اختراق عقد LI.FI الذكي وسرقة حوالي 600 ألف دولار

كشف فريق LI.FI عن سرقة حوالي 600 ألف دولار من 29 محفظة، من عقده الذكي، في 20 آذار/مارس 2022.

TLDR:

• ~$600K have been stolen from 29 wallets
• User don’t have to do anything
• Bug has been fixed and is already deployedhttps://t.co/fqOxJxDrZs

— LI.FI – Any-2-Any Swaps (🦎,🦎) (@lifiprotocol) March 21, 2022

تمت السرقة في الساعة 02:51 صباحا حسب التوقيت العالمي، حيث تمكن المهاجم من خلالها من سرقة حوالي 600 ألف دولار ( 587500 دولار أو 205 إيثريوم) من 29 محفظة، من خلال صفقة واحدة.

أخذ المهاجم العديد من العملات من محافظ المستخدمين، بناء على العقود الرمزية التي منحها المستخدمون موافقات لا نهائية. ضمت العملات المسروقة (USDC و MATIC و RPL و GNO و USDT و MVI و AUDIO و AAVE و JRT و DAI)، حيث قام المهاجم بتبديل جميع العملات في الإيثريوم ، ومنذ ذلك الحين، لا تزال في محفظته، وبين الفريق أنه تم الإتصال بالمهاجم ولم يتم الرد حتى الآن.

وأعلن LI.FI من خلال مدونته “استغلال المهاجمين عقد LI.FI الذكي، وتحديدا ميزة المبادلة التي تتيح إجراء المقايضات قبل نقل العملة الى شبكات اخرى( التجسير) بدلا من المبادلة الفعلية، كانوا قادرين على استدعاء العقود الرمزية مباشرة في سياق العقد، ونتيجة للاستغلال، كان أي شخص يمنح موافقة غير محدودة على العقد عرضة للخطر، حيث قام فريقهم بتعطيل جميع طرق المبادلة في عقودهم الذكية بمجرد معرفتهم بالهجوم”.

وأضاف LI.FI: “بصرف النظر عن ذلك، قمنا على الفور بتنبيه المجتمع عبر تويتر بعملية الاحتيال وأبلغنا شركائنا ومستثمرينا. نشكر الجميع على دعمهم”.

كما اعتذر عن تقصيره في تقديم أعلى مستوى أمان ممكن، مبينا أن “مهمتنا هي زيادة تجربة المستخدم إلى أقصى حد، وقد تعلمنا الآن بشكل مؤلم أن تدابيرنا الأمنية يجب أن تتحسن بشكل كبير لاتباع هذه الروح”.

وبيّن LI.FI أنه عوّض غالبية المستخدمين المتأثرين في أقل من 18 ساعة، حيث تم سداد 25 محفظة على الفور بمبلغ إجمالي قدره 80 ألف دولار، وبالنسبة لأربعة محافظ المتبقية (الحجم الافتراضي 517 ألف دولار أمريكي)، تم التواصل معهم من خلال تويتر ومعاملة Mainnet من أجل تقليل الأضرار لديهم، فإنهم عرضوا تحويل الأموال المفقودة إلى استثمار ملاك إلى LI.FI وبالتالي عملة LI.FI المستقبلية بموجب نفس شروط المستثمرين في جولة التمويل الحالية .

في ذات السياق، أوضح LI.FI أنه تم تحديد الثغرة الأمنية وإصلاحها.