ظهور ثغرتين مزدوجتين في عقد المحتوى الرقمي، مما أدى إلى حجز أصول بقيمة 34 مليون دولار بشكل دائم

اكتشفت BlockSec مؤخراً وجود ثغرتين خطيرتين في عقد رقمي، مما أثار اهتمام الصناعة. قد تؤدي الثغرة الأولى إلى تعرض العقد لهجوم حجب الخدمة، مما يعرض أصول المستخدمين لخطر القفل؛ بينما قد تؤدي الثغرة الثانية إلى احتجاز أكثر من 34 مليون دولار من أصول المشروع بشكل دائم في العقد وعدم القدرة على سحبها.

!

توجد الثغرة الأولى في دالة معالجة الاسترداد. تقوم هذه الدالة باسترداد الأموال لجميع المستخدمين عبر حلقة، ولكن إذا كان كائن الاسترداد عقدًا خبيثًا، فقد يرفض استلامه ويقوم بالتراجع عن الصفقة، مما يؤدي إلى انقطاع العملية بأكملها. لحسن الحظ، لم يتم استغلال هذه الثغرة فعليًا.

في مثل هذه الحالات، يوصي الخبراء الأمنيون بأن تتخذ الجهات المشروعة التدابير التالية لتعزيز أمان آلية استرداد الأموال:

1. تقتصر المشاركة في المشروع على حسابات المستخدمين الأفراد فقط
2. استخدام رموز ERC20 كبديل للأصول الأصلية
3. تصميم ميزة للمستخدم لاسترداد الأموال بشكل نشط، لتجنب الاسترداد الجماعي

!

الثغرة الثانية ناتجة عن خطأ في البرمجة. في دالة استخراج أموال المشروع، كان هناك عبارة شرطية بها خطأ. كان من المفترض أن تقارن هذه العبارة تقدم الاسترداد مع فهرس العطاء، لكنها قورنت بشكل خاطئ مع العدد الإجمالي للعطاءات. نظرًا لأن تقدم الاسترداد يكون دائمًا أقل من العدد الإجمالي للعطاءات ولا يزداد، فإن الشرط لا يمكن أن يتحقق أبدًا، وبالتالي تم قفل أموال المشروع بشكل دائم في العقد.

هذا الخطأ تسبب في احتجاز أصول تزيد قيمتها عن 34 مليون دولار أمريكي حاليًا في العقد ولا يمكن سحبها.

قال خبراء الأمن إنه من المدهش أنه بعد حادثة ثغرة التحقق من التوقيعات في مقتنيات NBA الرقمية، ظهر مشروع معروف آخر بخطأ بهذا المستوى المنخفض. وأكدوا أن عملية تطوير المشروع تحتاج إلى كتابة مجموعة كافية من حالات الاختبار ويجب أن تكون هناك وعي أمني أساسي. على الرغم من أن تدقيق الأمان أصبح ممارسة روتينية في مجال التمويل اللامركزي، إلا أن تدقيق الأمان لا يزال غير كافٍ في مشاريع المقتنيات الرقمية، وهذا الإهمال أدى مباشرة إلى خسائر ضخمة.

تسلط هذه الحادثة الضوء مرة أخرى على أهمية تدقيق أمان مشاريع البلوكشين، وتدعو الصناعة إلى تعزيز الفحص الأمني لعقود المقتنيات الرقمية، لمنع حدوث حوادث مماثلة مرة أخرى.

!