عطل تحقق صغير، وسحب بقيمة 2.19 مليون دولار – ماذا حدث خطأ في شبكة أزتك؟

عقد الموجه في شبكة أزتك هو في الأخبار بعد أن كان موضوعًا لعملية مشبوهة تم اكتشافها على بلوكتشين إيثريوم [ETH]. أدى ذلك إلى فقدان أصول تقدر بحوالي 2.19 مليون دولار.

في الواقع، استخدم عنوان المحفظة “0x0f18….edd17” أموالًا من عقد الموجه الخاص بالبروتوكول لتنفيذ العملية.

كانت الهجمة مشبوهة. وفقًا لـ CertiK، كانت الهجمة “مشبوهة” لأن المهاجم ربما استغل ضعفًا في العقد الذكي، أو حصل على وصول غير مصرح به إلى أموال البروتوكول، أو غير منطق العقد لسرقة الأصول.

خلل محتمل في التحقق من العقود الذكية

ومع ذلك، أشارت بعض الأدلة إلى أن تعامل البروتوكول مع بيانات الإثبات كان معيبًا في عملية التحقق من العقد الذكي. المشكلة كانت تحديدًا مع وظيفة computeRootHashes()، التي كانت تتولى تأكيد شرعية البيانات المقدمة _proofData، لكنها كانت تفحص الجزء الأول فقط منها.

ومع ذلك، احتوى الجزء الأوسط من حمولة _proofData على البيانات التي استخدمتها وظيفة processDepositsAndWithdrawals() لاحقًا لتنفيذ عمليات تحويل الرموز.

لذا، قد يكون المهاجم أنشأ إثباتًا خبيثًا يتضمن قسمًا غير موثوق به يحتوي على تعليمات إيداع أو سحب معدلة، بينما ظل الجزء الذي تم التحقق منه صحيحًا ومرر فحوصات أمان البروتوكول.

وبالنسبة للعقد، انتهى الأمر بتنفيذ عمليات تحويل رموز غير مصرح بها نتيجة عدم التحقق الصحيح من تلك التعليمات قبل معالجتها. ببساطة، بدا أن هناك تفاوتًا بين ما تم التحقق منه وما تم تنفيذه فعليًا.

حوادث مماثلة أخرى

الوقت هنا مثير للاهتمام لأن Raydium أيضًا اكتشفت خطأ برمجي في برنامج AMM V3 القديم الخاص بها، مما أدى إلى سرقة عملات مشفرة بقيمة 1.34 مليون دولار من خمسة تجمعات.

وفي الوقت نفسه، شهد هجوم استيلاء على الحوكمة سرقة حوالي 1.5 مليون دولار من إيثريوم من تجمع سيولة على Balancer.

كما تم اكتشاف استغلال جديد استهدف جسر رموز إيثريوم Alephium مؤخرًا. في هذا الاستغلال، تم سحب 815,000 دولار خلال سبع دقائق باستخدام ثلاثة من المفاتيح الأربعة للوصي المخترقين الذين وقعوا على VAAs مزورة (موافقات الإجراءات الموثقة).

وبالمثل، وفقًا لتحقيق مستقل من Quantstamp، ربط بروتوكول Humanity هجوم تصيد استهدف أحد مدرائه باكتساب المهاجم لبيانات اعتماد إدارية، وترقيات للعقود، وتحويلات لرموز إيثريوم، وإنشاء رموز H جديدة على سلسلة BNB.

بشكل عام، وصل إجمالي القيمة التي تم اختراقها (بالدولار الأمريكي) الآن إلى 81.73 مليون دولار خلال 30 يومًا، وفقًا لبيانات DeFiLlama. مع خسارة 634.85 مليون دولار في عام 2026 وحده، شهد أبريل أعلى قيمة تم سرقتها حتى الآن.

 المصدر: DeFiLlama

ملخص نهائي

• يبدو أن العيب نجم عن التحقق غير الكامل من _proofData.
• الحادث هو الأحدث في سلسلة من ثغرات أمان في التمويل اللامركزي.