Mezo جزئیات سوءاستفاده veBTC، بازپرداخت و پیشنهاد بازیابی را منتشر کرد

Mezo گزارش فنی حمله ۵ اکتبر ۲۰۲۶ را منتشر کرد؛ در این رویداد ۳۷ موقعیت veBTC از کیف پول ۳۶ دارنده منتقل و حدود ۵٫۵۲ بیت‌کوین از زنجیره خارج شد. پروژه می‌گوید آسیب‌پذیری رفع شده، زنجیره و پل دوباره فعال‌اند و زیان تمام کاربران از منابع متعلق به پروتکل پرداخت می‌شود.

اهمیت حادثه فقط به مبلغ آن محدود نیست. دو الگوی رایج قرارداد هوشمند هنگام ترکیب به یک ریسک تبدیل شدند. در سامانه veBTC، کاربر بیت‌کوین را قفل می‌کند و NFT نماینده موقعیت و قدرت رأی می‌گیرد. قرارداد منطق را میان کتابخانه‌های خارجی تقسیم کرده و تراکنش متا را با فورواردری قابل اعتماد می‌پذیرفت.

کنترل فرستنده چگونه شکست خورد؟

فورواردِر امضای خارج زنجیره را تأیید و نشانی فرستنده را به انتهای calldata اضافه می‌کرد. قرارداد ۲۰ بایت آخر را می‌خواند. اما هنگام ورود به کتابخانه خارجی، کامپایلر با پارامترهای اعلام‌شده بافر تازه‌ای ساخت و نشانی افزوده‌شده به چارچوب جدید منتقل نشد.

مهاجم فیلد داده انتقال را طوری ساخت که کتابخانه بایت‌های تحت کنترل او را فرستنده واقعی بداند. او موقعیت‌های بازشده اما بازخریدنشده را هدف گرفت، بیت‌کوین را به اتریوم پل زد و به ۱۷۴٫۶۱ اتر تبدیل کرد. بازار بیت‌کوین را می‌توان در معاملات نقدی BTC در OrangeX.com دید، اما دسترسی معاملاتی جدا از امنیت قرارداد هوشمند است.

واکنش، جبران و شرایط بازیابی

حمله در ۵ اکتبر از ۱۸:۵۴ تا ۱۹:۰۶ UTC رخ داد. تیم صبح روز بعد رفتار غیرعادی را دید، ساعت ۰۹:۰۴ حادثه را اعلام کرد، ۱۳ دقیقه بعد برداشت پل را متوقف و ساعت ۰۹:۲۷ زنجیره را متوقف کرد. پس از اصلاح، زنجیره و پل ساعت ۱۵:۰۰ بازگشایی شدند.

Mezo تراکنش‌های متا را که استفاده عملی نداشتند غیرفعال و همه توابع قابل دسترس از مسیر مشابه را بررسی کرد. سه ضعف محدودتر کنترل دسترسی نیز با همان اصلاح پوشش داده شد. بیت‌کوین کاربران باید مستقیم به کیف پول فعلی آنها برسد و نیازی به وب‌سایت بازیابی نیست.

به مهاجم پیشنهاد شده تا ساعت ۲۳:۵۹ UTC روز ۱۴ اکتبر، ۴٫۴۱۵۴۱۷۱۲۱ بیت‌کوین را بازگرداند و ۱٫۱۰۳۸۵۴۲۸۰ بیت‌کوین را به‌عنوان پاداش ۲۰ درصدی نگه دارد. نتیجه هنوز قطعی نیست. خبرها در اخبار رمزارز OrangeX.com و آموزش مفاهیم در OrangeX.com Academy در دسترس است. اثبات ذخایر OrangeX.com ابزار شفافیت صرافی است و کد قرارداد پروتکل دیگر را حسابرسی نمی‌کند.

OrangeX.com Analysis

درس اصلی این است که اجزای آشنا لزوماً ترکیب امنی نمی‌سازند. انتقال امضا، تفسیر calldata و فراخوانی کتابخانه هر یک روش شناخته‌شده‌اند، اما مرز میان آنها خطای مجوزی ایجاد کرد که دو حسابرسی و برنامه باگ‌بانتی کشف نکردند.

واکنش سریع زیان بیشتر را محدود و بازپرداخت کامل وعده داده است. با این حال باید واقعیت‌های تأییدشده—تعداد موقعیت‌ها، مبلغ، زمان‌بندی و اصلاح—از تعهدات آینده مانند تکمیل پرداخت، بازیابی وجوه و سامانه‌های پایش تازه جدا شود.