استغرق الأمر سبعة أيام كاملة حتى يدرك أي شخص أن مبلغ 4.67 مليون دولار قد خرج من جسر أكسلار إلى الشبكة السرية.

حدث سحب الأموال في 10 يونيو، ولم يلاحظه أحد من أي من الطرفين حتى 17 يونيو، عندما فشلت عملية تحويل روتينية عبر السلسلة، فذهب أحدهم للتحقق من رصيد الضمان لدى أكسلار. كان الحساب فارغًا. ولأن شبكة سيكريت مبنية على تصميم يضمن الخصوصية افتراضيًا، حيث تُحجب حالة العقد وتفاصيل المعاملات عن العامة، فإن آثار الشبكة التي عادةً ما تكشف أمر الباحثين الأمنيين في غضون دقائق كانت ببساطة غير مرئية.

منح ذلك المهاجم أسبوعًا كاملاً من الراحة بينما تم تحويل الأموال بهدوء. قامت لجنة الطوارئ التابعة لأكسلار منذ ذلك الحين بتعطيل اتصالات Secret وSecret-SNIP، لكن الأموال قد اختفت بالفعل.

ثغرة تتيح الحصول على عدد لا نهائي من العملات، مغلفة بعقد مخصص.

تكمن الثغرة الأمنية في عقد CW20-ICS20 مُعدّل على جانب Secret من الجسر، وهو جزء من التعليمات البرمجية التي تعالج الأصول الواردة عبر Cosmos IBC وتُنشئ نسخًا مُغلّفة من هذه الأصول باستخدام Secret. هذه النسخ المُغلّفة هي رموز saTokens التي يحتفظ بها مستخدمو التمويل اللامركزي (DeFi) على Secret ويتداولونها فعليًا. المهاجم متهم يتمثل ذلك في القيام بشيء بسيط وأنيق: إنشاء سلسلة Cosmos خاصة بهم ذات مُدقِّق واحد، وفتح قناة IBC جديدة تمامًا مباشرةً إلى عقد الجسر السري، ثم إعادة توجيه حزم مزورة تحمل فئات رموز مطابقة لقائمة السماح الخاصة بالعقد. يتحقق العقد من الفئة الواردة، لكنه لا يتحقق من القناة التي من المفترض أن تأتي منها هذه الفئة.

يكمن جوهر القصة في ذلك الفحص المفقود. فبسبب ثقة عقد saToken بأي حزمة IBC مُنسقة بشكل صحيح تحمل قيمة معروفة، تمكن المهاجم من سك عملات saUSDT وsaUSDC وsaDAI وsaWETH وsaWBTC وsaWBNB وsawstETH تبدو مدعومة بالكامل من العدم. ثم استُردت هذه العملات المسكوكة حديثًا عبر قناة Axelar IBC الشرعية، والتي بدورها حررت الأصول الحقيقية المودعة لدى Axelar. لم يلحظ نظام Secret أي شيء غير عادي لأن عملية السك كانت صحيحة تقنيًا. ولم يلحظ نظام Axelar أي شيء غير عادي لأن عمليات الاسترداد كانت صحيحة تقنيًا أيضًا. لكن الحسابات في حساب الضمان كانت هي المخالفة، ولم يقم أحد بمراجعتها.

إعادة تصميم مخصصة لم تخضع أبدًا لتدقيق خارجي

يقول المحققون من الجانب السري إن عقد الجسر قد تم تعديله من نموذج الضمان القياسي إلى نموذج النعناع عند دمج Axelar، وخلال عملية إعادة العمل هذه، تم استبعاد وظيفتي التحقق اللتين كانتا ستكشفان هذا النوع من هجمات القنوات المزورة. تمت إزالته من الكودبحسب التقارير، لم يطلب أكسلار أي تدقيق خارجي قبل تفعيل الاتصال. تم نشر كود جسر مخصص، مع إزالة فحوصات الأمان الخاصة به، دون تدقيق جديد على سلسلة يصعب على الأطراف الخارجية مراقبة حالة العقد من خلالها. هذا أسوأ مزيج من العوامل التي يمكن أن يتصورها باحث أمني. كان استغلال الثغرة بحد ذاته بسيطًا بمجرد فهم كيفية عمل العقد. لكن حقيقة عدم اكتشافها لمدة أسبوع هي ما يجب أن يقلق كل فريق يستخدم نسخة معدلة من CW20-ICS20.

ارتفع سهم AXL بنسبة 5%، بينما لم يُعجب حاملو أسهم Secret بذلك.

أكدت لجنة الطوارئ في أكسلار أن باقي شبكة أكسلار تعمل بشكل طبيعي، وأن الهجوم اقتصر على اتصال سيكريت. وأُفيد بأنه تم إبلاغ منصات التداول وجهات إنفاذ القانون، ولا يزال التحقيق جارياً حتى هذا الأسبوع. ومن الغريب أن سعر عملة AXL ارتفع بنحو 5% منذ انتشار الخبر، ربما لأن السوق اعتبر الإغلاق السريع دليلاً على فعالية إجراءات الطوارئ كما هو مُعلن. أما عملة SCRT التابعة لشبكة سيكريت، فتشهد أسبوعاً أقل بهجة. ينتظر حاملو العملة الذين استخدموا الجسر الآن لمعرفة ما إذا كان مجتمع سيكريت سيقرر توزيع الخسارة على صناديق الخزينة أو صناديق التخزين، وما إذا كانت أكسلار ستساهم في أي جزء من عملية التعافي.

تستمر الجسور في الانهيار بنفس الطريقة

إذا كنتَ مُتابعًا لأمن العملات الرقمية لفترةٍ من الزمن، فلا شك أنك شاهدتَ هذا السيناريو من قبل: نسخة مُعدّلة من عقد قياسي، مع إزالة بعض إجراءات الأمان بهدوء، ودون أي تدقيق خارجي، ومهاجم بارع يقرأ شفرة العقد أسرع من مُطوّريه. الجديد حقًا هنا هو دور الخصوصية في هذه العملية. فالغموض الذي يكتنف سلسلة الكتل، والذي يجعل شبكة Secret Network جذابة للمستخدمين الراغبين في حماية أرصدتهم، هو نفسه الذي حجب عن مجتمع الأمن الأوسع حقيقة أن عملية استنزاف كانت جارية بالفعل لمدة أسبوع كامل. هناك نقاش جاد حول كيفية بناء سلاسل الكتل التي تُراعي الخصوصية لآليات مراقبة خارج النطاق، بحيث يتم رصد أي حادثة أخرى في غضون ساعات بدلًا من أيام. في الوقت الحالي، خسر مُستخدمو الجسر ما يُقارب أربعة ملايين ونصف المليون دولار، ويجري إلغاء عملية دمج أخرى بشكل فوري.