هک ۲۵ میلیون دلاری Lendf.Me؛ نقش بیت کوین توکنی و اتریوم
خبر آرشیوی، آوریل ۲۰۲۰: در حمله ۱۹ آوریل به Lendf.Me، پروتکل وام دهی در اکوسیستم dForce، حدود ۲۵ میلیون دلار دارایی از قرارداد خارج شد. بیت کوین توکنی imBTC در توضیح فنی این حادثه نقش داشت. این رویداد مربوط به قراردادهای برنامه بود و نباید آن را هک شبکه اصلی بیت کوین یا اتریوم دانست.
گزارش اولیه این مقاله در ۲۰ آوریل ۲۰۲۰ منتشر شد و به خبرهای ساعات ابتدایی حمله تکیه داشت. اطلاعات بعدی تیم پروژه درباره بازیابی وجوه نیز در بخش پایانی این نسخه اضافه شده است.
در گزارش های اولیه، کاهش شدید موجودی قرارداد Lendf.Me دیده می شد. عبارت هایی مانند «امروز» و «بدترین هک تاریخ» در نسخه قدیمی، توصیف همان مقطع بودند؛ اندازه حادثه را باید با تاریخ و محدوده مقایسه مشخص بیان کرد.
عدد حدود ۲۵ میلیون دلار، برآورد ارزش دارایی ها در زمان حادثه بود، نه مقدار یک رمزارز مشخص یا ارزش امروز آن ها. dForce نام اکوسیستم و Lendf.Me نام پروتکل وام دهی آسیب دیده در آن بود؛ این دو نام دقیقاً مترادف نیستند.
تفاوت بیت کوین و imBTC در این حادثه
دارایی های قرارداد روی اتریوم قرار داشتند. وجود توکنی با پشتوانه BTC به معنی انتقال مستقیم بیت کوین بومی به قرارداد اتریوم نیست؛ توکن نماینده، ساختار و ریسک های متفاوتی از دارایی پایه دارد.
طبق توضیح منتشرشده توسط imToken در آوریل ۲۰۲۰، حادثه به آسیب پذیری بازدرآمدی یا Reentrancy در تعامل با imBTC مربوط بود. imBTC یک توکن مبتنی بر استاندارد ERC-777 با پشتوانه بیت کوین بود. قابلیت فراخوانی مجدد هنگام انتقال توکن، در ترکیب با منطق قرارداد وام دهی، باید به درستی کنترل می شد.
به زبان ساده، در یک حمله بازدرآمدی ممکن است جریان اجرا پیش از تکمیل به روزرسانی وضعیت قرارداد، دوباره وارد یک تابع شود. مسئله اصلی، رفتار کل سامانه در تعامل با قرارداد خارجی است؛ نام یک استاندارد به تنهایی برای تشخیص امن یا ناامن بودن همه کاربردهای آن کافی نیست.
تصاویر این نوشته متعلق به گزارش اولیه سال ۲۰۲۰ هستند. نمودار موجودی یا تصویر انتقال در آن ها نباید به عنوان داده زنده استفاده شود. برای فهم نتیجه حادثه، علاوه بر تخلیه اولیه وجوه باید گزارش بازیابی و بازپرداخت بعدی را نیز خواند.
و در پایان برای خرید بیت کوین و فروش بیت کوین خود میتوانید از سایت اکس نوین استفاده نمایید.
سرانجام وجوه سرقت شده چه شد؟
تیم پروژه در گزارش رسمی dForce در ۱۴ مه ۲۰۲۰ اعلام کرد وجوه سرقت شده بازیابی شده اند و تا ۴ مه، تمام وجوه بازیابی شده به کاربران Lendf.Me بازگردانده شده بود. این توضیح، ادعای منتشرشده تیم پروژه درباره نتیجه عملیات بازیابی است و بخش مهمی از ادامه خبر محسوب می شود.
درس این خبر برای خواندن گزارش های هک
ابتدا مشخص کنید چه چیزی آسیب دیده است: کلید یک کاربر، صرافی، پل، توکن یا قرارداد وام دهی. سپس تاریخ، مبلغ برآوردی و وضعیت بازیابی را جدا بخوانید. برچسب کلی «هک ارز دیجیتال» این تفاوت ها را پنهان می کند و ممکن است برداشت اشتباهی از امنیت شبکه پایه ایجاد کند.
همچنین بازیابی موفق در یک پرونده، تضمین بازگشت پول در حادثه بعدی نیست. اطلاعیه ها یا نشانی های بازیابی قدیمی را برای اقدام امروز به کار نبرید؛ اگر موضوعی به حساب شما مربوط است، مسیر فعلی پشتیبانی رسمی پروژه را مستقل بررسی کنید.
