أعلنت منصة AFX عن تجهيز خطة تعويضية للمستخدمين المتضررين من اختراق الجسر الرقمي الذي بلغت خسائره 24.15 مليون دولار الأسبوع الماضي، مع تحديد موعد الإعلان عن المقترح في 3 أغسطس.
وفقًا للإعلان الذي نشرته AFX، يعمل بروتوكول المشتقات اللامركزية على وضع اللمسات الأخيرة لخطة التعويض بعد الحادث الأمني الذي وقع في 22 يوليو، وسينشر التفاصيل يوم الاثنين 3 أغسطس. وقال الفريق إن المستثمرين والموظفين والداعمين الأوائل تأثروا جميعًا بالهجوم، وطلب من المجتمع التحلي بالصبر حتى اكتمال المقترح النهائي.
يأتي هذا التحديث بعد أن أكملت AFX تحقيقها الفني في الاختراق، الذي أسفر عن سرقة حوالي 24.15 مليون دولار من عملة USDC من جسر الحفظ الذي تديره AFX. لم يكشف البروتوكول بعد عن كيفية تنظيم التعويض أو الاسترداد، لكنه قال إن إعلانه القادم سيركز على الخطة التعويضية.
أكدت البيانات العامة السابقة أن الاختراق استهدف البنية التحتية التي تديرها AFX وليس الجسر الأصلي لشبكة Arbitrum. في ذلك الوقت، حقق فريق الأمن البلوكشيني Blockaid وفريق Arbitrum في الحادث، بينما قال ستيفن غولدفيدر المؤسس المشارك لـ Offchain Labs إن المعاملة المشبوهة نشأت من بروتوكول طرف ثالث وليس من الجسر الأساسي لـ Arbitrum.
AFX: الهجوم بدأ من مطور
في تقرير مفصل نُشر بعد الحادث، قالت AFX إن الاختراق نشأ من حملة هندسة اجتماعية استهدفت أحد مطوريها، وليس من ثغرة في العقود الذكية أو البنية التحتية للبلوكشين. وفقًا للبروتوكول، تظاهر المهاجم بأنه مسؤول توظيف من شركة تدعى Oddium Lab في 9 يوليو، وأقنع المطور باستنساخ مستودع برمجيات بدا شرعيًا.
قالت AFX إن المستودع احتوى على إعداد Git خبيث نفّذ حمولة مخفية أثناء سير عمل Git الروتيني، مما منح المهاجم موطئ قدم أولي داخل جهاز المطور. باستخدام الجهاز المخترق، وسّع المهاجم الوصول تدريجيًا عبر أنظمة التطوير الداخلية قبل تنزيل الكود المصدري للمشروع بعد عدة أيام.
قال التحقيق إن المهاجم حمّل لاحقًا إضافة Groovy خبيثة في مستودع JFrog للبروتوكول، محققًا تنفيذًا عن بُعد للكود داخل بيئة تسليم البرمجيات. وفقًا لـ AFX، تم التعامل مع أحداث نقص الذاكرة المتكررة على خادم JFrog في البداية كمشكلات تشغيلية بمساعدة المورد، مما سمح للإضافة الخبيثة بالبقاء عبر عمليات إعادة تشغيل متعددة دون إطلاق استجابة أمنية.
كشف التحليل الجنائي لاحقًا أن المهاجم استبدل ملفات النظام بنسخ مزيفة، وحقن مكتبات مشتركة خبيثة، وحاول مسح سجلات الأمان قبل أن تتعطل أجزاء من البرمجيات الخبيثة. سجلت سجلات SELinux حركة مرور خارجة لأوامر التحكم، وتنفيذ أوامر، وتنفيذ كود في الذاكرة، مما شكل أدلة مهمة أثناء التحقيق، وفقًا للتقرير.
اختراق المدققين أدى إلى سرقة الجسر
قال البروتوكول إن المهاجم انتقل في النهاية من بيئة التطوير المخترقة إلى بنيته التشغيلية باستخدام خدمة إدارة داخلية قائمة على Ansible تمتلك وصولًا متميزًا إلى عقد المدققين. بدلاً من سرقة بيانات اعتماد جديدة أو استغلال خدمة خارجية، استخدم المهاجم علاقات الثقة الموجودة لنشر حمولات خبيثة عبر مجموعة فرعية من المدققين.
قالت AFX إن عقد المدققين المصابة قامت بتنزيل حمولة من المرحلة الثانية من خادم بعيد قبل التدخل في معالجة رسائل الإجماع. في الساعة 9:27 مساءً بتوقيت UTC يوم 22 يوليو، وقع المدققون المتأثرون بشكل مشترك على معاملة جسر نقلت حوالي 24.15 مليون دولار من عملة USDC من جسر الحفظ الذي تديره AFX.
