تفاصيل الهجوم التقني على محول FlashLoopAdapter
شهدت الساحة التقنية مؤخرًا اكتشاف ثغرة أمنية خطيرة في محول FlashLoopAdapter المخصص لإدارة المراكز المالية المعززة عبر بروتوكول Aave الإصدار الثالث (v3) على شبكة إيثيريوم. تسبب هذا الاختراق في استنزاف ما يقدر بنحو 305,000 دولار من محفظتين من نوع Safe، وذلك بعد أن تمكن المهاجم من تجاوز ضوابط الوصول الخاصة بالوحدة البرمجية.
كيف تم استغلال الثغرة الأمنية واستنزاف الأموال؟
أوضحت تقارير صادرة عن شركة SlowMist للأمن الرقمي أن المهاجم استغل خللًا في عملية التحقق من الهوية داخل عقد محول FlashLoopAdapter. كانت الوظائف البرمجية (open) و(close) تعتمد على فحص بسيط يمكن تزييفه، مما سمح للمهاجم بإنشاء عقد Safe وهمي يعطي استجابة إيجابية دائمًا عند التحقق من صلاحياته.
بمجرد تجاوز هذا الفحص، تمكن المهاجم من الوصول إلى وظائف كان ينبغي أن تقتصر على المحافظ المصرح لها فقط. وتضمنت خطوات الهجوم ما يلي:
- الحصول على قرض عاجل (Flash Loan) من منصة Morpho بقيمة 1,335 وحدة من عملة WETH.
- استخدام السيولة المقترضة لسداد ديون مرتبطة بمحفظة Safe المستهدفة لدى بروتوكول Aave.
- تحرير الضمانات المرتبطة بالدين وسحب حوالي 1,306 وحدة من عملة weETH إلى عنوان يتحكم فيه المهاجم.
- تكرار العملية مع محفظة ثانية تابعة لنفس المالك، مما أدى لسرقة مبالغ إضافية.
موقف بروتوكول Aave من الحادثة
أكد السيد ستاني كوليتشوف، مؤسس بروتوكول Aave، أن العقود الذكية الأساسية للمنصة لم تتأثر بهذا الهجوم. وأوضح أن الخلل يكمن في محول خارجي تابع لجهة خارجية تم بناؤه فوق البروتوكول، وليس في التعليمات البرمجية الأساسية لـ Aave v3. كما أشارت منصة Defimon Alerts إلى أن الهجوم استهدف وحدة محددة تستخدمها محافظ Safe لإدارة استراتيجيات التداول، مؤكدة سلامة النظام البيئي الأوسع للبروتوكول.
تكرار حوادث استغلال وحدات Safe البرمجية
لا تعد هذه الحادثة الأولى من نوعها، حيث واجهت وحدات Safe البرمجية مشكلات مشابهة في الماضي. ففي سبتمبر الماضي، تم رصد ثغرة أمنية في عقد تنفيذ متصل بمحافظ Safe أدت لخسارة مئات الوحدات من عملة rsETH. كما تعرض محول SquidRouterModule في مايو الماضي لهجوم مماثل استنزف ملايين الدولارات من عشرات المحافظ نتيجة ضعف ضوابط التفويض.
النتائج النهائية لعملية الاختراق
بعد تسوية القروض العاجلة وتحويل جزء من الأصول المسروقة، تمكن المهاجم من الاحتفاظ بنحو 114.1 وحدة من عملة ETH، وهو ما يعادل القيمة المذكورة البالغة 305 ألف دولار وقت وقوع الحادث. حددت شركة SlowMist عنوان المهاجم وعقد محول FlashLoopAdapter الضعيف، محذرة المستخدمين من ضرورة توخي الحذر عند منح أذونات لوحدات برمجية خارجية للوصول إلى محافظهم الرقمية، حيث تمنح هذه الوحدات القدرة على تنفيذ معاملات دون الحاجة للموافقة اليدوية التقليدية من صاحب المحفظة في كل مرة.
