Mezo پس از سرقت ۵٫۵۲ بیت‌کوین نقص veBTC را رفع کرد

Mezo گزارش رویداد ۵ اکتبر قرارداد veBTC را منتشر کرد. مهاجم ۳۷ موقعیت متعلق به ۳۶ دارنده را منتقل و حدود ۵٫۵۲ بیت‌کوین را از شبکه خارج کرد. نقص رفع شده، شبکه فعال است و پروژه وعده داده زیان کاربران را از منابع پروتکل جبران کند.

تحولات تأییدشده دیگر در مرکز خبر OrangeX.com قابل پیگیری است.

شیوه اجرای حمله

veBTC موقعیت‌های قفل‌شده و حق رأی را به شکل NFT نشان می‌دهد. قرارداد VotingEscrow از کتابخانه‌های خارجی Solidity و متاتراکنش با انتقال‌دهنده مورد اعتماد استفاده می‌کرد. انتقال‌دهنده پس از بررسی امضا، نشانی فرستنده را به calldata اضافه می‌کرد.

هنگام ورود اجرا به کتابخانه خارجی، بافر جدید نشانی افزوده‌شده را حفظ نکرد. پارامتر دست‌کاری‌شده باعث شد بایت‌های تحت کنترل مهاجم به‌عنوان فرستنده معتبر خوانده شوند. هدف موقعیت‌های بازشده اما بازخریدنشده بود. زمینه تحولات پروژه‌ها در گزارش پروژه OrangeX.com نیز دنبال می‌شود.

واکنش و موارد نامشخص

انتقال‌ها ۵ اکتبر از ۱۸:۵۴ تا ۱۹:۰۶ UTC انجام شد. تیم صبح بعد برداشت پل و زنجیره را متوقف کرد، نقص را یافت، متاتراکنش را غیرفعال و سرویس را برقرار کرد. نهادهای امنیتی، صرافی‌ها و پلیس در جریان قرار گرفتند.

غرامت مستقیم به کیف پول‌ها پرداخت می‌شود. Mezo نسبت به لینک‌های جعلی بازیابی هشدار داد و برای بازگشت ۸۰ درصد دارایی تا ۱۴ اکتبر پاداش ۲۰ درصدی پیشنهاد کرد. گزارش چارچوب بازار OrangeX.com نیز پیوند امنیت و نظارت را نشان می‌دهد.

OrangeX.com Analysis

مقدار زیان، تعداد موقعیت‌ها، مسیر اصلاح‌شده حمله و تعهد جبران تأیید شده‌اند. رویداد نشان می‌دهد ترکیب دو طراحی رایج می‌تواند خطای غیرمنتظره مجوز ایجاد کند.

رفع نقص خطر فوری را کاهش داده، اما ممیزی‌ها این تعامل را ندیدند. پایش پیوسته، کاهش سطح قابلیت‌ها و توقف خودکار باید مکمل بررسی پیش از راه‌اندازی باشد. بازیابی دارایی هنوز نهایی نشده است.