به گزارش شبکه اطلاع‌رسانی طلا و ارز و به نقل از کریپتو بریفینگ، شبکه پرداخت Payy روز ۲۴ سپتامبر ۲۰۲۶ (۲ مهر ۱۴۰۵) همه خدمات خود را تعطیل کرد. یک مهاجم با سوءاستفاده از نقصی در قرارداد رول‌آپ این شبکه، حدود ۱٫۸۳ میلیون دلار USDC خارج کرد. USDC یک استیبل‌کوین است؛ یعنی رمزارزی که ارزش آن به دلار آمریکا گره خورده است.
پس از این حمله، واریز، برداشت، انتقال و تراکنش‌های کارت در این شبکه متوقف شد. برای کاربران، معنای این وضعیت روشن است: دارایی آن‌ها فعلاً در دسترس نیست. Payy هنوز نه تاریخی برای ازسرگیری خدمات اعلام کرده و نه درباره جبران خسارت کاربران توضیحی داده است.
نقطه نفوذ کجا بود؟
حمله ساعت ۰۴:۲۱ به وقت جهانی، معادل ۰۷:۵۱ به وقت تهران، رخ داد. مهاجم یک تراکنش مخرب را از مسیر تابع verifyRollup عبور داد و در بلوک ۲۶٬۰۴۴٬۹۰۹ شبکه اتریوم ثبت کرد. این تابع وظیفه تأیید بسته‌های تراکنش را پیش از ثبت نهایی بر عهده دارد.
Payy یک شبکه پرداخت با تمرکز بر حریم خصوصی است و روی یک رول‌آپ اتریومی کار می‌کند. رول‌آپ لایه‌ای است که تراکنش‌ها را بیرون از شبکه اصلی پردازش و نتیجه را روی اتریوم ثبت می‌کند. قرارداد رول‌آپ در عمل پل میان این دو لایه است و مهاجم از همین پل وارد شد.
شرکت تحقیقات بلاکچینی Specter Investigation مسیر وجوه سرقت‌شده را ردیابی کرد. داده‌های این شرکت نشان می‌دهد مهاجم دارایی‌ها را از پروتکل حریم خصوصی Railgun عبور داد. سپس آن را به حدود ۶۸۳ اتر تبدیل کرد و میان چند نشانی مختلف پخش کرد. این روش ردیابی و بازگرداندن وجوه را دشوارتر می‌کند.
دومین آسیب‌پذیری در ۱ سال
این نخستین مشکل امنیتی Payy در سال جاری نیست. این پروژه در ژوئن ۲۰۲۶ از نقصی جدی در منطق اثبات‌های دانش صفر خود خبر داده بود. اثبات دانش صفر روشی رمزنگاری است که درستی یک تراکنش را بدون افشای جزئیات آن تأیید می‌کند. تیم Payy آن نقص را پیش از هر زیانی در نسخه ۱٫۳٫۰ برطرف کرد.
پرونده Payy الگویی آشنا در بازار رمزارز را تکرار می‌کند؛ لایه رمزنگاری مقاوم می‌ماند، اما قراردادهای پیرامون آن آسیب می‌بینند. در حمله‌های پیشین به پروتکل‌های مالی غیرمتمرکز، سرنوشت کاربران متفاوت بوده است. برخی پروژه‌ها کل خسارت را از ذخایر خود جبران کرده‌اند و در برخی دیگر، کاربران همه دارایی خود را از دست داده‌اند.
نظرات کاربران