تباطؤ استغلال الثغرات يكشف أن ثغرات ERC4626 القديمة لا تزال تهدد بروتوكولات الإقراض في التمويل اللامركزي (DeFi)
تعرض بروتوكول الإقراض اللامركزي “إنيرشيا” (Inertia) لاختراق أدى إلى سرقة حوالي 152 ألف دولار من عدة أسواق إقراض. وأوضح البروتوكول في تقرير مفصل نُشر في 25 مايو أن الاختراق استغل ثغرة معروفة منذ فترة طويلة في معيار “إي آر سي 4626” (ERC4626)، والتي تمكن المهاجمون من خلالها تجاوز الحماية التي توفرها أوراكل الأسعار وأنظمة إدارة المخاطر.
كيف تم تنفيذ الاختراق؟
ذكر البروتوكول أن المهاجمين تلاعبوا بسعر عملة “روإيث” (roETH) المستخدمة كضمان، ثم اقترضوا أصولاً من خمسة أسواق إقراض مختلفة داخل منصة إنيرشيا. وشمل الاختراق أسواق العملات الرقمية: USDC وINIT وsINIT وTIA وroTIA، واستمرت عملية الهجوم لمدة ساعة و13 دقيقة تقريباً.
تم تعويض المتضررين واستئناف العمليات
أكدت إنيرشيا أن صندوق التأمين التابع لها قام بالفعل باستعادة جميع أرصدة المستخدمين المتضررين، وأن عمليات الإقراض قد استؤنفت بشكل طبيعي.
استغلال نقاط الضعف المعروفة في معيار ERC4626
وفقاً للبروتوكول، استخدم المهاجمون مزيجاً من تقليل المعروض من العملة والتبرع المباشر بالرموز من أجل التلاعب بسعر صرف عقد “روإيث” الخاص بتجميع السيولة (Liquid Staking). تركز الاختراق على نمط ثغرات معروف في معيار ERC4626 يتعلق بآليات حساب سعر السهم.
أوضحت إنيرشيا أن المهاجمين قاموا أولاً بتقليل كمية عملات “روإيث” المتداولة بنسبة 99.7% تقريباً عن طريق طلب سحب. ثم قاموا بتحويل عملات “wstETH” مباشرة إلى العقد دون سك رموز جديدة، مما أدى إلى تضخم حاد في سعر الصرف المعلن. قفزت قيمة “روإيث” المعلنة من حوالي 1.234 stETH لكل رمز إلى ما يقرب من 33.75 stETH، أي بزيادة تقدر بـ 27 ضعفاً. بعد ذلك، استخدم المهاجمون قيمة الضمان المتضخمة لسحب الأصول من عدة مجموعات إقراض.
فشل حماية أوراكل الأسعار في منع التلاعب
أقرت إنيرشيا بأن الاختراق نجح ليس فقط بسبب ثغرة عقد التجميع، ولكن أيضاً لأن أنظمة الحماية الخاصة بتسعير الأوراكل فشلت في اكتشاف القيمة المتلاعب بها للضمان. اعترف البروتوكول بأن نظام التسعير كان يفتقر إلى:
- التحقق من صحة البيانات بشكل كافٍ.
- آليات مراقبة متقدمة للكشف عن الحالات الشاذة في الأسعار.
كما أقر البروتوكول بأن هذا النوع من الثغرات (ERC4626) موثق منذ عام 2022، وتوجد حلول معروفة وواسعة الانتشار لمواجهته.
خطط إنيرشيا لتعزيز إدارة المخاطر
بعد الاختراق، أعلنت إنيرشيا عن اعتزامها إجراء تغييرات شاملة في بنية الأوراكل الخاصة بها وإطار مراجعة الضمانات. وتخطط الشركة لإدخال:
- إجراءات أكثر صرامة لتقييم الضمانات.
- طبقات أمان إضافية في نظام التسعير.
وأضافت إنيرشيا أنها لا تزال تنسق جهود استرداد الأصول المتعلقة بالعملات التي يمكن تتبعها عبر قوائم التحقق من المدققين ومجموعات السيولة وبنية الجسور.
الأسئلة الشائعة (FAQ)
س1: كم بلغت قيمة الخسائر في اختراق منصة إنيرشيا؟
ج1: بلغت قيمة الأصول المسروقة حوالي 152 ألف دولار أمريكي، من عدة أسواق إقراض مختلفة داخل المنصة.
س2: كيف تمكن المخترقون من التلاعب بالأسعار؟
ج2: استغل المهاجمون ثغرة معروفة في معيار ERC4626. قاموا بتقليل كمية عملات “روإيث” المتداولة بشكل كبير ثم أودعوا أصولاً أخرى في العقد، مما أدى إلى تضخم سعر “روإيث” بشكل مصطنع، واستخدموا هذه القيمة المتضخمة كضمان للحصول على قروض.
س3: هل تم تعويض المستخدمين المتضررين؟
ج3: نعم، أكدت منصة إنيرشيا أن صندوق التأمين الخاص بها قام باستعادة جميع أرصدة المستخدمين المتضررين بالكامل، وأن عمليات الإقراض قد استؤنفت بشكل طبيعي.
