Aptos şəbəkəsindəki səhv düzəldildi, 70 milyard ABŞ dolları 3 min ABŞ dolları dəyərində bir hücuma məruz qaldı

• Səhv, USDC kimi stabilcoinlərin buraxılmasına icazə verən rolları ələ keçirməyə imkan verirdi.
• Tədqiqatçılar, 20 hücum cəhdindən 17-dən 18-nin müvəffəqiyyətlə başa çatdığını sübut etdilər.

Aptos şəbəkəsindəki kritik bir səhv keçən fevral ayında düzəldildi, çünki təhlükəsizlik firması Hexens bu zəifliyin Aptos ekosistemində 70 milyard ABŞ dolları dəyərində fondları yalnız 3 min ABŞ dolları xərclə hücuma məruz qoya biləcəyini göstərdi. Tədqiqatçılar, bir masaüstü kompüterin gücündə bir server kirayələmək üçün lazım olan xərci qeyd etdilər. Düzəliş, səhv istismar edilmədən əvvəl tətbiq olundu, buna görə də heç bir istifadəçi pul itirmədi.

Hətta tapıntı və onun düzəldilməsi fevral ayında baş verib, lakin Hexens-in tam texniki detalları və konsept sübutu (PoC) bu həftə məlum oldu, çünki Hexens və Aptos komandası bunları ictimaiyyətə açıqladı.

Hexens-dən bildirildi ki, hücum simulyasiyası zamanı 20 cəhdin 17-dən 18-i müvəffəqiyyətlə başa çatırdı, 30-dan çox düyün (şəbəkə daxilində əməliyyatları təsdiqləyən kompüterlər) olan bir test mühitində. Aptos komandası 4 iyulda bir mediada tapıntının 25 fevralda təhlükəsizlik zəifliklərini bildirmək üçün mükafat proqramı vasitəsilə bildirildiyini təsdiqlədi və düzəliş daha sonra əsas şəbəkədə inkişaf etdirildi, sınaqdan keçirildi və yerləşdirildi.

Səhv, Aptos daxilində ağıllı müqavilələrin kodunu icra edən Move virtual maşınında (MoveVM) yaranmışdı. Bu proqram, eyni zamanda, hər müqavilənin məlumatlarını strukturlarda təşkil edir, MoveVM-in bir hesabın balansını və ya bir protokolun idarəetmə icazələrini necə saxladığını göstərir.

Sistem, hər bir struktur üçün müvəqqəti yaddaşda bir identifikasiya nömrəsi saxlayır ki, hər əməliyyatda eyni prosesi təkrarlamasın. Problemin meydana gəldiyi yer, sistemin bu yaddaşın bir hissəsini boşaltması, lakin hamısını deyil: bir strukturu tanıyan nömrə, səhvən tamamilə fərqli bir məlumatla əlaqələndirilə bilər. Bu, tip qarışıqlığı adlanır, proqramın bir hesabın məlumatını başqa bir hesabın məlumatı kimi müalicə etməsi ilə nəticələnən bir səhvdir.

Bu səhv ilə, Hexens-in 6 iyulda dərc etdiyi texniki hesabatda izah etdiyi kimi, bir hücumçu administrator rollarını ələ keçirə bilərdi, bu funksiya stabilcoin buraxılmasına icazə verir, ya da müqavilə daxilində fondların idarə edilməsini idarə edən imza imkanlarını ələ keçirə bilərdi. Tədqiqatçılar, bir administrator rolunu ələ keçirdiklərini və buraxılışı icazə vermədən əvvəlki mərhələyə çatdıqlarını iddia etdilər.

Hexens komandası, səhvin Aptos-u şəbəkələr arasında körpülərlə birləşdirən yolları, məsələn, Wormhole və LayerZero-nu işlədənlər və Circle şirkətinin müxtəlif şəbəkələr arasında USDC stabilcoinini köçürmək üçün istifadə etdiyi protokolu əhatə etdiyini də qeyd etdi, ingiliscə CCTP (Cross-Chain Transfer Protocol) adlanır.

