درجة ثقة المجتمعموثّق
ثقب بقيمة 9 ملايين دولار. هذا ما تبقى بعد أن وجد مهاجم ثغرة في نظام التحقق من الأوراكل الخاص بـ Supra واستغلها لسحب الأموال من Bonzo Lend، وهي منصة إقراض لامركزية تعمل على بلوكتشين Hedera. كل شيء انحصر في رقم واحد تم التلاعب به – وهو سعر الضمان من رمز SAUCE – ولم يكن لدى المنصة أي رد فعل تجاهه.
قام المهاجم بتضخيم القيمة المبلغ عنها لرمز SAUCE، وهو رمز مقبول كضمان على منصة Bonzo Lend، من خلال استغلال خلل في عقد التحقق من الأوراكل الخاص بـ Supra. مع وجود هذا الرقم المتضخم على السلسلة ومعاملته كرقم شرعي، دخل المهاجم، ووضع رمز SAUCE المبالغ في قيمته كضمان، وسحب أصول بقيمة 9 ملايين دولار. كانت العملية نظيفة وسريعة وغير مرئية تقريبًا حتى تم الانتهاء من الضرر. لم ينطلق أي إنذار. لم يعمل أي قاطع دائرة. قال الأوراكل إن الضمان كان يستحق أكثر مما كان عليه، وصدقت البروتوكول ذلك، وانتهى الأمر عند هذا الحد.
كيف فتح خلل الأوراكل الباب
أنظمة الأوراكل هي الأنابيب التي لا يراها أحد حتى تنفجر. فهي تسحب بيانات الأسعار الخارجية – أو في حالات السلسلة، تتحقق منها – وتغذي تلك البيانات في العقود الذكية التي تحكم الإقراض والاقتراض وعناصر التصفية. إذا كان الرقم الوارد خاطئًا، فإن كل ما يأتي بعده يكون خاطئًا أيضًا. تعلمت منصات التمويل اللامركزي عبر سلاسل بلوكتشين متعددة هذا الدرس بالطريقة الصعبة على مدى السنوات القليلة الماضية، وBonzo Lend الآن على تلك القائمة.
الخلل المحدد هنا كان داخل نظام التحقق من الأوراكل الخاص بـ Supra على السلسلة. ليس تغذية سعر من مصدر مركزي، بل المنطق الفعلي للتحقق الذي من المفترض أن يؤكد ما إذا كان السعر المبلغ عنه صحيحًا. وجد المهاجم طريقة للعبث بذلك المنطق، ودفع تقييم SAUCE المتضخم، وجعل بروتوكول الإقراض يعامله كحقيقة. بدا الضمان صحيًا. بدا القرض شرعيًا. وخرجت 9 ملايين دولار من الباب.
من المهم أن نكون واضحين بشأن ما يتطلبه هذا النوع من الهجوم. إنه ليس قوة غاشمة. إنه ليس تسريب مفتاح خاص. إنه تلاعب دقيق وتقني في عملية التحقق نفسها – النوع الذي يتطلب معرفة حقيقية بكيفية عمل النظام على مستوى العقد. من قام بذلك كان يعرف بالضبط أين كان نقطة الضعف.
صمت Bonzo Lend بعد الضربة
ما هو ربما أكثر إثارة للقلق من الاستغلال نفسه هو ما حدث بعده. لا شيء، حقًا. لم تصدر Bonzo Lend بيانًا عامًا مفصلًا. لا يوجد خارطة طريق لتعويض المستخدمين المتضررين. لا توجد كلمة حول ما إذا تم إيقاف تكامل الأوراكل، أو ترقيعه، أو استبداله. لم يُعلن عن أي شركة أمنية مستقلة تم جلبها. فقط الصمت، وهو ربما أسوأ شيء يمكن أن تقدمه منصة التمويل اللامركزي بعد خسارة تسعة أرقام.
المستخدمون الجالسون على المنصة لا يعرفون ما إذا كانت الثغرة لا تزال نشطة. مقدمو السيولة لا يعرفون ما إذا كانت أموالهم في خطر. والنظام البيئي الأوسع للتمويل اللامركزي على Hedera يراقب وينتظر ليرى ما إذا كان هذا ينتشر أو يبقى محصورًا. هذا الغموض متآكل. إنه أصعب في التعافي منه من الخسارة المالية نفسها، بطرق معينة.
غياب التواصل يجعل من المستحيل أيضًا معرفة ما إذا كانت Bonzo Lend لديها الموارد أو القدرة التقنية لتعويض المستخدمين المتضررين. 9 ملايين دولار هو رقم جدي لمنصة إقراض لامركزية متوسطة الحجم. ما إذا كان هناك خزينة، أو صندوق تأمين، أو أي دعم على الإطلاق – غير واضح.
مشكلة الأوراكل في التمويل اللامركزي لن تختفي
استغلالات الأوراكل ليست جديدة. لقد ضربت البروتوكولات على إيثريوم (ETH)، BNB Chain، أفالانش، والآن Hedera. وُثقت ناقلات الهجوم جيدًا. كتب الباحثون الأمنيون عنها بشكل واسع. ومع ذلك، تستمر المنصات في الوقوع في فخ تكاملات الأوراكل التي لم يتم اختبارها ضد التلاعب على مستوى التحقق، وليس فقط على مستوى تغذية السعر.
حادثة Bonzo Lend تدفع على الأرجح بروتوكولات أخرى مبنية على Hedera للنظر بجدية في تكاملات Supra الخاصة بها. وعلى الأرجح تدفع Supra للتحرك بسرعة على ترقيع أو تحليل ما بعد الوفاة – رغم أنه حتى الآن، لم يصدر أي تحليل تقني عام من ذلك الجانب أيضًا.
ما تبقى هو خسارة بقيمة 9 ملايين دولار، ومنصة صامتة، والكثير من الأسئلة المفتوحة. النظام البيئي للتمويل اللامركزي على Hedera أصغر من نظيره على إيثريوم، لكنه كان ينمو، وحوادث مثل هذه يمكن أن تعرقل هذا النمو بسرعة. لم يكن تلاعب ضمان SAUCE في Bonzo Lend صدفة – كان هجومًا مستهدفًا وتقنيًا على ضعف محدد في نظام محدد.
استغل المهاجم خللًا في نظام التحقق من الأوراكل على السلسلة، وضخم ضمان SAUCE، واقترض 9 ملايين دولار، وغادر.
المحور: سعر BNB، الأخبار، والتحليل
الأسئلة الشائعة
كيف سرق المهاجم 9 ملايين دولار من Bonzo Lend؟
استغل المهاجم ثغرة في نظام التحقق من الأوراكل الخاص بـ Supra على السلسلة لتضخيم القيمة المبلغ عنها لضمان رمز SAUCE، ثم استخدم هذا الضمان المتضخم لاقتراض 9 ملايين دولار من Bonzo Lend على بلوكتشين Hedera.
هل استجابت Bonzo Lend للاستغلال؟
Hub: BNB : السعر والأخبار والتحليل
حتى وقت إعداد التقرير، لم تكشف Bonzo Lend علنًا عن أي إجراء تصحيحي، أو خطة تعويض، أو ترقية أمنية استجابة لخسارة 9 ملايين دولار.
