اختر منطقتك 
كان من الممكن أن يؤدي الخلل الأمني في جسر Wormhole على شبكة Aptos إلى خسائر بقيمة 5 ملايين دولار لو لم يتم اكتشافه، وفقًا لمنشور على وسائل التواصل الاجتماعي من منصة أمان blockchain CertiK. ادعت المنصة أنها اكتشفت الخلل وأبلغت فريق Wormhole عنه قبل أن يتم استكشافه. لقد تم تصحيح الخلل، ولم يعد الجسر عرضة للخطر.
Aptos هي شبكة blockchain تستخدم لغة برمجة MOVE، والتي تم تطويرها في الأصل بواسطة Facebook لمشروع Libra. يزعم مؤيدو MOVE أنها لغة أكثر أمانًا لكتابة العقود الذكية مقارنةً بلغة Solidity الخاصة بـ Ethereum أو البدائل الأخرى.
تم نشر تقرير CertiK على شكل فيديو. وزعمت أن الخلل “نشأ من التنفيذ غير الصحيح لمعدلات” public (friend) و “entry” في لغة برمجة MOVE.” يسمح معدّل “public(friend)” باستدعاء الوظيفة بواسطة وظائف أخرى ضمن نفس الوحدة أو بواسطة حسابات خارجية محددة في “قائمة الأصدقاء”، ولكن ليس بواسطة متصلين آخرين. من ناحية أخرى، يحدد معدّل “الإدخال” أنه يمكن استدعاء الوظيفة بواسطة أي حساب خارجي.
يحتوي الجسر على وظيفة تسمى “publish_event”، والتي تم استخدامها للإعلان عن أحداث مثل عمليات نقل الرمز المميز. كان من المفترض أن تكون قابلة للاستدعاء فقط من خلال وظائف أخرى داخل نفس الوحدة أو من خلال “كيانات خارجية محددة” معينة. ومع ذلك، في إصدار الجسر الذي درسه CertiK، تم تعديل الوظيفة بواسطة كل من 'public(friend)' و'entry'. وقد أتاح هذا لأي شخص الاتصال بـ “publish_event”، حتى لو لم يكن متصلاً معتمدًا.
وبسبب هذا الخلل، كان من الممكن أن يقوم أحد المهاجمين بإنشاء معاملات مزيفة يبدو أنها تنقل الرموز المميزة من حساب إلى آخر، على الرغم من عدم نقل الرموز المميزة الفعلية. من الممكن أن تكون هذه “الأحداث” قد تسببت في قيام نسخة Ethereum من الجسر بسك أو فتح الرموز المميزة دون وجود أي إيداعات حقيقية تدعمها من جانب Aptos. وذكر CertiK أنه نتيجة لذلك، كان من الممكن أن يكون المهاجم قد استنزف ما يصل إلى 5 ملايين دولار من الأموال من الجسر.
أبلغت CertiK أعضاء فريق Wormhole بالخلل في 5 ديسمبر 2023. وبعد التحقيق في التقرير، قام الفريق بتطوير واختبار تصحيح لإغلاق الثغرة الأمنية وأبلغ حراس البروتوكول بالمشكلة. من خلال التصويت متعدد التوقيعات، وافق Guardians على تنفيذ التصحيح، وتمت ترقية عقد Aptos الخاص بالبروتوكول لتنفيذ الكود الجديد. بمجرد الإبلاغ عن الخلل، استغرقت عملية إصلاحه حوالي ثلاث ساعات، ولم يعد الإصدار الجديد من الجسر عرضة لهذا الاستغلال.
بالإضافة إلى إزالة الكلمة الأساسية “إدخال” من وظيفة Publish_event، قام التصحيح الجديد أيضًا بتقييد قيمة “حدود معدل المحافظ” على Aptos من 5 ملايين دولار إلى 1 مليون دولار، مما يمنع بشكل فعال عمليات السحب من Aptos التي تزيد عن مليون دولار يوميًا. تم القيام بذلك للحد من الخسائر في حالة حدوث استغلال في المستقبل. ادعى CertiK أن الاستخدام الحالي أقل من مليون دولار في اليوم، مما يعني أن حد السعر لا ينبغي أن يؤثر على معظم المستخدمين.
أجرى Wormhole أيضًا “تحليلًا بأثر رجعي” لتحديد ما إذا كانت أموال المستخدمين قد تأثرت بهذه المشكلة. وخلصوا إلى أنه لم يتم تحويل أي أموال بطريقة غير مشروعة وأن أرصدة المستخدمين آمنة.
لم يتمكن الثقب الدودي دائمًا من اكتشاف الثغرات الأمنية قبل استغلالها. في عام 2022، خسرت أكثر من 321 مليون دولار عندما سمح خطأ في جزء Solana من الجسر للمهاجم بسك العملات غير المدعومة. ومع ذلك، قام الفريق لاحقًا بتصحيح الخطأ وتعويض المستخدمين. وفي شهر يناير، استعادت شركة Wormhole قيمة إجمالية قدرها مليار دولار تم قفلها لأول مرة منذ وقوع الحادث، مما يدل على أن بعض المستخدمين يشعرون أن ممارساتها الأمنية قد تحسنت.
متعلق ب: الأخطاء الموجودة في شوكة شبكة المكاسب تتيح للمتداولين تحقيق أرباح بنسبة 900% في كل صفقة: تقرير