Hexens firmasına görə, bir hücumçu, uğurlu və ya uğursuz bir cəhd sonrası bu müvəqqəti yaddaşların (cache) tam boşaldılmasını da məcbur edə bilərdi, manipulyasiyanın izini qoymamaq üçün. Bu, bir hissədə, uğursuz cəhdlərin şəbəkəni dayandırmadığını və davam edən hücumu açmadığını izah edir.

Bundan əlavə, Hexens tədqiqatçıları problemi Ethereum-a əsaslanan bir şəbəkədə ekvivalent bir ssenari ilə müqayisə etdilər, burada bir hücumçunun nəzarətində olan bir kod, digər müqavilənin saxlama sahəsinə birbaşa yazmağı bacarır, Move-nin dəstəkləmək üçün xüsusi olaraq dizayn edilmiş tip sisteminin təminatlarını aşaraq.

Hexens, məsuliyyətli açıqlama praktikasını izləyərək, yəni hər hansı bir detalı ictimaiyyətə açıqlamadan əvvəl Aptos-a özəl xəbərdarlıq edərək bu zəifliyi bildirdi. Eyni zamanda, SEAL911 tərəfindən koordinasiya olunan bir təcili yardım otağı aktivləşdirildi, bu, müxtəlif layihələrin ciddi təhlükəsizlik hadisələrinə reaksiya vermək üçün istifadə etdiyi könüllü bir cavab şəbəkəsidir.

Aptos komandası, öz növbəsində, səhvin praktik istismarını <<son dərəcə aşağı>> olaraq qiymətləndirdi. Bu qiymətləndirmə, Hexens-in simulyasiyalarında 20 cəhdin 17-dən 18-nin müvəffəqiyyətlə başa çatdığı uğur nisbəti ilə ziddiyyət təşkil edir, həmçinin iki üçüncü tərəfin müstəqil yoxlamaları ilə: Polygon-un texnologiya direktoru (CTO) Mudit Gupta, konsept sübutunun təsvir edildiyi kimi işlədiyini bildirdi, eyni zamanda Grego AI firması, Aptos-un yerli aktivləri üzərində birbaşa riskin 250 milyon ABŞ dolları olduğunu hesabladı, bu da Hexens-in ekosistemin qalan hissəsi üzərində geniş təsir üçün qiymətləndirdiyi 70 milyard ABŞ dollarından xeyli aşağıdır.

Nəhayət, Ledger-in texnologiya direktoru Charles Guillemet, bu cür tapıntıların, virtual maşının tam izləri və iki funksional konsept sübutu ilə, əvvəllər bir mütəxəssisdən aylarla iş tələb etdiyini, lakin indi süni intellekt alətləri ilə daha sürətli və daha ucuz istehsal edildiyini qeyd etdi. Onun fikrincə, əgər təhlükəsizlik komandaları indi hər bir kod xəttini araşdıra və aşağı xərclə funksional bir hücum qura bilərlərsə, o zaman şübhəsiz ki, hücum qruplarının, o cümlədən Şimali Koreya ilə əlaqəli olan Lazarus kimi, oxşar qabiliyyətlərə sahib olduğunu qəbul etmək lazımdır.

Bu məzmun yalnız ümumi məlumat məqsədilə təqdim olunur və maliyyə, investisiya, hüquqi və ya vergi məsləhəti hesab edilməməlidir. Burada qeyd olunan hər hansı tədbir, mükafat, onlayn kampaniya və ya əlaqəli məlumat hər hansı kriptoaktivin alınması, satılması, treydinqi və ya digər əməliyyatların aparılması üçün tövsiyə, təşviq və ya dəvət kimi qiymətləndirilməməlidir. Kriptoaktivlər yüksək dəyişkənliyə malikdir və maliyyə itkisinə səbəb ola bilər. WEEX-in xidmətləri, məhsulları və əlaqəli tədbirlərinin əlçatanlığı regiondan asılı olaraq dəyişə bilər. İştirakınızın yerli qanunvericilik və tənzimləyici tələblərə uyğun olmasını təmin etmək sizin məsuliyyətinizdir.