تحليل أكبر حدث هجوم هاكر في تاريخ Web3

في 21 فبراير 2025، تعرضت محفظة الإيثريوم الباردة الخاصة بمنصة تداول معروفة لهجوم أمني خطير. استخدم المهاجمون أساليب تصيد مصممة بعناية لإقناع الموقّعين على محفظة التوقيع المتعدد بتوقيع معاملات خبيثة، مما أدى إلى نقل أصول تشفيرية بقيمة حوالي 1.46 مليار دولار إلى عنوان غير معروف.

مراجعة عملية الهجوم

خطوات المهاجم الرئيسية كالتالي:

1. نشر مسبق لعقد خبيث يحتوي على باب خلفي لنقل الأموال.
2. تعديل واجهة محفظة التوقيع المتعدد، بحيث تكون معلومات المعاملات التي يراها الموقعون غير متوافقة مع البيانات المرسلة إلى المحفظة الصلبة.
3. الحصول على ثلاثة توقيعات صالحة من خلال واجهة مزورة، واستبدال عقد تنفيذ محفظة التوقيع المتعدد بإصدار خبيث.
4. السيطرة على المحفظة الباردة ونقل كميات كبيرة من الأصول.

تم العثور على الاستطلاع

أصدرت شركة الأمن Sygnia، التي تم تكليفها بإجراء تحقيقات استقصائية، تقريرًا أوليًا، تتضمن الاكتشافات الرئيسية ما يلي:

• تم اكتشاف شفرة JavaScript خبيثة مُحقنة في دلو تخزين AWS S3 المستخدم في محفظة متعددة التوقيعات.
• تحليل الشيفرة يظهر أن الهدف الرئيسي منه هو التلاعب بمحتوى المعاملات أثناء عملية التوقيع.
• يتم تفعيل الشيفرة الضارة فقط تحت شروط تفعيل معينة وتكون فعالة فقط على عناوين عقود معينة.
• بعد فترة قصيرة من انتهاء الهجوم، تم تحميل إصدار محدث من موارد JavaScript، وتم حذف الشيفرة الخبيثة.
• تشير الأدلة الأولية إلى أن الهجوم مصدره بنية تحتية من AWS لمحفظة متعددة التوقيعات.
• لم يتم اكتشاف أي علامات على اختراق البنية التحتية الخاصة بمنصة التداول نفسها حتى الآن.

تحليل الثغرات الأمنية

كشفت هذه الحادثة عن مشكلات أمنية على عدة مستويات:

1. أمان التخزين السحابي: تم العبث بدلو تخزين AWS S3، مما يدل على وجود ثغرات في التحكم في الوصول إلى خدمات السحابة.

2. عدم كفاية التحقق من أمان الواجهة الأمامية: إذا تم تنفيذ تحقق كامل من سلامة الموارد الفرعية (SRI) في واجهة محفظة متعددة التوقيع، حتى إذا تم العبث بـ JavaScript، فقد يتم تجنب مثل هذه الهجمات.

3. قيود محفظة الأجهزة: عند معالجة المعاملات المعقدة، لا تستطيع محفظة الأجهزة تحليل وعرض بيانات المعاملات التفصيلية لمحفظة التوقيع المتعدد بشكل كامل، مما يؤدي إلى "توقيع أعمى" من قبل الموقعين.

4. الثقة المفرطة في الواجهة الأمامية: الثقة المفرطة من منصة التداول في واجهة المحفظة متعددة التوقيع، مما أدى إلى تجاهل التحقق الثاني من المحتوى الفعلي للمعاملات.

نصائح الأمان

لتفادي هجمات مشابهة، يمكن اتخاذ التدابير التالية:

1. تنفيذ التحقق من توقيع هيكل EIP-712:
   • توليد بيانات قابلة للتحقق من الواجهة الأمامية
   • تحقق من توقيع العقد الذكي، لضمان أن أي تعديل في المعلمات سيؤدي إلى التراجع التلقائي للمعاملة

2. ترقية برامج تشغيل المحفظة الصلبة لدعم تحليل الدلالات الأكثر تقدمًا:
   • تعزيز القدرة على تحليل المعاملات المعقدة
   • تنفيذ المطابقة الدلالية القسرية على السلسلة

3. تعزيز أمان خدمات السحاب:

   • إدارة صارمة لحقوق الوصول إلى خدمات السحابة مثل AWS
   • تدقيق منتظم ومراقبة التغييرات في الموارد الرئيسية

4. آلية التحقق المتعددة:

   • إدخال التحقق من الأطراف المتعددة في العمليات الهامة
   • استخدام البيانات على السلسلة وخارج السلسلة للتحقق المتبادل لمحتوى المعاملات

5. تدقيق الأمان المستمر:

   • إجراء تقييمات أمنية شاملة بشكل دوري
   • استخدام أدوات الذكاء الاصطناعي المتقدمة لمراجعة كود العقود الذكية

خاتمة

تزداد التحديات الأمنية في مجال Web3 تعقيدًا، مما يتطلب تعزيز القدرة على الحماية عبر عدة جوانب، بدءًا من أمان الأجهزة، والتحقق من المعاملات، إلى آليات التحكم في المخاطر. يجب على مطوري الواجهة الأمامية إجراء تحقق صارم في جميع مراحل وصول DApp، وتوصيل المحفظة، وتوقيع الرسائل، وتوقيع المعاملات. فقط من خلال إنشاء خط دفاعي شامل يمكننا حقًا حماية قيمة وثقة كل معاملة في عالم Web3 المفتوح.