هک ۱۲ وب‌سایت دیفای؛ سرقت حدود ۱۳۸ هزار دلار از کاربران

هکرها با در اختیار گرفتن ۱۲ وب‌سایت فعال در حوزه دیفای، از صفحات آلوده برای سرقت دارایی کاربران استفاده کردند. دامنه تمام این وب‌سایت‌ها در شرکت نیم‌دات‌کام (Name.com) ثبت شده است؛ بااین‌حال، منشأ دقیق نفوذ هنوز مشخص نیست و برخی پروژه‌ها، شرکت زیرساخت ابری ورسل (Vercel) را مسئول این اتفاق می‌دانند.

Ad

این حمله در ساعات آغازین شنبه به وقت تهران آغاز شد و پروژه‌هایی مانند فلپ (Flap)، کینتسو (Kintsu)، پیکل فایننس (Pickle Finance) و اوریگامی فایننس (Origami Finance) را درگیر کرد. بررسی‌های درون‌زنجیره‌ای از انتقال حدود ۱۳۸ هزار دلار به سه کیف پول مرتبط با مهاجمان حکایت دارد.

سرقت از کاربران با ابزار تخلیه کیف پول

شرکت امنیتی بلاک‌اید (Blockaid) اعلام کرد وب‌سایت‌های هدف به ابزار مخرب استپ درینر (Step Drainer) آلوده شده بودند. این ابزار کاربران را پس از اتصال کیف پول، به تأیید درخواست‌هایی فریب می‌دهد که امکان انتقال دارایی را فراهم می‌کنند. بنابراین، کاربران با ورود به آدرس آشنای پروژه و تأیید درخواست مخرب، در معرض سرقت قرار می‌گرفتند.

استپ درینر به‌صورت یک سرویس آماده در اختیار مهاجمان قرار می‌گیرد. طبق گزارش پیشین شرکت امنیتی لول‌بلو اسپایدرلبز، کد کامل این ابزار حدود ۷۵۰ دلار فروخته می‌شده است. نسخه‌ای ارزان‌تر نیز ۱۵۰ دلار قیمت داشته که در مقابل، ۲۰ درصد از دارایی‌های سرقت‌شده را به سازندگان اختصاص می‌داده است.

صبح شنبه، ۱۰ دامنه آسیب‌دیده تقریباً هم‌زمان در سطح شرکت ثبت‌کننده تعلیق شدند. این اقدام دسترسی معمول کاربران به وب‌سایت‌ها را متوقف کرد. پیکل فایننس، اوریگامی، فلاکس‌بیم، اشلون، استونک‌فان و استیک‌پوینت از جمله پروژه‌های این فهرست بودند؛ اما دامنه‌های فلپ و کینتسو تا زمان انتشار گزارش همچنان فعال بودند.

خسارت واقعی ممکن است بیشتر باشد

بررسی د بلاک نشان می‌دهد وجوه سرقت‌شده با نسبت‌های ثابت ۱۵، ۵۵ و ۳۰ درصد میان سه کیف پول تقسیم شده‌اند. این الگو در شبکه‌های بی‌ان‌بی چین، اتریوم، رابین‌هود چین و موناد مشاهده شده است. فقط در بی‌ان‌بی چین، دست‌کم چهار کیف پول حدود ۳.۱ واحد BNB به ارزش تقریبی ۲,۲۰۰ دلار به آدرس مرتبط با مهاجمان فرستاده‌اند.

مهاجمان در موناد، توکن‌های استیک‌شده کینتسو را بازخرید و از پروتکل وام‌دهی نورلند دارایی برداشت کردند. در رابین‌هود چین نیز سهام توکنیزه‌شده انویدیا و اپل از پروتکل مورفو خارج و به اتریوم تبدیل شد. مجموع موجودی سه کیف پول تا اواخر صبح شنبه حدود ۱۳۸ هزار دلار بود که عمدتاً از MON و اتریوم روی رابین‌هود چین تشکیل می‌شد.

این برآورد فقط شبکه‌های سازگار با ماشین مجازی اتریوم را پوشش می‌دهد. فلاکس‌بیم، استونک‌فان و استیک‌پوینت روی سولانا و اشلون روی آپتوس فعالیت می‌کنند؛ بنابراین، خسارت احتمالی کاربران این شبکه‌ها در رقم اعلام‌شده محاسبه نشده است.

ابهام درباره نقش نیم‌دات‌کام و ورسل

با وجود ثبت همه دامنه‌ها نزد نیم‌دات‌کام، ارائه‌دهنده DNS آن‌ها یکسان نبوده است. برخی از کلادفلر، برخی از ورسل و برخی از زیرساخت خود نیم‌دات‌کام استفاده می‌کردند. به همین دلیل، هنوز مشخص نیست مهاجمان مستقیماً به شرکت ثبت‌کننده دامنه نفوذ کرده‌اند یا از مسیر یکی از واسطه‌های خدمات آن وارد شده‌اند.

کینتسو اعلام کرد حادثه در سمت ورسل و خارج از کنترل این پروژه رخ داده است. اوریگامی نیز از حمله به نیم‌سرورهای مرتبط با ورسل خبر داد و فعالیت صندوق‌های خود را تا روشن‌شدن علت متوقف کرد. ورسل تا زمان گزارش توضیح عمومی نداده بود و نیم‌دات‌کام نیز صرفاً از گزارش‌دهندگان خواسته بود فرم سوءاستفاده را تکمیل کنند.

تعداد قربانیان همچنان مشخص نیست. فلاکس‌بیم و استونک‌فان گفته‌اند گزارشی از آسیب‌دیدن کاربران ندارند. کینتسو، اوریگامی، فلاکس‌بیم و استونک‌فان همچنین تأکید کرده‌اند قراردادهای هوشمند آن‌ها دست‌نخورده باقی مانده است. بررسی‌ها درباره منشأ نفوذ و میزان نهایی خسارت ادامه دارد.