تعد عيوب تصميم ERC-20 في Ethereum أفضل صديق لمحتالي العملات المشفرة

تعد رموز ERC-20 من بين الأصول الأكثر تعرضًا للسرقة في صناعة العملات المشفرة، وحتى بعض التحديثات التي تهدف إلى إصلاح المشكلات تسهل السرقة عن غير قصد.

يمثل معيار الرمز المميز شبه المنتشر لشبكة إيثريوم 89.5٪ من قيمة العملات المشفرة المفقودة البالغة 71.5 مليون دولار بسبب عمليات التصيد الاحتيالي في مارس، وفقًا لما ذكره Scam Sniffer.

تمت سرقة هذه الرموز المميزة نتيجة تعرض الضحايا عن غير قصد للتصيد الاحتيالي والموافقة على وظائف مثل “التصريح” و”زيادة السماح”. لقد أدخلت الوظائف التي تهدف إلى تعزيز كفاءة معيار الرمز المميز نقاط ضعف جديدة.

تم تقديم رموز ERC-20 لأول مرة في عام 2015، وهي مليئة بالثغرات الأمنية الكبيرة، مع وجود فرصة ضئيلة لإصلاحها في أي وقت قريب.

يقول ميكو أوتاما، المؤسس المشارك لبروتوكول الاستثمار الخوارزمي Trading Strategy، للمجلة: “ترجع المشكلة إلى القرارات السيئة تاريخيًا في تصميمات ERC-20 وEthereum”.

ويقول إن المشكلات المتعلقة بتصميم الرمز المميز هي في الأساس مشكلة خاصة بـ Ethereum و(بدرجة أقل) Solana.

يقول أوتاما: “تم إصلاح المشكلة في سلاسل أخرى مثل MultiversX وRadix وCosmos وما إلى ذلك”.

لكن الطبيعة الثابتة للعقود الذكية تعمل على تعقيد الجهود المبذولة لتصحيح عيوب ERC-20.

هجمات التصيد الاحتيالي: تصريح Uniswap2

يهدف “Permit2” الخاص بـ Uniswap – وهو عقد ذكي تم إطلاقه في عام 2022 – إلى تحسين المعاملات من خلال السماح للمستخدمين بمنح الموافقات الرمزية المجمعة للتطبيقات اللامركزية. وهذا يلغي الحاجة إلى موافقات منفصلة لكل معاملة، مما يوفر رسوم الغاز في هذه العملية.

يشبه Permit2 سابقه، “التصريح” من اقتراح تحسين Ethereum-2612، والذي قدم موافقات الرموز المميزة خارج السلسلة. نظرًا لأن هذه ليست موجودة على السلسلة، فإن توقيع هذه الرسائل لا يؤدي إلى فرض رسوم الغاز.

EIP-2612 هو امتداد ERC-20، مما يعني أنها ميزة اختيارية. لكن معظم رموز ERC-20 المتداولة في السوق لا تحتوي على هذه الوظيفة الإضافية، مما يعني أنه لا يمكن للمستخدمين دائمًا جني الفوائد عند التفاعل مع التطبيقات اللامركزية.

وهنا يأتي دور Permit2 الخاص بـ Uniswap. يعمل هذا العقد الوسيط على توسيع EIP-2612 ليشمل النطاق الكامل من رموز ERC-20 على منصته.

ولكن ما بدا أنه تحديث قيم للمشاركين في التمويل اللامركزي في واحدة من أكبر البورصات اللامركزية في العالم، دفع أحد الباحثين إلى دق أجراس الإنذار.

بعد حوالي أسبوع من إصدار عقد Uniswap الجديد في نوفمبر 2022، نشر الباحث الأمني ​​Roman Rakhlin مقالًا متوسطًا لتوضيح كيف يمكن للجهات الفاعلة غير المشروعة الحصول على توقيعات التصاريح عبر مخططات التصيد الاحتيالي، مما يؤدي في النهاية إلى سرقة الرموز المميزة من الضحايا المطمئنين.

يقول راخلين: “بعد شهر تقريبًا من نشر مقالتي، رأيت بعض المستنزفين الذين بدأوا بالفعل في استخدام توقيعات التصاريح كما أوضحت”.

