پلتفرم معاملاتی آستیوم (Ostium)، فعال در حوزه قراردادهای پرپچوال آن‌چین، با یک حمله کوتاه اما پرهزینه مواجه شد که طی آن حدود ۲۴ میلیون دلار از صندوق نقدینگی این پروتکل خارج شد.
فهرست مطالب
هک ۵ دقیقه‌ای آستیوم؛ سرقت ۲۴ میلیون دلار از صندوق نقدینگی
بر اساس گزارش شرکت‌های امنیتی بلاک چین، مهاجمان با سوءاستفاده از نقص در سیستم اوراکل قیمت، توانستند از داده‌هایی با امضای معتبر اما دارای زمان‌بندی نادرست استفاده کنند و معاملات سودآوری ایجاد کنند که با شرایط واقعی بازار مطابقت نداشت. این حادثه بار دیگر نشان داد که در قراردادهای پرپچوال، سلامت داده قیمت به اندازه سلامت کد قرارداد اهمیت دارد.
این حادثه در تاریخ ۲۴ تیر رخ داد و طبق بررسی شرکت‌های امنیتی سایورز (Cyvers) و بلاک‌اید (Blockaid)، مهاجم از یک فرستنده معتبر برای ارسال گزارش‌های اوراکل استفاده کرده است. مشکل اصلی این بود که سیستم آستیوم نتوانست بررسی کند آیا زمان ثبت این داده‌ها با زمان واقعی بازار مطابقت دارد یا خیر. در نتیجه، قیمت‌هایی مربوط به آینده توسط پروتکل پذیرفته شد و مهاجم توانست از این اختلاف زمانی برای کسب سود استفاده کند.
کالیدورا کیرنان-لین (Kaledora Kiernan-Linn)، هم‌بنیان‌گذار آستیوم، ضمن تأیید توقف موقت معاملات اعلام کرد که تیم این پروژه در حال همکاری با متخصصان امنیتی و نهادهای مربوطه برای بررسی حادثه و ردیابی دارایی‌های خارج‌شده است. این واکنش سریع مانع خروج بیشتر وجوه شد، اما صندوق نقدینگی پروتکل پیش از توقف معاملات بخش قابل توجهی از سرمایه خود را از دست داده بود.
نقص در اعتبارسنجی داده‌های اوراکل
تحلیل‌های فنی نشان می‌دهد این حمله برخلاف بسیاری از نفوذهای رایج، ناشی از جعل امضا یا دسترسی غیرمجاز به سیستم نبود. داده‌های مورد استفاده مهاجم دارای امضای دیجیتال معتبر بودند، اما قراردادهای هوشمند آستیوم کنترل‌های کافی برای بررسی زمان‌بندی داده‌ها و غیرمنطقی بودن تغییرات قیمت نداشتند.
بررسی کد قراردادهای آستیوم در شبکه آربیتروم نشان می‌دهد که اگرچه اعتبار فرستنده داده‌ها بررسی می‌شد، اما محدودیت‌های کافی برای جلوگیری از پذیرش قیمت‌های مربوط به آینده یا تغییرات غیرعادی قیمت وجود نداشت. همین ضعف به مهاجم اجازه داد از اطلاعات نادرست برای ایجاد موقعیت‌های معاملاتی سودده استفاده کند. به بیان ساده، پروتکل به «چه کسی داده را فرستاده» توجه کرد، اما از «چه زمانی» و «با چه منطقی» غافل شد.
این نوع حمله از نظر فنی پیچیده نیست، اما از نظر طراحی امنیتی درس مهمی دارد: در سیستم‌های مالی آن‌چین، امضای معتبر تنها بخشی از اعتبارسنجی است. داده باید هم از نظر منبع، هم از نظر زمان و هم از نظر منطق اقتصادی بررسی شود. نبود یک محدودیت ساده مانند رد کردن قیمت‌های آینده یا سقف مجاز تغییر قیمت، می‌تواند کل صندوق نقدینگی یک پروتکل را در معرض تخلیه قرار دهد.
بر اساس گزارش پک‌شیلد (PeckShield)، بخش عمده دارایی‌های خارج‌شده به صورت استیبل کوین USDC بوده است. این شرکت اعلام کرد بخشی از این وجوه پس از جابه‌جایی به دارایی‌های دیگر، به آدرس‌هایی مرتبط با میکسر تورنادو کش منتقل شده است. انتقال وجوه به میکسر، مسیر بازیابی دارایی‌ها را دشوارتر می‌کند و ردیابی را برای تیم پروژه و نهادهای امنیتی پیچیده‌تر می‌سازد.
بیشتر بخوانید: درخواست مدیرعامل صرافی بیت‌گت از تورچین برای مسدودسازی دارایی‌های سرقتی
هک آستیوم چگونه انجام شد؟
مهاجم با سوءاستفاده از نقص در سیستم اوراکل قیمت، داده‌هایی با امضای معتبر اما زمان‌بندی نادرست ارسال کرد؛ پروتکل قیمت‌های مربوط به آینده را پذیرفت و مهاجم از این اختلاف زمانی معاملات سودده ایجاد کرد.
چرا امضای معتبر برای جلوگیری از حمله کافی نبود؟
زیرا قراردادهای آستیوم فقط اعتبار فرستنده داده را بررسی می‌کردند و کنترل کافی برای زمان‌بندی داده‌ها یا غیرمنطقی بودن تغییرات قیمت نداشتند.
چه مقدار دارایی از صندوق نقدینگی خارج شد؟
حدود ۲۴ میلیون دلار از صندوق نقدینگی پروتکل خارج شد و بخش عمده آن به صورت استیبل کوین USDC بوده است.
دارایی‌های سرقت‌شده به کجا منتقل شدند؟
بر اساس گزارش پک‌شیلد، بخشی از این وجوه پس از جابه‌جایی به دارایی‌های دیگر به آدرس‌هایی مرتبط با میکسر تورنادو کش منتقل شده است.
جمع‌بندی
هک ۵ دقیقه‌ای آستیوم نشان داد که در پروتکل‌های پرپچوال، اعتبارسنجی داده اوراکل به اندازه امنیت قرارداد هوشمند حیاتی است. پذیرش قیمت‌های آینده با وجود امضای معتبر، ۲۴ میلیون دلار از صندوق نقدینگی را خارج کرد و انتقال بخشی از وجوه به تورنادو کش بازیابی آن را دشوارتر ساخت؛ درسی که طراحی کنترل‌های زمانی و منطقی را برای سایر پروتکل‌ها ضروری می‌کند.