تحليل أكبر حادثة أمان في بداية العام: مشروع Orbit Chain يتكبد خسارة قدرها 80 مليون دولار

في 1 يناير 2024، تعرضت منصة جسر عبر السلاسل Orbit Chain لهجوم أمني كبير، حيث بلغت الخسائر حوالي 80 مليون دولار. تُظهر بيانات منصة المراقبة الأمنية أن المهاجمين بدأوا هجمات تجريبية صغيرة قبل يوم واحد، واستفادوا من كمية صغيرة من ETH المسروقة لتوفير رسوم المعاملات للهجوم الكبير اللاحق.

في الوقت الحالي، اتخذ فريق المشروع تدابير طارئة وأوقف تشغيل عقد الجسر متعدد السلاسل، ويحاول التواصل مع المهاجمين. قام الخبراء الأمنيون بتحليل متعمق لهذا الحدث، وفيما يلي النتائج الرئيسية:

تحليل أساليب الهجوم

المهاجمون يقومون بشكل رئيسي بنقل الأصول عن طريق استدعاء دالة السحب في عقد الجسر الخاص بـ Orbit Chain مباشرة. تستخدم هذه الدالة آلية التحقق من التوقيع لضمان شرعية عملية السحب. بشكل أكثر تحديداً:

1. تقوم دالة السحب بالتحقق من صحة التوقيع لتأكيد شرعية المعاملة.
2. خلال عملية التحقق، سيتم إرجاع عدد التوقيعات من المالك.
3. إذا وصلت أو تجاوزت عدد التوقيعات الحد المسبق، يُسمح بسحب الأموال.

وفقًا للبيانات على السلسلة، يتم إدارة العقد بواسطة 10 عناوين مديرة بشكل مشترك، حيث يحتاج الأمر إلى توقيع 7 مدراء على الأقل (70%) لتنفيذ عملية السحب.

يُرجح الخبراء أن هذه الحادثة ناتجة عن هجوم احتيالي على الخادم الذي يخزن مفتاح الإدارة الخاص.

خط الزمن للهجوم

• 30 ديسمبر 2023 15:39:35 (UTC): بدأ المهاجمون هجومًا تجريبيًا صغيرًا على Orbit Chain، حيث قاموا بسرقة كمية صغيرة من ETH وتوزيعها على عناوين هجوم أخرى كرسوم.
• 31 ديسمبر 2023 21:00 (UTC): عدة عناوين هجوم تهاجم بشكل متزامن أصول Orbit Chain المتعددة من العملات المشفرة، بما في ذلك DAI و WBTC و ETH و USDC و USDT.

تدفق الأموال

حتى وقت نشر التقرير، تم تحويل الأموال المسروقة إلى 5 عناوين مختلفة. المبالغ المحددة هي كما يلي:

• 50000000 دولار أمريكي من العملات المستقرة (30000000 USDT، 10000000 DAI، 10000000 USDC)
• 231 وBTC (حوالي 1000万美元)
• 9500 قطعة من ETH (تبلغ قيمتها حوالي 2150万美元)

إشارات الأمان

تُبرز هذه الحادثة مجددًا أهمية تصميم أمان أنظمة البلوكشين:

1. أمان الشيفرة: يجب أن تتبع شيفرة العقد باعتبارها جوهر نظام blockchain أفضل ممارسات الأمان بدقة وتجنب الثغرات الشائعة.

2. إدارة الأذونات: تعزيز آلية التحقق من الهوية، وتنفيذ توقيع متعدد والتحكم الصارم في الأذونات، لمنع العمليات غير المصرح بها.

3. المراقبة المستمرة: إنشاء نظام مراقبة في الوقت الحقيقي لاكتشاف والتعامل مع التهديدات المحتملة في الوقت المناسب.

4. الاستجابة للطوارئ: وضع خطة طوارئ شاملة لضمان الاستجابة السريعة عند حدوث حدث ما، وتقليل الخسائر إلى الحد الأدنى.

تُذكّرنا هذه الحادثة بأن مشكلات الأمان لا تزال واحدة من أكبر التحديات التي تواجه الصناعة، في ظل التطور السريع لتقنية blockchain. يجب على أصحاب المشاريع والمطورين والمستخدمين الحفاظ على مستوى عالٍ من اليقظة، والعمل معًا للحفاظ على أمان النظام البيئي.