حمله بزرگ به SIR.trading: از دست دادن کل دارایی‌ها و پیشنهاد جایزه به هکر

SIR.trading پس از از دست دادن کل دارایی‌های قفل شده، به مهاجم ۱۰۰ هزار دلار جایزه پیشنهاد می‌دهد

پس از از دست دادن کل ارزش قفل شده (TVL) خود به دلیل یک حمله، پروتکل امور مالی غیرمتمرکز SIR.trading به مهاجم ۱۰۰ هزار دلار جایزه پیشنهاد داده است تا باقی‌مانده وجوه را بازگرداند. در ۳۱ مارس، Xatarrer، خالق ناشناس این پلتفرم مبتنی بر اتریوم، به‌طور مستقیم و از طریق بلاکچین از هکر درخواست کرد.

در این پیام، از مهاجم خواسته شد تا ۱۰۰ هزار دلار، که تقریباً ۲۸٪ از وجوه سرقت شده است، را به عنوان «سهم منصفانه» برای یافتن یک آسیب‌پذیری حیاتی نگه دارد و تعهد داد که در صورت بازگرداندن باقی‌مانده وجوه، هیچ اقدام قانونی انجام نخواهد شد.

Xatarrer گفت که این پروژه طی چهار سال از ابتدا با جلسات کدنویسی شبانه و ۷۰ هزار دلار سرمایه جمع‌آوری‌شده از دوستان و حامیان ساخته شده است. بدون حمایت از شرکت‌های سرمایه‌گذاری خطرپذیر، این پروتکل به‌طور طبیعی به حدود ۴۰۰ هزار دلار در TVL رشد کرده بود تا اینکه این حمله همه آن را تخلیه کرد. او افزود: «اگر شما ۱۰۰٪ وجوه را نگه دارید، هیچ شانسی برای بقای ما وجود ندارد.»

Xatarrer همچنین به مهارت به‌کاررفته در این حمله اذعان کرد و آن را «تقریباً زیبا، اگر نبود تمام وجوهی که مردم از دست دادند» توصیف کرد. تاکنون هیچ پاسخی از سوی مهاجم دریافت نشده است. طبق داده‌های Etherscan، رمزارز سرقت‌شده قبلاً از طریق Railgun، یک پروتکل حریم خصوصی که مسیرهای تراکنش را پنهان می‌کند، منتقل شده است.

جزئیات حمله

SIR.trading که به عنوان Synthetics Implemented Right نیز شناخته می‌شود، در ۳۰ مارس مورد حمله قرار گرفت، پس از اینکه یک آسیب‌پذیری در یکی از قراردادهای هوشمند اصلی آن منجر به تخلیه کل TVL پروتکل شد. این آسیب‌پذیری به یک تابع در قرارداد هوشمند پروتکل به نام uniswapV3SwapCallback مربوط می‌شد که بخشی از قرارداد Vault است.

به گفته کارشناسان، این آسیب‌پذیری به ذخیره‌سازی موقت اتریوم مربوط می‌شد، که یک ویژگی معرفی‌شده در به‌روزرسانی Dencun برای کمک به کاهش کارمزد گس است. مهاجم قبل از پایان تراکنش، ذخیره‌سازی موقت را دستکاری کرد و از آن برای بازنویسی داده‌های امنیتی در میانه فرآیند استفاده کرد. این به آنها اجازه داد تا قرارداد را فریب داده و یک آدرس استخر جعلی Uniswap که توسط مهاجم کنترل می‌شد را بپذیرند.

آینده پروتکل

پس از این حادثه، Xatarrer گفت که آنها همچنان امیدوار به بازسازی پروتکل هستند. در آخرین پیام خود به جامعه در شبکه اجتماعی X، بنیان‌گذار افزود که تیم قبلاً «برنامه‌ریزی» مراحل بعدی پروتکل را آغاز کرده است.

حملات مشابه در سال جاری

حمله به SIR.trading به فهرست رو به رشد حوادث امنیتی کریپتو در سال جاری اضافه می‌شود. ماه گذشته، پروتکل بازار پول لایه ۲ مبتنی بر Starknet به نام zkLend بیش از ۹ میلیون دلار اتریوم را در یک حمله از دست داد. فوریه به‌ویژه بی‌رحمانه بود، به طوری که خسارات ناشی از هک‌ها و کلاهبرداری‌ها به بیش از ۱.۵ میلیارد دلار رسید، طبق گزارش ۵ مارس شرکت امنیت بلاکچین Certik.