الحوت فقد أكثر من 6 ملايين USD بسبب توقيع خاطئ على توقيع ضار

لقد تكبد حوت عملة مشفرة خسائر تزيد عن 6 ملايين دولار تشمل إثيريوم المُستَثمَر (stETH) وبيتكوين المغلف من Aave (aEthWBTC) بعد أن وافق عن طريق الخطأ على توقيع خبيث في هجوم تصيد يوم 18/9، وفقًا لشركة الأمن blockchain Scam Sniffer.

وفقًا للتقرير، فقد تنكر المهاجم في هذا العمل على أنه خطوة تأكيد محفظة عادية من خلال التوقيع "إذن"، مما خدع الضحية للسماح بنقل الأصول دون كشف علامات التحذير.

يو شيان، مؤسس شركة الأمان SlowMist، قال إن الضحية لم تدرك الخطر بسبب المعاملات التي لا تتطلب رسوم غاز. كتب:

"من وجهة نظر الضحية، كان عليه فقط أن يضغط بضع مرات لتأكيد نافذة التوقيع التي ظهرت من المحفظة، دون أن يتحمل أي رسوم غاز، و 6.28 مليون دولار قد اختفت."

كيفية عمل استغلال التصريح

تم تصميم وظيفة "Permit" لتبسيط عملية نقل الرموز. بدلاً من تنفيذ أمر على السلسلة ودفع رسوم الغاز، يمكن للمستخدم توقيع رسالة خارج السلسلة لتفويض طرف آخر.

ومع ذلك، فإن هذه السهولة قد فتحت سطح هجوم جديد للمهاجمين. عندما يوقع الضحية على "إذن"، يمكن للمهاجم دمج وظيفتين - الإذن و TransferFrom - لسحب الأصول مباشرة. نظرًا لأن التفويض يحدث خارج السلسلة، لا تعرض لوحة التحكم في المحفظة أي نشاط غير طبيعي حتى يتم سحب الأصول.

نتيجة لذلك، عندما يتم تنفيذ المعاملة على السلسلة، تم نقل جميع الرموز إلى محفظة المهاجم. هذه هي الثغرة التي تجعل استغلال التصريح يصبح أداة مفضلة للهاكرز، مما يسمح لهم بسحب ملايين الدولارات دون الحاجة إلى تقنيات اختراق معقدة أو دفع رسوم غاز باهظة.

تزايد الأضرار الناتجة عن التصيد الاحتيالي

تظهر هذه القضية الاتجاه المتزايد بقوة لحملات التصيد الاحتيالي.

وفقًا لـ Scam Sniffer، في شهر أغسطس وحده، قام المهاجمون بسرقة 12.17 مليون دولار من أكثر من 15,200 ضحية، بزيادة قدرها 72% مقارنة بشهر يوليو. ومن الجدير بالذكر أن ما يقرب من نصف الأضرار جاءت من ثلاث محافظ كبيرة، بما في ذلك محفظة فقدت 3.08 مليون دولار في عملية واحدة فقط.

تعتقد الشركة أن هذا الارتفاع يرجع أساسًا إلى عمليات الاحتيال المتعلقة بـ EIP-7702 (batch-signature scam) وإلى قيام المستخدمين بنقل الأموال مباشرة عن غير قصد إلى عقد ضار.

في ظل هذه الظروف، ينصح خبراء الأمن المستخدمين في العملات الرقمية بأن يكونوا في غاية الحذر عند التوقيع على الطلبات من المحفظة، وخاصة تجنب منح الوصول غير المحدود لثرواتهم.

فانغ تيان