Unleash Protocol خسرت 3,9 مليون دولار أمريكي: هجوم متعدد التوقيعات ورحلة الأموال المفرطة

في الآونة الأخيرة، اكتشفت شركة أمان بلوكتشين PeckShield حادثة أمان خطيرة في Unleash Protocol - منصة تطبيقات لامركزية تم تطويرها على بنية Story Protocol التحتية. وفقًا للتقرير، تم سرقة حوالي 3.9 مليون دولار من أموال المستخدمين من قبل المهاجم، ثم تم siphon الأموال إلى إيثريوم قبل أن يواصل “التحرر” عبر أدوات مجهولة الهوية.

طريقة الهجوم

كشفت PeckShield أن المهاجم استهدف مباشرة نظام إدارة التوقيع المتعدد الخاص بـ Unleash Protocol. من خلال السيطرة على مفاتيح الإدارة، تمكن المتسللون من تنفيذ ترقية لعقد ذكي دون موافقة من الفريق الأساسي. هذا يمثل خطأ تصميم خطير في آليات حماية البروتوكول.

بعد ترقية العقد، قام المهاجم بسحب الأصول مباشرة من Unleash Protocol. بلغت القيمة الإجمالية للأصول المسروقة 3.9 مليون دولار.

عملية إخفاء الأدلة والهروب من الصندوق

تفصيل مهم في هذا الهجوم هو كيفية تعامل المهاجم مع الأموال المسروقة. أظهرت بيانات البلوكتشين أن الأموال تم تحويلها إلى شبكة إيثريوم، ثم تم إرسال كمية كبيرة - تحديدًا 1.337,1 ETH - إلى Tornado Cash، وهي خدمة خلط الأموال المعروفة بقدرتها على إخفاء هوية المعاملات على البلوكتشين.

تم تنفيذ استراتيجية “التحرر” على مراحل صغيرة، من إرسال بضع ETH إلى عمليات إرسال 100 ETH. تم تصميم هذا النهج التدريجي لتقليل احتمالية الكشف والمتابعة على السلسلة.

الأصول المتأثرة

في بيان رسمي حول الحادث، أعلنت Unleash Protocol عن قائمة الرموز والأصول التي تم سحبها من البروتوكول:

• WIP
• USDC
• WETH
• stIP
• vIP

جميع هذه السحوبات تمت خارج قواعد الإدارة التي تم الموافقة عليها مسبقًا، دون أي إذن داخلي من الفريق.

لا تزال Story Protocol آمنة

نقطة مهمة تؤكد عليها Unleash Protocol هي أن الهجوم أثر فقط على العقود الخاصة بـ Unleash ونظام الإدارة الخاص به. لا توجد أدلة على أن البنية التحتية الأساسية لـ Story Protocol، أو عقد التحقق، أو أي مكون آخر قد تضرر. هذا يحد من نطاق الضرر ويشير إلى أن المشكلة تكمن في طبقة التطبيق وليس في مستوى البنية التحتية.

رد الفعل والإجراءات التصحيحية

بمجرد اكتشاف غير الطبيعي، قررت Unleash Protocol إيقاف جميع أنشطة البروتوكول مؤقتًا لمنع المزيد من الضرر. يعمل الفريق حاليًا مع خبراء أمن مستقلين لإجراء تحقيق جنائي شامل.

يُطلب من المستخدمين تجنب أي تفاعل مع عقود Unleash حتى يتم إصدار إعلان رسمي لاحقًا من الفريق.

الأسئلة الشائعة

لماذا تم اختراق multisig الخاص بـ Unleash Protocol؟
لم تكشف التقارير عن السبب المحدد، لكنها أظهرت أن المهاجم تمكن من السيطرة على مفاتيح الإدارة، ربما من خلال خطأ في التكوين، أو إهمال أمني، أو استغلال ثغرات غير معروفة.

هل يمكن للمستخدمين استرداد أموالهم؟
غير واضح حاليًا. تم إرسال الأموال إلى Tornado Cash، مما يعقد عملية التتبع والاسترداد. هذا يعتمد على نتائج التحقيق الجنائي.

هل تأثرت منصات أخرى؟
لا. يقتصر الهجوم على Unleash Protocol فقط. لا تزال Story Protocol والعقود الأخرى على المنصة تعمل بشكل طبيعي.

ماذا يجب على مستخدمي Unleash أن يفعلوا؟
توقفوا عن التفاعل مع أي عقد من عقود Unleash حتى يتم إصدار تحديث رسمي. إذا كانت لديك أموال مقفلة في البروتوكول، انتظر إشعارًا من الفريق بشأن خيارات التعويض أو الاسترداد.