به گزارش شبکه اطلاع‌رسانی طلا و ارز به نقل از Crypto Economy، پلتفرم‌های Alby و نومیک (Nomic) روز چهارشنبه هدف حمله‌های امنیتی جداگانه قرار گرفتند. این حادثه در تاریخ ۹ سپتامبر ۲۰۲۶ (۱۸ شهریور ۱۴۰۵) رخ داد. در هر ۲ مورد، نقص فنی به مهاجمان امکان دسترسی به دارایی کاربران داد و توسعه‌دهندگان با اجرای وصله‌های اضطراری از خسارت بیشتر جلوگیری کردند. این دو رخداد بار دیگر ریسک ابزارهای کیف‌پول شخصی و زیرساخت‌های تبادل دارایی میان زنجیره‌ها را برای کاربران رمزارز آشکار کرد.
آسیب‌پذیری در کیف‌پول خودمیزبان Alby
شرکت Alby اعلام کرد آسیب‌پذیری شناسایی‌شده در نرم‌افزار هاب خودمیزبان این پلتفرم، نسخه‌های ۱٫۷٫۰ تا ۱٫۱۸٫۵ را در برمی‌گیرد. بر پایه گزارش فنی این شرکت، این نقص تنها زمانی فعال می‌شود که رابط برنامه‌نویسی کاربردی مدیریتی کاربر به‌صورت عمومی در اینترنت در دسترس باشد. این رابط معمولاً باید تنها در دسترس خود کاربر باشد، نه در معرض عموم کاربران اینترنت. در صورت دسترسی مهاجم به این رابط بیرونی، امکان فنی انتقال دارایی از کیف‌پول بدون اجازه کاربر فراهم می‌شود.
Alby تأکید کرد زیرساخت Alby Cloud Hub از این حادثه متأثر نشده و مشکل تنها نسخه‌های خودمیزبان را در برمی‌گیرد. بنا بر اعلام تیم Alby، پژوهشگران امنیتی گروه‌های Team Red و Project Loupe این آسیب‌پذیری را به‌صورت رسمی گزارش کردند. این شرکت از اپراتورهای نود خواست به نسخه ۱٫۲۴٫۰ ارتقا دهند و دسترسی عمومی به رابط مدیریتی را با فایروال محدود کنند. همچنین توصیه شد گواهی‌های ورود کیف‌پول خود را هرچه زودتر تغییر دهند.
نفوذ به نومیک و خطر برای بیت‌کوین پوشش‌دار
هم‌زمان، صرافی غیرمتمرکز Osmosis از حمله‌ای به شبکه نومیک (Nomic) خبر داد؛ شبکه‌ای که دارایی پوشش‌دار nBTC را صادر می‌کند. بنا بر جزئیات فنی Osmosis، مهاجم نقصی را در مکانیزم اختصاصی انتقال پیام‌های نومیک شناسایی کرد. او با جعل اثبات‌های تراکنش، همان دارایی را یک‌بار دیگر در Osmosis ثبت کرد؛ اقدامی موسوم به خرج دوباره. این روش به مهاجم اجازه می‌دهد بدون پشتوانه واقعی، دارایی تازه در شبکه مقصد ایجاد کند.
مستندات رسمی Osmosis روشن کرد زنجیره اصلی و پروتکل ارتباط میان‌زنجیره‌ای (IBC) دچار اختلال عملیاتی نشدند. با این حال، میزان دارایی در معرض خطر قابل‌توجه بود. ۳۹٫۸۴ واحد از کل nBTC منتشرشده، پشتوانه دارایی Alloyed BTC را تشکیل می‌داد؛ رقمی معادل حدود ۳۶ درصد از کل ذخایر این دارایی در زمان وقوع حادثه.
اقدام اضطراری اعتبارسنجان و گام بعدی
پس از شناسایی جریان غیرعادی دارایی، زیرشورای نظارتی Osmosis واریز و برداشت مرتبط با نومیک و استخر نقدینگی Alloyed BTC را موقتاً متوقف کرد. در ادامه، اعتبارسنجان شبکه یک ارتقای نرم‌افزاری اضطراری را هماهنگ کردند که طی آن، ۲۲٫۶۵ بیت‌کوین نگهداری‌شده در آدرس مهاجم مسدود شد.
بر پایه اطلاعات تیم اصلی Osmosis، جبران کامل کسری باقی‌مانده به پشتوانه خزانه نیاز دارد. توسعه‌دهندگان اعلام کردند طرحی به جامعه ارائه می‌دهند تا از ذخایر بیت‌کوین استخر عمومی برای پوشش این کسری استفاده و برابری ارزش Alloyed BTC بازگردانده شود. گام بعدی، رأی‌گیری درباره طرحی در حاکمیت Osmosis است که ضبط رسمی ۲۲٫۶۵ بیت‌کوین مسدودشده در آدرس مهاجم را هدف قرار می‌دهد.
نظرات کاربران