عانى بروتوكول الإقراض اللامركزي “بونزو ليند” من ثغرة أمنية بقيمة 9 ملايين دولار بسبب خطأ في “أوراكل” (مزود بيانات خارجي) على شبكة هيديرا، وذلك بعد أن قام الفريق المعني بتحديث عقود الأوراكل على 11 سلسلة بلوكشين أخرى دون تحديث عقد هيديرا المعطل.
تفاصيل الهجوم
أوضح بروتوكول بونزو ليند أن الأوراكل قبل سعرًا خاطئًا جدًا للأصول المستخدمة كضمان من قبل المهاجم، مما سمح له باقتراض أموال تفوق بكثير القيمة الحقيقية للضمانات. وتمكن هاكر أبيض (مخترق أخلاقي) من سحب مليون دولار إضافية لحمايتها.
الأوراكل الضعيف تم تطويره بواسطة شركة “سوبرا نيتوورك” المتخصصة في البنية التحتية للبلوكشين، والتي تفتخر بأن أوراكلاتها “تعمل على 67 شبكة رئيسية”.
كيف حدث الثغرة؟
بعد الهجوم بفترة قصيرة، أشار المحلل “أسمان خان” إلى أن سوبرا قامت بترقية العديد من أوراكلاتها قبل الاختراق، لكنها لم تطور العقد على شبكة هيديرا الذي كان يستخدمه بونزو ليند.
في تقرير نُشر بعد حوالي 12 ساعة من الهجوم، وصفت سوبرا الخطأ بأنه “حالة نادرة في التشفير” ولم تذكر إصلاح العقود على السلاسل الأخرى، فقط قالت: “راجعنا جميع عقود الأوراكل التي تستخدم نفس النمط للتأكد من وجود نفس الحماية”.
اتهم الرئيس التنفيذي لسوبرا، جوش توبكين، “القرصنة المدعومة بالذكاء الاصطناعي” باكتشاف ثغرة “لم ترها العيون البشرية لمدة عامين”.
عملية الإصلاح
بعد تحليل النشاط على السلسلة، اكتشف المحلل “توماتشي أنورا” أن سوبرا نفذت إصلاحات عبر 11 سلسلة بين 29 يونيو (قاعدة) و3 يوليو (بوليجون)، مع إصلاحين إضافيين على هيديرا وفيوز بعد الاختراق.
وأكد أنورا أن جميع العقود المحدثة تعود إلى نفس العقد المحمي “SupraSValueFeedVerifier” المكون من 17,354 حرفًا. لكن يبقى السؤال: لماذا توقفت الإصلاحات في 3 يوليو، تاركة عقد هيديرا عرضة للخطر؟
هجمات الأوراكل المكلفة
تستخدم مشاريع التمويل اللامركزي أوراكلات طرف ثالث لتسعير الأصول أو الحصول على بيانات خارجية. هجمات التلاعب بالأوراكل شائعة، حيث يتم تضخيم قيمة الضمانات لسحب سيولة الإقراض.
تسببت عمليات استغلال الأوراكل في خسائر إضافية بقيمة 3.5 ملايين دولار في الأشهر الأخيرة. كما أدى خطأ في توقيت الطابع الزمني لأوراكل “تشاوس لابس” إلى تصفيات خاطئة بقيمة 27 مليون دولار من عملة wstETH في أسواق آفي في مارس الماضي.
أسئلة شائعة
- س: ما هو الأوراكل (Oracle) في العملات الرقمية؟
ج: هو برنامج يربط العقود الذكية بالبيانات الخارجية مثل أسعار العملات، ويساعد منصات التمويل اللامركزي في تحديد قيمة الأصول بشكل صحيح.
- س: كيف حدثت سرقة 9 ملايين دولار في هيديرا؟
ج: بسبب خطأ في أوراكل قبل سعرًا مبالغًا فيه للأصول الضمانية، مما سمح للمهاجم باقتراض مبالغ ضخمة دون تغطية كافية، وتم إصلاح العقد على 11 سلسلة أخرى لكن ليس على هيديرا.
- س: ما هي عواقب هجمات الأوراكل؟
ج: تؤدي إلى سرقة أموال المستخدمين، وانهيار الثقة في المشاريع اللامركزية، وخسائر بالملايين مثلما حدث مع بونزو ليند وآفي في الفترة الأخيرة.
