احتيال بقيمة نصف مليار زلوتي: كيف أرسل نقرة واحدة ملايين إلى المحتال

عالم العملات المشفرة مؤخرًا شهد واحدة من أكثر حالات فقدان الأموال إثارة للقلق في شبكة البلوكتشين. كان مستخدم محفظة نشطة منذ ما يقرب من عامين يواجه مشكلة. بعد سحب حوالي 50 مليون دولار من USDT من منصة تداول معينة، قام أولاً بعملية تحويل اختبارية للتحقق من صحة الإجراء. بعد بضع دقائق، بدأ في حركة الأموال الرئيسية – وفي تلك اللحظة تحديدًا سارت الأمور بشكل خاطئ.

تشريح هجوم “تسميم العنوان”

قبل حدوث ذلك، كان المحتال يترقب. أنشأ محفظة بعنوان مشابه جدًا للعنوان الذي كانت الضحية ترسل منه المعاملات بانتظام. أرسل إلى هذا العنوان المزيف أقل كمية من USDT – كافية لظهورها في سجل معاملات الضحية.

عندما بحث المستخدم عن العنوان الذي كان يستخدمه سابقًا في محفظته، صادف هذا التاريخ. تظهر عناوين البلوكتشين كسلاسل طويلة غير مقروءة من الأحرف – من السهل أن تخلط بين واحد وآخر، خاصة تحت ضغط الوقت. كان المحتال على علم بهذا الضعف. قامت الضحية بنسخ العنوان المزيف، وأكدت المعاملة – وخلال ثوانٍ، تدفقت حوالي 50 مليون دولار إلى محفظة المهاجم. غفلة واحدة، نقرة واحدة، خسارة كاملة.

هياكل مختلفة للبلوكتشين، مخاطر مختلفة

نظر تشارلز هوسكينسون، مؤسس شبكة كاردانو، إلى هذا الحادث من منظور تقني واستخلص استنتاجًا: بعض هياكل البلوكتشين أكثر مقاومة لمثل هذه التلاعبات من غيرها.

الشبكات المبنية على نموذج الحساب – بما في ذلك إيثيريوم ونظام EVM – تشجع المستخدمين على إعادة استخدام العناوين السابقة. سجل المعاملات هناك دائم، مما يعني أن المحافظ تعرض عناوين ثابتة. هذا هو السبب في أنها أكثر عرضة لهجمات من هذا النوع.

أما في الشبكات التي تستخدم نموذج UTXO، مثل بيتكوين وكاردانو، فالأمر مختلف. هنا، كل معاملة تولد مخرجات جديدة، وتُستهلك القديمة. مفهوم “رصيد الحساب” غير موجود بمعناه التقليدي. لذلك، لا يوجد سجل دائم للعناوين لـ “تسميمها”. النظام أكثر مقاومة من الناحية الهيكلية.

لكن هوسكينسون أكد على فرق مهم: الأمر لا يتعلق بخطأ في البروتوكول أو العقد الذكي. إنه مشكلة عند التقاء تصميم الواجهة مع السلوك البشري الطبيعي.

رد فعل الصناعة على التهديد

لم يمر الحادث دون أن يلاحظه أحد. خلال الأسابيع الأخيرة، أصدرت أكبر مزودي المحافظ تحديثات أمنية، محذرين المستخدمين بشكل خاص من عادة نسخ العناوين من التاريخ. وفي الوقت نفسه، قاموا بتحديث واجهات التحقق من العناوين لتسهيل التحقق قبل إرسال الأموال.

تُظهر هذه الإجراءات أن المسؤولية عن الأمان تقع على عاتق كل من مصممي المحافظ والمستخدمين. لن يكون أي بروتوكول مثاليًا إذا سهل واجهته مهمة المحتالين.