لم يستجب Uniswap لطلب تعليق المجلة.

ERC-20 وعمليات الاحتيال المتعلقة بالعملات المشفرة

لا شيء من هذا يعني أن رموز ERC-20 لم تكن قفزة كبيرة إلى الأمام عندما تم تقديمها منذ أكثر من ثماني سنوات. لقد قدموا إطارًا عامًا يسمح بإنشاء رموز جديدة قابلة للاستبدال على إيثريوم والعمل بسلاسة ضمن قواعد محددة مسبقًا.

تتيح الوظائف الأساسية للمعيار، مثل آلية “الموافقة”، لحاملي العملات الرمزية إدارة أصولهم في النظم البيئية اللامركزية ومنح أذونات لنقل الأصول نيابة عنهم، وبالتالي تحفيز ظهور التمويل اللامركزي.

هناك تناقض بين العملة الأصلية للإيثريوم، الأثير، والرموز المميزة لـ ERC-20، خاصة في كيفية تفاعلها مع العقود الذكية.

أولاً، يعد إرسال إيثريوم إلى عقد ذكي أمرًا بسيطًا. يقوم المستخدم ببساطة بإرسال الإيثر مثلما يفعل عند إرساله إلى محفظة شخص آخر.

لكن رموز ERC-20 تتطلب موافقات عند التفاعل مع العقود الذكية الأخرى. يمكن للجهات الفاعلة الخبيثة استهداف إجراء التأكيد هذا لخداع المستخدمين ودفعهم إلى توقيع رسائل مزيفة.

قال ميخائيل فلاديميروف، مطور إيثريوم ومدقق العقود الذكية، لمجلة “المعيار نفسه معيب”.

في عام 2016، قام فلاديميروف بتأليف ورقة بحثية تصف ناقل الهجوم النظري “الموافقة” حيث يمكن استغلال التغييرات في مبالغ الرموز المعتمدة من قبل كيانات ضارة لنقل كمية أكبر من الأموال مما سمح به مالك الرمز المميز في البداية.

على سبيل المثال، لنفترض أن أليس تمتلك 1000 رمزًا مميزًا وتريد تداولها في بورصة DEX. تستخدم أليس وظيفة “الموافقة” للسماح لـ DEX بإنفاق 500 رمز مميز نيابة عنها. لكن أليس غيرت رأيها وتريد التجارة أكثر.

يمكن لـ Alice زيادة كمية الرموز المميزة المعتمدة عن طريق ضبط البدل أولاً على صفر ثم الموافقة على 800 رمز مميز. في هذا السيناريو الافتراضي، يمكن لممثل خبيث بدء معاملة في فترة وجيزة قبل إعادة التعيين إلى الصفر وقبل السماح الجديد، وإنفاق المزيد من الرموز المميزة أكثر مما تنوي أليس.

قد يكون تنفيذ هذا الهجوم النظري أمرًا صعبًا للغاية لأنه يعتمد على استهداف النافذة القصيرة عندما تعدل أليس موافقتها.

واقترحت الورقة حلاً لهذا الهجوم الافتراضي يتيح للمستخدمين تغيير البدل بدلاً من تعيين واحد جديد.

بدأ اعتماد وظائف “increaseAllowance” و”decreaseAllowance” في عام 2017 في معالجة مخاطر هجمات “الموافقة” من خلال تمكين حاملي الرموز المميزة من ضبط كميات الرموز المميزة المعتمدة دون إعادة تعيينها بالكامل.

باستخدام هذه الوظائف، لم تعد أليس بحاجة إلى إعادة التعيين إلى الصفر، ولكن يمكنها تغيير المسموح لها مباشرةً إلى 800 رمزًا.

يقول ليف مينشيكوف، وهو باحث أمني في شركة التدقيق Oxorio، لمجلة “المقصود من وظيفة زيادة Allowance هو حل هذه المشكلة، ولكن في النهاية، فإنها في كثير من الأحيان تنشئ مشاكل إضافية للمستخدم النهائي”.

