عُطل في نظام المكافآت يتسبب في خسارة 215,000 دولار من Fluid بعد اختراق المفاتيح

تعرض بروتوكول التمويل اللامركزي (Fluid) لخسائر تقدر بحوالي 215 ألف دولار بعد اختراق نظام توزيع المكافآت الخاص به على شبكة إيثريوم في وقت سابق من هذا الأسبوع، وفقًا لتقرير صادر عن منصة تحليل المخاطر DeFi BlackHart. الحادثة نشأت من اختراق مفاتيح تشغيلية وليس من خلل في كود العقود الذكية الأساسية.

كيف تم الاختراق؟

سيطر المخترق على مفتاحين تشغيليين يستخدمان لإنشاء قوائم المكافآت والموافقة عليها داخل البروتوكول. باستخدام هذا الوصول، قام بتسجيل قائمة مكافآت والموافقة عليها، مما أدى إلى توجيه جميع التوزيعات إلى عنوان واحد تحت سيطرته. ثم تم سحب الأموال وتحويلها بسرعة. أكدت Fluid أن الاختراق لم يؤثر على أسواق الإقراض أو الخزائن أو البورصة اللامركزية أو ودائع المستخدمين.

الأصول المسروقة شملت 112,883 رمز FLUID و47,903 رمز GHO وكمية صغيرة من cbBTC. قام المخترق بتحويل هذه الأصول إلى إيثريوم ونقلها عبر Tornado Cash، وهي أداة خصوصية تستخدم لإخفاء مسارات المعاملات.

الاستجابة والإصلاح

أعلنت Fluid أنها استبدلت المفاتيح المخترقة ونقلت أموال المكافآت المتبقية إلى عنوان آمن. شدد المشروع على أن الحادثة كانت محصورة في نظام توزيع المكافآت وأن وظائف البروتوكول الأساسية لا تزال تعمل. يسلط الاختراق الضوء على ثغرة مستمرة في DeFi: أمان البنية التحتية التشغيلية خارج السلسلة.

لماذا هذا مهم لمستخدمي DeFi؟

بينما تعتبر مراجعات العقود الذكية ممارسة قياسية، تؤكد حادثة Fluid أن إدارة المفاتيح لا تقل أهمية. المفاتيح الإدارية المخترقة يمكنها تجاوز حتى أكثر الأكواد مراجعة بدقة. بالنسبة للمستخدمين، يعزز هذا الحدث أهمية البروتوكولات التي تستخدم حوكمة متعددة التوقيعات وأقفال زمنية وإدارة لامركزية للمفاتيح لتقليل نقاط الفشل الفردية.

استخدام Tornado Cash في غسل الأموال المسروقة يجلب أيضًا اهتمامًا متجددًا بالتدقيق التنظيمي حول أدوات الخصوصية، خاصة بعد العقوبات الأمريكية ضد المنصة في 2022. قد تدفع الحادثة إلى مزيد من النقاش حول كيفية موازنة بروتوكولات DeFi بين الشفافية والأمان التشغيلي.

الخلاصة

اختراق Fluid يذكرنا بأن أمان DeFi يمتد إلى ما وراء مراجعات العقود الذكية. مع نضوج الصناعة، ستكون إدارة المفاتيح القوية وممارسات الأمان التشغيلي ضرورية للحفاظ على ثقة المستخدمين ومنع اختراقات مماثلة. اتخذت Fluid إجراءات تصحيحية فورية، لكن الحادثة تضاف إلى قائمة متزايدة من الهجمات التي تستهدف البنية التحتية الإدارية بدلاً من ثغرات الكود.

الأسئلة الشائعة

• س: هل كان الاختراق بسبب خلل في العقد الذكي؟
  ج: لا. المخترق اخترق مفتاحين تشغيليين يستخدمان لإنشاء قوائم المكافآت والموافقة عليها، وليس ثغرة في كود العقد الذكي نفسه.
• س: هل تأثرت ودائع المستخدمين أو أسواق الإقراض؟
  ج: أكدت Fluid أن أسواق الإقراض والخزائن والبورصة اللامركزية وودائع المستخدمين لم تتأثر. فقط نظام توزيع المكافآت هو الذي تم اختراقه.
• س: كيف قام المخترق بغسل الأموال المسروقة؟
  ج: قام المخترق بتحويل الأصول المسروقة إلى إيثريوم ونقلها عبر Tornado Cash، وهي أداة خلط خصوصية تخفي مسارات المعاملات.