقل أموال إضافية بين العناوين الثلاثة.

مخطط تدفق الأموال المسروقة بواسطة Beosin Trace

جميع العناوين المذكورة أعلاه تم تصنيفها من قبل Beosin KYT كعناوين عالية المخاطر، كمثال على عنوان المهاجم:

Beosin KYT

الخاتمة

تتعلق الأموال المسروقة في هذا الحادث بعقد ذكي غير مفتوح المصدر منذ 5 سنوات. بالنسبة لمثل هذه العقود، ينبغي على المشاريع ترقية العقود، وإضافة ميزات التوقف الطارئ، وتقييد المعلمات، والاستفادة من ميزات الأمان الجديدة في Solidity. بالإضافة إلى ذلك، لا تزال التدقيقات الأمنية ضرورية للعقود. من خلال التدقيق الأمني، يمكن لشركات Web3 اكتشاف الثغرات المحتملة في كود العقود الذكية بشكل شامل، وتصحيحها، وزيادة أمان العقود.

*ستوفر شركة Beosin تقريرًا كاملًا عن تدفق الأموال وعناوين المخاطر المرتبطة بها، ويمكنكم طلبه عبر البريد الإلكتروني الرسمي support@beosin.com.