في عملية الاحتيال، قد ترسل الجهات الفاعلة غير المشروعة رسائل تصيد تطلب من المستخدمين زيادة مخصصاتهم من الرموز المميزة لأسباب تبدو صحيحة – مثل تحديث زائف يتطلب صلاحيات أعلى للمستخدمين لمواصلة الاستمتاع بالخدمات دون انقطاع أو إجراء أمني مزيف يتطلب من المستخدمين زيادة الرموز المميزة المعتمدة .

يسمح هذا للمتسللين بنقل الرموز المعتمدة من محفظة المستخدم إلى محفظتهم، مما يؤدي إلى استنزاف المبلغ بالكامل في بعض الحالات.

رموز ERC-20: لعنة غير قابلة للتغيير

تمت إزالة الزيادة من عقد ERC-20 العام الماضي وتم نقلها إلى ملحق بعد أن أثار الباحث الأمني ​​المستقل pcaversaccio مخاوف بشأن احتمالات الاحتيال التي تتيحها الوظيفة.

يقول بيكافيرساتشيو لمجلة “بما أن العقود غير قابلة للتغيير، فلا يمكنك تغييرها”.

بالنسبة للرموز المميزة الموجودة بالفعل والمتداولة بالفعل – وهناك أعداد لا حصر لها منها – فإن التعديلات غير ممكنة بسبب طبيعة blockchain غير القابلة للتغيير.

ومع ذلك، من خلال استخدام الوكلاء القابلين للترقية أو العقود الوسيطة، تتمتع المشاريع بالقدرة على زيادة الوظائف أو تقليلها، مثل إزالة الوظائف غير الأساسية مثل “increaseAllowance” و”permit”، على غرار الطريقة التي جلب بها Uniswap Permit2 وظيفة “التصريح” إلى ERC- 20 رمزًا تفتقر إلى هذه القدرة من تلقاء نفسها.

لكن PCaversaccio يضيف أنه يجب الاحتفاظ بوظيفة “الموافقة” لأنها تنتمي إلى مواصفات ERC-20 الأصلية.

وهذا يعني أن ناقل الهجوم سيبقى إلى الأبد.

“الثبات هو ميزة، وليس خطأ في طبقة التنفيذ.”

ويقول إن المشكلة تكمن في طبقة التطبيقات، مثل التطبيقات اللامركزية والمحافظ.

يعترف فلاديميروف بوجود عيوب في تصميم ERC-20، لكنه يعزو ارتفاع عمليات الاحتيال في المقام الأول إلى الهندسة الاجتماعية – وهي تكتيكات التلاعب التي تخدع البشر الذين يتفاعلون مع الأنظمة الأمنية بدلاً من التكنولوجيا نفسها.

ويجادل بأن المحافظ يجب أن توفر تنسيقات أبسط أو يمكن قراءتها بواسطة الإنسان بدلاً من المصطلحات الفنية أو الرموز التي غالبًا ما تربك المستخدمين وتجعلهم أكثر عرضة لعمليات الاحتيال.

يقول فلاديميروف: “لسوء الحظ، لا يمكننا أن نطلب من جميع (المحافظ) القيام بالأشياء بالطريقة الصحيحة، خاصة إذا لم يتمكن المجتمع من الاتفاق على الطريقة الصحيحة”.

ويشير أوتاما إلى أن مجتمع الأمان لا يعتبر عمليات الاحتيال مشكلة ذات أولوية عالية لأنها تؤثر بشكل أساسي على المستخدمين ذوي المعرفة الأقل أو تنتج عن واجهات أمامية خاطئة.

يقول أوتاما: “إن بعض الباحثين في مجال الأمن أكثر غطرسة عندما يقولون إنها “مشكلة مستخدم غبية” أو شيء “يجب على مطوري المحفظة والواجهة الأمامية إصلاحه” ونقل المشكلة التي تسببوا فيها إلى شخص آخر”.

هجمات التصيد الاحتيالي تكتشف OGs المشفرة

ومع ذلك، على نحو متزايد، بدأ أي شخص وكل شخص يتعامل بانتظام في النظام البيئي لإيثريوم يقع ضحية لعمليات الاحتيال المنتشرة في كل مكان.

