SUPERFORTUNE هک GUA را پس از انلاک 15 میلیون دلاری روی زنجیره بررسی می کند

SUPERFORTUNE در حال بررسی یک حادثه امنیتی بزرگ GUA پس از بازگشایی 14.981 میلیون توکن، انتقال به یک آدرس مشابه و تخلیه زنجیره ای است که باعث نوسان شدید در بازار توکن شده است. رویداد GUA بر یک تراکنش multisig متمرکز است که قصد دارد توکن‌های باز شده اضافی را در قرارداد ادعای airdrop پروژه آزاد کند. مقصد مورد نظر 0x70ae7D3DECfB4C3aE996fb1c07092566F73D5c15 بود، اما تراکنش اجرا شده توکن‌ها را به 0x70AE678b457C5E1b3fD7AD9537F234dFc17 و چهار کاراکتر جداگانه و آخرین نویسه جداگانه ارسال کرد. 14.981 میلیون GUA منتقل شده قبل از فروش حدود 15.18 میلیون دلار ارزش داشت. سپس توکن ها به صورت زنجیره ای به 2784 ETH به ارزش تقریبی 5.66 میلیون دلار مبادله شدند و در سه کیف پول که توسط Arkham ردیابی می شدند، آدرس دو و آدرس سه توزیع شدند. GUA در 24 ساعت بیش از 70 درصد سقوط کرد و داده‌های بازار حجم سنگینی را پس از تخلیه نشان می‌دهد. SUPERFORTUNE مسیر اکسپلویت را نهایی نکرده است. این تیم در ابتدا به یک حمله مشکوک به مسمومیت آدرس اشاره کرد، اما بعداً گفت که این وکتور بعید به نظر می‌رسد زیرا آدرس هکر هیچ تعامل قبلی با آدرس‌های مرتبط با SUPERFORTUNE نداشته و رویه‌های داخلی قبلاً شامل بررسی‌های تطبیق آدرس‌های متعدد است. با مقامات و تیم های واکنش به حوادث تماس گرفته شده است. کنترل‌های بازگشایی قفل نشانی Lookalike با ریسک آدرس برخورد می‌کنداین حادثه ضعف حساسی را در عملیات توکن آشکار می‌کند: تراکنش‌های بازگشایی اغلب مقادیر زیادی از عرضه را به یکباره جابه‌جا می‌کنند، و یک شکست در انتخاب آدرس می‌تواند دوباره پر کردن مجدد ادعای قرارداد را به یک سوء استفاده در حرکت بازار تبدیل کند. مورد GUA به ویژه تیز است زیرا این انتقال یک کیف پول کوچک داغ را هدف قرار نمی دهد. این شامل عرضه بدون قفل در نظر گرفته شده برای ادعاهای ایردراپ بود، که به این معنی بود که آدرس کنترل شده توسط مهاجم نقدینگی کافی برای فروپاشی بازار هنگام فروش دریافت می کرد. خسارت فقط ارزش انتقالی نبود. این تخلیه مستقیماً با خرد کردن نقدینگی نقطه‌ای و وادار کردن بازار به افزایش اعتماد به کنترل‌های پروژه به دارندگان توکن ضربه زد. حوادث اخیر DeFi نقاط فشار عملیاتی یکسانی را از چندین زاویه نشان داده است. یک ضرابخانه غیرعادی vsdCRV در Arbitrum، کنترل‌های عرضه زنجیره‌ای متقابل را تحت بررسی قرار داد، در حالی که حمله SKP به زنجیره BNB نشان داد که اجرای خودکار چقدر سریع می‌تواند به ضررهای واقعی بازار سرازیر شود. تیم‌های قرارداد هوشمند همچنین با محیط بررسی سخت‌تری مواجه هستند، زیرا کشف آسیب‌پذیری به کمک هوش مصنوعی، دفاع از DeFi را سخت‌تر می‌کند و استانداردهای چک‌های چند علامتی، رویه‌های باز کردن قفل توکن و امنیت عملیاتی را بالا می‌برد.