خروج حدود ۶ میلیون دلار از ولت در Base؛ منبع ناشناخته

نکات کلیدی این مقاله

• قرارداد حمله دوباره در چند امضا ثبت شد
• میزان خسارت از تخمین اولیه حدود ۲۰۲ هزار دلار به طور قابل توجهی افزایش یافت

خروج غیرقانونی از ولت در Base

در تاریخ ۴ روز، حدود ۱۷۸۳ wstETH (معادل حدود ۶ میلیون دلار) به طور غیرقانونی از ولت (قرارداد هوشمند که وجوه را نگهداری و مدیریت می‌کند) در شبکه لایه ۲ Base خارج شد. شرکت امنیت بلاک‌چین، پک شیلد (PeckShield) در شب همان روز در X گزارش خسارت را منتشر کرد. منبع این ولت تا تاریخ ۵ هنوز خود را معرفی نکرده است.

wstETH، توکن استیک شده اتریوم (ETH) به نام "stETH" است که توسط شرکت بزرگ استیکینگ لیدو (Lido) منتشر شده است. برخلاف stETH، موجودی آن روزانه تغییر نمی‌کند و ارزش آن به نسبت انباشت پاداش‌های استیکینگ به صورت ETH افزایش می‌یابد.

برداشت بلافاصله پس از ثبت مجدد در لیست سفید

به گزارش بلاک اید (Blockaid) که اولین بار این ناهنجاری را گزارش کرد، قرارداد جدیدی به لیست سفید ولت اضافه شد و wstETH از ولت قرض گرفته شده و به قرارداد مهاجم ارسال شد. aBaswstETH، توکن سپرده‌ای است که با سپردن wstETH در بازار Base آوه (Aave) V3 صادر می‌شود. مهاجم این توکن را در آوه بازخرید کرده و wstETH را به دست آورد.

مالک ولت می‌تواند با تأیید ۳ نفر از ۷ نفر عملیات را انجام دهد. طبق زمان‌بندی منتشر شده توسط شرکت امنیتی ExVul، این چند امضا در ساعت ۱۷:۵۲ به وقت ژاپن، قرارداد مربوطه را از لیست سفید خارج کرده و یک دقیقه بعد در ساعت ۱۷:۵۳ دوباره ثبت کردند. هر دو عملیات با امضای معتبر امضاکنندگان موجود همراه بود. اولین برداشت حدود ۷۰ ثانیه پس از ثبت مجدد انجام شد.

افزایش خسارت به حدود ۳ برابر

در اولین گزارش بلاک اید که در حدود ساعت ۱۸:۲۰ منتشر شد، حدود ۲۰۲ هزار دلار در حدود ۴ معامله خارج شده و حمله همچنان ادامه داشت. در ساعت ۱۸:۵۶، پک شیلد خسارت را حدود ۶ میلیون دلار گزارش کرد و سرتیک (CertiK) نیز هشدار مشابهی صادر کرد.

هیچ اطلاعاتی مبنی بر وجود مشکل در زیرساخت آوه یا خود شبکه Base وجود ندارد و هنوز تأیید نشده است که آیا کلیدهای امضاکنندگان نشت کرده یا فرآیند امضا دستکاری شده است. آدرس مهاجم با "0x0B5126" شروع و با "B034" پایان می‌یابد.

این محتوا صرفاً برای اطلاع‌رسانی عمومی ارائه شده است و به‌منزله مشاوره مالی، سرمایه‌گذاری، حقوقی یا مالیاتی تلقی نمی‌شود. هرگونه رویداد، جایزه، کمپین آنلاین یا اطلاعات مرتبط که در اینجا ذکر شده است، نباید به‌عنوان توصیه، ترغیب یا دعوت به خرید، فروش، معامله یا هرگونه دادوستد دیگر دارایی‌های رمزارزی تلقی شود. دارایی‌های رمزارزی از نوسان بالایی برخوردار هستند و ممکن است منجر به زیان شوند. دسترسی به خدمات، محصولات و رویدادهای مرتبط با WEEX ممکن است بسته به منطقه جغرافیایی متفاوت باشد. اطمینان از اینکه استفاده شما از این خدمات با قوانین و مقررات محلی مطابقت دارد، بر عهده خود شماست.