وحتى أصحاب العملات المشفرة الأصليين، مثل نكسوس، وهو عامل تعدين العملات المشفرة والمتعاون مع منصة الطب الشرعي Intelligence On Chain، وقعوا ضحية لأساليب الهندسة الاجتماعية المتطورة.

يقول نكسوس، الذي يدعي أنه خسر ما يقرب من 20 ألف دولار بسبب عملية احتيال تصيدية: “كانت الخسائر فادحة، لكنني أعمل ببطء على استعادتها”.

يقول نيكسوس إنه تعرض للخداع من خلال حساب مخترق لفنان NFT وقام بزيارة الموقع الإلكتروني لمشروع Web3 المزيف لوسائل التواصل الاجتماعي.

ويضيف: “لم أعرف ذلك إلا بعد فوات الأوان”.

كما وقع المؤسس المشارك لمنصة التمويل اللامركزي Pickle Finance، والذي يعمل تحت الأسماء المستعارة “Larry the Cucumber” و”Beary the Cucumber”، ضحية لعملية تصيد احتيالي حديثة تضمنت وظيفة “التصريح”.

وعلى عكس معظم الضحايا، استخدم Larry the Cucumber تدابير احترازية إضافية، مثل استخدام محاكي المعاملات الذي يسمح للمستخدمين بمراجعة السيناريو قبل إتمام المعاملة.

يحذر مينشيكوف من Oxorio المستثمرين من استمرار ظهور اتجاهات التصيد الاحتيالي الجديدة المبتكرة.

يقول ميشيكوف: “أحد الاتجاهات المهمة حقًا التي يمكنني تسليط الضوء عليها في مجال التصيد الاحتيالي هو الانتشار الملحوظ للهجمات على مالكي نطاقات ENS”.

في مخطط التصيد الاحتيالي هذا، يرسل المهاجمون تنبيهات مزيفة عبر البريد الإلكتروني إلى مالكي نطاق ENS لإغرائهم إلى موقع تجديد مزيف حيث يمكن ابتزاز أموالهم.

يدعي فلاديميروف أن ثبات العقود الذكية والكمية المتزايدة باستمرار من الرموز المميزة تجعل من الصعب على أي حلول على السلسلة منع الهجمات ويلاحظ أن تكتيكات الهندسة الاجتماعية (المعروفة أيضًا باسم المحتالين والمحتالين) كانت موجودة قبل وقت طويل من العملات المشفرة.

وبدلاً من ذلك، يقول إن الحلول الحقيقية ستأتي من تطور أدوات الأمان التي يمكنها تحذير المستخدمين من نواقل الهجوم المعروفة.

يقول Larry the Cucumber للمجلة إن مستخدمي العملات المشفرة يمكنهم حماية أنفسهم من العديد من الهجمات باستخدام أدوات الأمان مثل WalletGuard وPocket Universe، حيث يمكن للمستخدمين فحص عناوين URL لاكتشاف المخاطر مثل استنزاف المحفظة.

القاعدة العامة لـ Pcaversaccio لتجنب عمليات التصيد الاحتيالي هي الشك في الجميع وكل شيء: “كن مذعورًا بشأن كل ما توقعه”.

لكن أوتاما يتبنى وجهة نظر ساخرة إلى حد ما مفادها أن هناك المزيد من الأموال التي يمكن جنيها من خلال “عدم إصلاح المشكلة”.

يقول أوتاما: “إن بيع الأسبرين دائمًا أكثر ربحية من علاج المريض”.

يشترك

القراءات الأكثر جاذبية في blockchain. يتم تسليمها مرة واحدة في الأسبوع.

يوهان يون

يوهان يون هو صحفي متعدد الوسائط يغطي تقنية blockchain منذ عام 2017. وقد ساهم في منفذ الوسائط المشفرة Forkast كمحرر وقام بتغطية قصص التكنولوجيا الآسيوية كمراسل مساعد لـ Bloomberg BNA وForbes. يقضي وقت فراغه في الطبخ، وتجربة الوصفات الجديدة.