تحليل حادثة أمنية على منصة Pump

مؤخراً، حدثت حادثة أمان خطيرة على منصة Pump، مما أدى إلى تضرر أموال عدد كبير من المستخدمين. ستقوم هذه المقالة بتحليل شامل لأبعاد هذه الحادثة.

عملية الهجوم

المهاجم ليس هاكر بارع، بل من المحتمل أن يكون موظفاً سابقاً في منصة Pump. لديه صلاحيات محفظة الوصول لإنشاء أزواج تداول الرموز على بعض DEX، والتي نسميها "الحساب المتضرر". بينما لم تصل جميع أحواض Bonding Curve LP على Pump بعد إلى معايير الإدراج في بعض DEX، والتي نسميها "الحسابات الاحتياطية".

قام المهاجم أولاً بالحصول على قرض سريع من منصة اقتراض معينة، لاستخدامه في ملء جميع أحواض الرموز التي لم تصل إلى معايير الإدراج. في الظروف العادية، عندما تصل الأحواض إلى معايير الإدراج، ينبغي تحويل SOL في "الحساب الاحتياطي" إلى "حساب الضحية". لكن المهاجم سحب SOL التي تم تحويلها في هذه اللحظة، مما أدى إلى عدم تمكن الرموز التي كان من المفترض إدراجها وقفلها في الأحواض من الإدراج في الوقت المحدد.

تحليل الضحايا

وفقًا للتحليل، فإن الضحايا هم بشكل رئيسي المستخدمون الذين قاموا بشراء الرموز التي لم تملأ بعد في حوض Pump قبل وقوع الهجوم. تم تحويل سول خاصتهم بواسطة أساليب الهجوم المذكورة أعلاه. وهذا يفسر أيضًا لماذا قد تصل التقديرات الأولية للخسائر إلى 80 مليون دولار (تشير البيانات الأخيرة إلى أن الخسائر الفعلية حوالي 2 مليون دولار).

من الجدير بالذكر أن الرموز المميزة المدرجة بالفعل على بعض المنصات اللامركزية (DEX) لن تتأثر بهذا الهجوم حيث تم قفل السيولة (LP).

تكهن هوية المهاجم

إن امتلاك المهاجم للمفتاح الخاص "للحساب المتضرر" لا شك أنه يكشف عن إهمال كبير من المنصة في إدارة الأذونات. يمكننا أن نفترض أن ملء حوض الرموز كان ربما من مسؤوليات المهاجم السابقة.

على غرار ممارسات المنصات الأخرى، قد يكون Pump قد جعل هذا الموظف مسؤولاً عن استخدام أموال المشروع لملء بركة الرموز المميزة الجديدة التي تم إصدارها (من المحتمل أن تكون معظمها رموز اختبار تم إصدارها بنفسه)، حتى تتمكن هذه الرموز من إدراجها في البورصات وخلق الحماس. لم يكن يتوقع أن تصبح هذه النقطة في النهاية ثغرة تهديد داخلي.

الدروس المستفادة

1. بالنسبة للمشاريع المماثلة، فإن مجرد تقليد السطح ليس كافياً. لجذب المستخدمين للتداول، تحتاج إلى تقديم حافز أولي.

2. يجب على فريق المشروع أن يعطي أهمية كبيرة لإدارة الصلاحيات وإجراءات الأمان. من الضروري توزيع الصلاحيات بشكل معقول، وإجراء مراجعات دورية، وتجنب المخاطر الداخلية.

3. يجب على المستخدمين أن يكونوا حذرين عند المشاركة في المنصة الناشئة، خاصة تلك التي تتعلق بتداول الرموز التي لم يتم إدراجها بالكامل أو لم يتم إدراجها في البورصات الرئيسية.

4. يجب على الجهة المعنية بالمشروع إنشاء آلية فعالة لإدارة المخاطر، بما في ذلك التوقيع المتعدد، وتوزيع الصلاحيات، وما إلى ذلك، لتقليل مخاطر نقاط الفشل الفردية.

5. إجراء تدقيق أمني واختبارات اختراق بشكل دوري لاكتشاف وإصلاح الثغرات المحتملة في الوقت المناسب.

6. تعزيز تدريب الموظفين والتعليم الأخلاقي، وإنشاء ثقافة مؤسسية صحية، وتقليل مخاطر التهديدات الداخلية.

تذكّرنا هذه الحادثة مرة أخرى بأن الأمان هو دائمًا الأولوية الأولى في صناعة العملات الرقمية سريعة التطور. سواء كان الأمر يتعلق بالجهات المشرعة أو المستخدمين، يجب على الجميع أن يظلوا متيقظين ويتخذوا التدابير الأمنية اللازمة.