قال البروتوكول إن تحقيقه لم يجد أي دليل على أن شبكة Arbitrum أو الجسر الأصلي الخاص بها قد تم اختراقهما. اقتصر الهجوم على البنية التحتية التي تديرها AFX، مما يطابق البيانات التي أصدرتها Offchain Labs وBlockaid سابقًا أثناء الاستجابة الأولية.
تتبع المحققون البلوكشينيون لاحقًا عملات USDC المسروقة بعد انتقالها من Arbitrum إلى Ethereum، حيث تم تحويل العائدات إلى حوالي 12,467 إيثر. في وقت التحقيق الأولي، لم تؤكد أي تقارير عامة استرداد أي جزء من الأصول المسروقة.
التحقيق يشير إلى اختراق سلسلة التوريد
وفقًا لـ AFX، أظهر الحادث أن هجمات سلسلة توريد البرمجيات يمكنها تجاوز أمان البلوكشين دون استغلال العقود الذكية مباشرة. خلص البروتوكول إلى أن الهجوم اعتمد على أدوات تطوير موثوقة، وأنظمة نشر داخلية، وبنية تحتية للمدققين بدلاً من نقاط الضعف في الكود على السلسلة.
قال التقرير إن البروتوكول أعاد بناء البنية التحتية المتضررة، ودوّر بيانات الاعتماد التشغيلية، وزاد من حساسية المراقبة، ونقل أنظمة الإنتاج إلى بيئة أكثر عزلة مع تقسيم قائم على نموذج الثقة الصفرية. تشمل الأعمال الإضافية المخطط لها خلال الأشهر القادمة مراقبة سلوكية أقوى، ومراجعات أمنية إلزامية قبل إعادة تشغيل خدمات الإنتاج، وتوسيع تمارين البحث عن التهديدات، وتدريب الموظفين ضد هجمات الهندسة الاجتماعية.
بناءً على الأدلة الجنائية وتقنيات الهجوم والبنية التحتية التي لوحظت أثناء التحقيق، قالت AFX إن نتائجها متوافقة مع الإسناد المستقل الذي يربط الحادث بمجموعة UNC4899، المعروفة أيضًا باسم TraderTraitor، وهي مجموعة تهديد مرتبطة بكوريا الشمالية تتعقبها Mandiant وMicrosoft Threat Intelligence وFBI وCISA. قال البروتوكول إنه يواصل العمل مع شركاء أمنيين خارجيين لتتبع الأصول المسروقة ودعم جهود الاستجابة الجارية.
هجمات خارج السلسلة ظهرت في عدة اختراقات DeFi
تضيف النتائج الأخيرة إلى سلسلة من الحوادث التي خلصت فيها البروتوكولات إلى أن المهاجمين اخترقوا البنية التحتية الداعمة بدلاً من استغلال ثغرات في العقود الذكية.
في 30 يوليو، قالت Ostium إن تحقيقها في اختراق منفصل بقيمة 23.75 مليون دولار من USDC وجد أن الوصول غير المصرح به إلى البنية التحتية خارج السلسلة سمح بتقارير أسعار BTC-USD احتيالية لسحب الأموال من خزينة السيولة، بينما بقيت عقودها الذكية ومحافظ التوقيعات المتعددة دون اختراق.
في وقت سابق من هذا الشهر، كشفت شركة Triple-A السنغافورية للمدفوعات بالعملات المستقرة عن وصول غير مصرح به إلى محافظ الخزانة التي تحتوي على أصول رقمية مملوكة للشركة، على الرغم من أنها قالت إن أموال العملاء وعمليات الدفع لم تتأثر.
الأسئلة الشائعة
كم بلغت خسائر اختراق AFX؟
بلغت الخسائر حوالي 24.15 مليون دولار من عملة USDC، تم نقلها من جسر الحفظ الذي تديره AFX في 22 يوليو، ثم تحويلها لاحقًا إلى حوالي 12,467 إيثر على شبكة Ethereum.
كيف تمكن المهاجمون من اختراق AFX؟
اخترق المهاجمون نظامًا من خلال حملة هندسة اجتماعية ضد أحد المطورين، ثم انتقلوا تدريجيًا من بيئة التطوير إلى أنظمة التشغيل باستخدام علاقات الثقة الداخلية، وتمكنوا من توقيع معاملة جسر ضارة عبر عقد مدققين مصابة.
هل تم اختراق شبكة Arbitrum أو جسرها الأصلي؟
لا، أكد التحقيق أن الهجوم اقتصر على البنية التحتية التي تديرها AFX فقط، ولم يجد أي دليل على اختراق شبكة Arbitrum أو جسرها الأصلي، وهو ما تطابق مع تصريحات Offchain Labs وBlockaid.
