استغلال EraLend: قراصنة يسرقون 3.4 مليون دولار من بروتوكول إقراض zkSync

وقع EraLend ، وهو بروتوكول إقراض لامركزي يعمل على zkSync Layer 2 ، ضحية لاستغلال أدى إلى خسارة 3.4 مليون دولار. كان الهجوممؤكد بواسطة محللي الأمن في BlockSec ، الذين ساعدوا البروتوكول في معالجة المشكلة.

بعد الهجوم ، أصدر EraLend ملفإفادة الاعتراف بالحادث الأمني ​​والتأكيد لمستخدميه أنه تم احتواء التهديد. علق البروتوكول جميع عمليات الاقتراض ونصح المستخدمين بعدم إيداع USDC حتى إشعار آخر.

هجوم إعادة الدخول يضرب EraLend

وفقًا لـ BlockSec ، كان الهجوم عبارة عن هجوم لإعادة الدخول للقراءة فقط. يتضمن هذا الهجوم جهة فاعلة ضارة تدخل وتخرج بشكل متكرر من وظيفة العقد للتلاعب بحالة العقد وسحب الأموال.

هجوم إعادة الدخول هو استغلال يمكن أن يحدث في العقود الذكية ، وهي برامج كمبيوتر ذاتية التنفيذ تعمل على شبكات blockchain اللامركزية مثل Ethereum.

في هجوم إعادة الدخول ، يستغل مستخدم ضار ثغرة أمنية في العقد الذكي عن طريق استدعاء وظيفة بشكل متكرر في العقد قبل اكتمال استدعاء الوظيفة السابق ، مما يسمح له بالتلاعب بحالة العقد وربما سرقة الأموال.

عندما يتم استدعاء وظيفة العقد الذكي ، يتم تحديث حالة العقد قبل اكتمال استدعاء الوظيفة. افترض أن الوظيفة التي تم استدعاؤها تتفاعل مع عقد ثانٍ قبل اكتمال استدعاء الوظيفة الأول. في هذه الحالة ، يمكن للعقد الثاني معاودة الاتصال بوظيفة العقد الأول ، مما قد يؤدي إلى تغيير حالة العقد عدة مرات قبل اكتمال استدعاء الوظيفة الأصلي.

يمكن أن يسمح هذا للمهاجم بالتلاعب بحالة العقد وسرقة الأموال.

لمنع هجمات العودة ، يمكن للمطورين استخدام تقنية تسمى "عمليات التحقق من التأثيرات والتفاعلات". هذا يعني أن العقد الذكي يجب أن يتحقق دائمًا من جميع المدخلات والشروط قبل تنفيذ أي تغييرات في الحالة ، ثم تنفيذ جميع تغييرات الحالة قبل التفاعل مع أي عقود أخرى.

يضمن ذلك تحديث حالة العقد قبل حدوث التفاعلات الخارجية ، مما يمنع هجمات إعادة الدخول. في هذه الحالة ، استغل المهاجم ثغرة أمنية في رمز عقد EraLend مما سمح له مرارًا وتكرارًا بسحب الأموال دون علم البروتوكول.

حددت EraLend السبب الجذري للهجوم وتعمل مع الشركاء وشركات الأمن السيبراني لمعالجة المشكلة. أكد البروتوكول للمستخدمين أنه سيتخذ جميع الخطوات اللازمة للتخفيف من تأثير الهجوم ومنع وقوع حوادث مماثلة في المستقبل.

على الرغم من عدم وجود تحديثات أخرى ، فمن الواضح أن EraLend ملتزمة بالحفاظ على أعلى معايير الأمان واتخاذ تدابير استباقية لحماية أموال المستخدمين وبياناتهم.

إجمالي القيمة السوقية للعملات المشفرة في اتجاه هبوطي على الرسم البياني ليوم واحد ، حيث خسرت 300 مليون دولار خلال اليومين الماضيين. مصدر:TOTAL على TradingView.com