افشای نقش کارمند سابق در حمله ۲ میلیون دلاری به Bedrock و تغییر الگوی هکرها

افشای نقش کارمند سابق در حمله ۲ میلیون دلاری به پروتکل UniBTC

پلتفرم تحلیل قراردادهای هوشمند Fuzzland اعلام کرد که یک کارمند سابق این شرکت مسئول حمله‌ای بوده است که در سپتامبر ۲۰۲۴ به پروتکل UniBTC متعلق به Bedrock انجام شده و منجر به سرقت ۲ میلیون دلار شد. در گزارش جدید شفافیت، Fuzzland توضیح داد که این عامل داخلی با استفاده از روش‌های مهندسی اجتماعی، حملات زنجیره‌تأمین و تکنیک‌های پیشرفته تهدید پایدار، به داده‌های حساس دست یافته و حمله را ترتیب داده است.

بر اساس این گزارش، مهاجم پس از بحث داخلی آسیب‌پذیری UniBTC در یک تماس اضطراری، از آن سوءاستفاده کرده است. این کارمند سابق، کدی مخرب را در ایستگاه‌های کاری مهندسی قرار داده و بک‌دورهایی ایجاد کرده که هفته‌ها بدون شناسایی باقی‌مانده‌اند. این دسترسی، امکان دریافت اطلاعات حساس و سواستفاده از آسیب‌پذیری که اولین بار در گزارشی از Dedaub اشاره شده بود را فراهم کرده است. Fuzzland تأکید کرد که آسیب‌پذیری را قبل از حمله شناسایی کرده بود اما به علت تشخیص اشتباه، رسیدگی به آن اولویت‌بندی نشده بود.

این پلتفرم امنیت قرارداد هوشمند اعلام کرد که خسارت‌های وارده به Bedrock را جبران کرده و همچنین با همکاری شرکت امنیتی ZeroShadow تحقیقاتی مشترک آغاز کرده است. گزارش‌هایی نیز به پلیس چین و اف‌بی‌آی ارائه شده و برای ارتقاء استانداردهای امنیتی صنعت، همکاری با شرکت‌های Seal 911 و SlowMist در جریان است. Fuzzland تأکید کرد که با وجود زیان ۲ میلیون دلاری، هیچ داده‌ای از مشتریان یا کاربران به‌خطر نیفتاده و حادثه تنها محدود به یک محیط داخلی جداگانه بوده است.

پروتکل Bedrock یک پلتفرم استیکینگ لیکوئید چند دارایی است که محصولات UniBTC، UniETH و UniLOTX را ارائه می‌دهد. این توکن‌های مصنوعی نمایانگر دارایی‌های اصلی بلاک‌چین هستند و به کاربران امکان کسب سود از طریق استیکینگ را می‌دهند. Bedrock در ۲۷ سپتامبر تأیید کرد که مورد حمله قرار گرفته و مهاجم ۲ میلیون دلار نقدینگی از استخرهای صرافی غیرمتمرکز آن خارج کرده است. با این حال، طبق آمار DefiLlama، ارزش کل قفل‌شده (TVL) پلتفرم Bedrock از ۲۴۰ میلیون دلار در سپتامبر ۲۰۲۴ به ۵۳۵ میلیون دلار در ژوئن ۲۰۲۵ افزایش یافته است.

این گزارش در حالی منتشر شده که هکرها بیشتر از آسیب‌پذیری قراردادهای هوشمند به حملات مهندسی اجتماعی و فیشینگ روی آورده‌اند. در ۴ ژوئن، شرکت امنیت بلاک‌چین CertiK گزارش داد که در سال ۲۰۲۵ بیش از ۲/۱ میلیارد دلار در حملات مرتبط با ارزهای دیجیتال به سرقت رفته است. این شرکت افزود که بیشتر این ضررها ناشی از حملات فیشینگ و نفوذ به ولت‌ها بوده است. به گفته «رنگ‌هوی گو»، بنیان‌گذار CertiK، افزایش حملات مهندسی اجتماعی نشان‌دهنده تغییر روش هکرها در فضای رمزارز است.