عُثر على ما يصل إلى 12 أو أكثر من العقود الذكية المستندة إلى محفظة إيثريوم ERC-20 تحتوي على أخطاء تسمح للمخترقين بإنشاء عدد الرموز التي يريدونها.
في حين أن الأخطاء – التي تم تحديدها لأول مرة في 22 أبريل/نيسان و24 أبريل/نيسان، على التوالي، في زوج من المنشورات التي نشرتها شركة PeckShield الأمنية للبلوكتشين– لا ترتبط بمعيار ERC-20 نفسه، ولكن دفعت تلك القضية عددًا من منصات التداول لتعليق ERC- 20 من التحويل، وشملت تلك المنصات OKEx ،Poloniex ،Changelly ،Quoine وHitBTC.
أعلنت شركة Huobi.Pro بشكل منفصل في 25 أبريل/نيسان أنها علقت جميع العملات، ولكن منذ ذلك الحين اقتصر ذلك على الرموز التي تستند إلى ERC-20 وبدءًا من وقت النشر، انتقلت Poloniex إلى إعادة الخدمات إلى رموز ERC-20.
قام أحد المخترقين في أحد الأمثلة، بنقل 57.9 * 10 ^ 57 رمز من BeautyChain – كما هو موضح في بيانات المعاملات في Etherscan – في 22 أبريل/نيسان، وهو تطور أدى إلى إجراء التحقيق الأولي في هذه القضية.
وكشف منشور من PeckShield في 22 أبريل/نيسان أنه “تبين دراستنا أن هذا النقل يأتي من هجوم المخترقين، حيث يستغلون نقطة ضعف غير معروفة من قبل في العقد، وللتوضيح، فإننا نطلق على هذه الدفعة الخاصة من الثغرات الأمنية Overflow، وأضاف أننا “نشير إلى أن batchOverflow هو في الأساس قضية تجاوز عدد صحيح كلاسيكية”.
عملات لا تحصى
توضح وظيفة batchOverflow كيف أن دالة batchTransfer في العقد تحتوي على أقصى عدد من الرموز الرقمية التي يمكن إرسالها في إحدى المعاملات، مضيفًا أن قيمة الرموز التي يتم نقلها يجب أن تكون أقل من العدد الإجمالي للرموز التي تم إنشاؤها، ومع ذلك، يمكن التلاعب بمعامل “value” – وهي واحدة من الاثنين التي تحدد العدد الإجمالي للرموز – والتي من شأنها تغيير متغير آخر، مما يؤدي إلى أن يتمكن المهاجم من إنشاء العديد من الرموز المميزة التي يريدها.
علاوة على ذلك، يمكن للمهاجم أن يتجاوز الحواجز في العقد والتي تضمن عادة نقل عدد معقول من الرموز.
وشرح المنشور، موضحًا “مع كمية صفر، يمكن للمهاجم تمرير شيكات التعقل في خطوط 258-259 وجعل الطرح في السطر 261 ليس له صلة بها”، وأشار أنه “أخيرًا، هنا يأتي الجزء المثير للاهتمام: كما هو موضح في السطور 262-265، فإن رصيد المستلمين سيضاف من خلال القيمة الكبيرة للغاية دون أن تكلف عشرة سنتات من جيب المهاجم!”
على الرغم من أن التقارير الأولية تشير إلى أن جميع رموز ERC-20 قد تتأثر، فإن وظيفة batchTransfer ليست جزءًا من معيار الرمز المميز.
لم يقم Medium post بإدراج المشاريع الضعيفة، على الرغم من أنه لم يلاحظ أن BeautyChain كان أول مشروع اكتشفوه، في إشارة على خطورة هذا الخطأ، وقالت OKEx في 24 أبريل/نيسان أنها كانت تتراجع عن صفقاتها على رموز BeautyChain.
أعلنت المنصة أيضًا في ذلك الوقت أنه في ضوء هذا الخلل، أنها كانت تقوم بتعليق الإيداع والسحب في تداول مشروع يسمى SmartMesh بسبب “أنشطة تداوله الغير الطبيعية”، وأشار PeckShield إلى أن هذا ربما يرجع إلى علة proxyOverflow، والتي تمثل دفعة Overflow، وهي مشكلة تجاوز عدد صحيح الكلاسيكية، ومن خلالها يمكن التلاعب ببعض المتغيرات لتوليد كميات كبيرة من الرموز تلقائيًا.
أشار مستخدم واحد في تويتر إلى أن مهاجمًا أنشأ 5 اوكتسايدليون في رموز SmartMesh.
Someone transferred 65,133,050,195,990,400,000,000,000,000,000,000,000,000,000,000,000,000,000,000.891004451135422463
Smartmesh tokens worth
($5,712,591,867,014,630,000,000,000,000,000,000,000,000,000,000,000,000,000,000.00) to his addresshttps://t.co/w72eALHXhI https://t.co/yUUmGRyWIP— ⚡CRYPTOLOGIST⚡ (@kadhirvelavan) April 25, 2018
يكمن الخطر كما أشارت إحدى المشاركات، في قدرة شخص ما على استخدام عملة كميّة ضعيفة للتلاعب في الأسعار لصالحه من خلال التداول مع بيتكوين أو الأثير أو زوج آخر من التداول.
لم يستجب ممثلو مشاريع BeautyChain وSmartMesh على الفور لطلبات التعليق على الهجوم الذي حدث، ومع ذلك، فإنه صدر بيان على موقع BeautyChain يقر بالخلل ويذكر أن التداول سيُستأنف في نقطة غير محددة في المستقبل.
أعلنت SmartMesh أيضًا أنها ستتخذ خطوات لمنع التلاعب بالأسعار، قائلة أنها “ستأخذ مؤسسة SmartMesh المبلغ المعادل من SMT إلى المبلغ المزيّف وتدمره لتعويض الخسائر المتكبدة، والحفاظ على إجمالي العرض من SMT بقيمة 3.141.592.653”.
قال Fabian Vogelsteller، المطور الذي اقترح لأول مرة معيار ERC-20، لـ CoinDesk: “يظهر ذلك الهجوم فقط أننا بحاجة إلى أفضل الممارسات وأفضل الأدوات للكشف عن تلك الأخطاء”.
إخلاء المسؤولية: الآراء والتحليلات والأخبار الواردة لا تعكس رأي بت شين. لا ينبغي اعتبار أي من المعلومات التي تقرأها على موقع بت شين بمثابة نصيحة استثمارية، ولا تصادق بت شين على أي مشروع قد يتم ذكره أو ربطه في هذه المقالة. يجب اعتبار شراء وتداول العملات المشفرة نشاطًا عالي المخاطر. ويرجى بذل المجهود الواجب قبل اتخاذ أي إجراء يتعلق بالمحتوى المذكور ضمن هذا التقرير. لا تتحمل بت شين أي مسؤولية في حالة خسارة الأموال في تداول العملات المشفرة.