ثغرة خطيرة في قاعدة بيانات شبكة Solana

لاحظ باحثون منNeodyme، وهو فريق بوتيك يركز على عمليات تدقيق الأمان، وجود ثغرة خطيرة في قاعدة بيانات شبكة سولانا Solana.

وفي أحدث منشور لهم على المدونة، شارك باحثو الأمن المشفر من Neodyme مخطط هجوم قد يكون مربحا للعملات “باهظة الثمن” المدمجة في النظام البيئي لسولانا.

لامبورغيني في الساعة الواحدة

وفقا للإعلان الذي تمت مشاركته على مدونة ومدونة Neodyme الاجتماعية، لاحظ فريق البحث وجود خطأ في عقد الإقراض الرمزي لمكتبة برنامج سولانا. وعلى هذا النحو، أثرت على العديد من بروتوكولات DeFi القائمة على شبكة سولانا.

We recently discovered a critical bug in the token-lending contract of the solana-program-library (SPL). This blog post details our journey from discovery, through exploitation and coordinated disclosure, and finally the fix.

— Neodyme (@Neodyme) December 3, 2021

وكان إجمالي القيمة الإجمالية المجمعة (TVL) المعرضة للخطر أكثر من 2،600 مليار دولار.

و كان تصميم الهجوم الافتراضي بسيطا للغاية: أثناء إيداع n من العملات المشفرة الكسرية، يكون المستخدم قادرا على سحب n + 1 من العملات المشفرة الكسرية.

مع عملة سولانا، لن يكون فعالا من الناحية الاقتصادية، حيث تبلغ قيمة Lamport (أصغر جزء من سولانا، مثل ساتوشي لبيتكوين و وي لايثر ودروب لريبل) حوالي 0.000000220 دولارا فقط.

ومع ذلك، بالنسبة لايثر وبيتكوين، يمكن أن يكون هذا السيناريو مربحا للغاية. مع بعض الترقيات التقنية، يمكن تنفيذ الهجوم حوالي 300 مرة في الثانية. وفي هذه الحالة، يمكن أن تكون الخسائر كبيرة.

يمكننا الحصول على هذه المعاملة متضمنة حوالي 300 مرة في الثانية، وسرقة 7500 دولار في الثانية أو حوالي 27 مليون دولار في الساعة (أي لامبورغيني هوراكان واحدة كل دقيقة).

إصلاح الثغرة

في الوضع الآلي، يصبح هذا الهجوم مربحا حتى بالنسبة إلى عملات FTT و RAY.

ففي 2-4 ديسمبر/ كانون الأول، اتصل ممثلو Neodyme بعدد من بروتوكولات التمويل اللامركزية (DeFis) بشأن سولانا، مثل Larix و Solend و Tulip و Accumen و Soda وغيرها.

وقامت جميع الفرق بإصلاح الأخطاء في هندستها الهيكلية.

وقد قال مهندس البرمجيات جوردان أوديت-سيكستون من شركة تطوير البرمجياتGitHub يوم أمس أن المسألة ثابتة في مصدر برنامج الرئيسي لشبكة سولانا كذلك.