خلاصه مطلب
یک مهاجم با سوءاستفاده از حفره امنیتی در شبکه لیکوئید حدود ۴۰۰۰ توکن بیتکوین جعلی ساخت. سپس این توکنها را به حدود ۳۹۹۶ بیتکوین واقعی تبدیل کرد و از شبکه خارج نمود. شبکه پس از کشف حمله کاملاً متوقف شد.
یک مهاجم با سوءاستفاده از یک حفره امنیتی در شبکه لیکوئید، حدود ۴۰۰۰ توکن بیتکوین جعلی ساخت. سپس این داراییهای غیرواقعی را به حدود ۳۹۹۶ بیتکوین واقعی تبدیل کرد و از شبکه خارج نمود.
ساخت ۴۰۰۰ توکن جعلی بیتکوین در شبکه لیکوئید
در روز ۶ سپتامبر، مهاجم از یک باگ در نرمافزار زیرساخت شبکه لیکوئید استفاده کرد. او توانست حدود ۴۰۰۰ واحد «L-BTC» — که در واقع توکنهایی نماینده بیتکوین در این شبکه هستند — بدون هیچ پشتوانه واقعی تولید کند. جالب این که شبکه این توکنهای جعلی را معتبر تشخیص داد.
تبدیل توکنهای جعلی به بیتکوین واقعی از طریق سایدسواپ
مهاجم توکنهای ساختگی خود را به سرویسی به نام «سایدسواپ» فرستاد. کار این سرویس، تبدیل خودکار توکنها به بیتکوین واقعی است. سایدسواپ به طور خودکار درخواست تبدیل را تأیید و ارسال کرد. در نتیجه، فدراسیونی که شبکه لیکوئید را مدیریت میکند، حدود ۳۹۹۶ بیتکوین واقعی به آدرس مهاجم واریز کرد. این مبلغ بسیار بزرگی از ذخایر شبکه خارج شد.
اشکال نرمافزاری شبکه لیکوئید و ضعفهای سایدسواپ
منشأ اصلی حادثه، یک اشکال در کد نرمافزاری پایه شبکه لیکوئید بود. اما سایدسواپ هم دو ضعف عملیاتی داشت که کار مهاجم را آسان کرد: اول این که کلید مجوز پرداخت این سرویس همیشه آنلاین و در دسترس بود. دوم این که برای تراکنشهای بزرگ و پشتسرهم، هیچ بررسی دستی وجود نداشت. نکته مهم این است که خود کیفپول یا سیستم داخلی سایدسواپ هک نشده بود.
برای آشنایی بیشتر با نمونههای مشابه، گزارش توقف شبکه لیکوئید بعد از خروج بیتکوین را بخوانید.
توقف کامل شبکه لیکوئید پس از حمله
شبکه لیکوئید بلافاصله پس از کشف این حمله، به طور کامل متوقف شد. تلاش برای ردیابی و بازگرداندن بیتکوینهای سرقتشده ادامه دارد، اما هنوز نتیجه نهایی این پیگیریها اعلام نشده است.
این حادثه بار دیگر اهمیت مدیریت ریسک در بازار ارز دیجیتال و کنترلهای امنیتی را نشان میدهد.
جمعبندی
یک آسیبپذیری فنی در شبکه لیکوئید — که یک شبکه جانبی برای بیتکوین محسوب میشود — منجر به خروج حدود ۴۰۰۰ بیتکوین از ذخایر آن شد. این اتفاق امنیت چنین شبکههای جانبی را زیر سؤال برده و عملیات شبکه را تا زمان رفع مشکل و شفافشدن وضعیت داراییها متوقف کرده است.
نظرات کاربران