گزارش ماهانه امنیت Web3 در سپتامبر: ۴۸ حادثه امنیتی عمده، خسارت‌های سرقت بیش از ۷.۶ میلیارد دلار

روند عمیق‌ترین امنیت Web3 در سال ۲۰۲۶، گسترش سیستماتیک سطح حمله را نشان می‌دهد. حملات همزمان در سطح کد، عملیات روزمره و تعاملات رخ می‌دهند و پیشرفت‌های توانایی هوش مصنوعی، کشف آسیب‌پذیری‌ها را سریع‌تر کرده است.

نویسنده: Beosin

بر اساس داده‌های نظارتی پلتفرم Beosin Alert، در سپتامبر ۲۰۲۶، مجموع خسارت‌های ناشی از انواع حوادث امنیتی حدود ۷.۶ میلیارد دلار بوده و ۴۸ حادثه امنیتی عمده رخ داده است. از این میان، خسارت حادثه امنیتی Bitget حدود ۳.۸۷۵ میلیارد دلار و خسارت Liquid Network حدود ۳.۲ میلیارد دلار (که بعداً حدود ۲.۸۵ میلیارد دلار بازگردانده شد) بوده و مجموع خسارت ۴۶ حادثه دیگر حدود ۵۲۹۵ میلیون دلار بوده است.

۱۰ حادثه با بیشترین خسارت در سپتامبر

در تاریخ ۲۴ سپتامبر، کیف پول داغ پلتفرم Bitget به طور غیرقانونی توسط هکرها مورد حمله قرار گرفت و این حمله شامل چندین شبکه بلاکچین اصلی بود و مجموع خسارت آن بیش از ۳.۸۷۵ میلیارد دلار بود که بیشترین خسارت در سپتامبر محسوب می‌شود. در تاریخ ۶ سپتامبر، شبکه جانبی Bitcoin، Liquid Network به دلیل آسیب‌پذیری در کش اعتبارسنجی نرم‌افزار زیرساخت Elements، حدود ۴۰۰۰ بیت‌کوین (به ارزش حدود ۳.۲ میلیارد دلار) به طور مخرب ضرب شد. در تاریخ ۸ سپتامبر، مهاجم ۳۴۰۰ بیت‌کوین را بازگرداند و ۵۹۸.۵ بیت‌کوین باقی‌مانده هنوز در مورد اینکه آیا «پاداش آسیب‌پذیری» است یا خیر، در حال بحث است. در تاریخ ۲۲ سپتامبر، Neutron مورد حمله حکومتی قرار گرفت و منجر به سرقت نقدینگی پروتکل‌های DeFi مانند Astroport به میزان حدود ۱.۷۳ میلیون ATOM شد که مجموع خسارت آن ۹۴۰ میلیون دلار بود و در رتبه سوم قرار گرفت.

علاوه بر این، از ۱۰ حادثه با بیشترین خسارت، ۳ حادثه مربوط به فیشینگ / مسمومیت است: حمله فیشینگ به آدرس 0x40e93، مسمومیت اپلیکیشن FomoPeek و درب پشتی مخرب کیف پول iToken. امنیت کاربران همیشه یکی از ضعیف‌ترین حلقه‌ها در اکوسیستم Web3 بوده است.

نوع پروژه‌های مورد حمله و وضعیت خسارت در هر زنجیره

هدف‌های مورد حمله در این ماه شامل صرافی‌ها، بلاکچین‌های عمومی، پروتکل‌های وام‌دهی، اپلیکیشن‌های کیف پول، قراردادهای توکن، پل‌های بین زنجیره‌ای و کاربران عادی بوده است. که در آن صرافی‌ها بیشترین خسارت را با ۳.۸۷۵ میلیارد دلار متحمل شدند؛ مجموع خسارت بلاکچین‌های عمومی حدود ۳.۳۴ میلیارد دلار بود؛ حملات به کاربران / آدرس‌های شخصی حدود ۱۵۵۷ میلیون دلار خسارت به بار آورد که نسبت به ماه گذشته حدود ۴۵.۲ درصد کاهش یافته است. قراردادهای DeFi بیشترین تعداد حملات را با ۱۳ بار داشتند؛ قراردادهای توکن با ۱۰ بار در رتبه دوم قرار گرفتند.

زنجیره‌ای که بیشترین خسارت را در سپتامبر متحمل شد، Liquid Network بود. Ripple به دلیل حادثه Bitget حدود ۱.۵۷ میلیارد دلار خسارت دید و در رتبه دوم قرار گرفت، در حالی که خسارت Ethereum حدود ۱.۴۶ میلیارد دلار بود و مجموعاً ۱۴ حادثه امنیتی رخ داد. در حال حاضر، اکثر پروتکل‌های DeFi و حملات فیشینگ به نهنگ‌ها همچنان بر روی Ethereum متمرکز هستند. زنجیره‌ای که دومین بیشترین تعداد حوادث امنیتی را داشت، BNB Chain بود، اما هدف حملات همچنان عمدتاً قراردادهای توکن بود و خسارت‌ها نسبتاً کم بود.

علاوه بر این، زنجیره‌های عمومی اکوسیستم Cosmos مانند Neutron و Injective نیز در سپتامبر مورد حمله قرار گرفتند و حملات زنجیره‌ای به صورت چند زنجیره‌ای بروز پیدا کرد.

تحلیل حوادث امنیتی عمده

برای تحلیل دو حادثه امنیتی عمده Bitget و Liquid Network، خوش آمدید به مطالعه مقاله‌ای که Beosin قبلاً منتشر کرده است. در زیر تحلیل سایر روش‌های حمله این ماه آورده شده است:

۱. Neutron: حمله حکومتی

حمله حکومتی Neutron یک حادثه کلاسیک از دستکاری مکانیزم حکومتی است. مهاجم با استفاده دقیق از زمان و مکانیزم عکس‌العمل در قوانین حکومتی، با هزینه بسیار کم کنترل مدیریت قرارداد را به دست گرفت. مسیر حمله به شرح زیر است:

(۱) مهاجم پیشنهادی با عنوان «AIATO: AI Agent Takeover. Phase 1: Agent Admin Registration» آماده کرد که به ظاهر توصیف می‌کند «کنترل عملیات شبکه آزمایشی توسط نماینده AI مستقل» یک آزمایش است. خلاصه پیشنهاد به یک مقاله علمی درباره حکمرانی غیرمتمرکز نماینده‌های AI اشاره می‌کند تا حکام را فریب دهد:

(۲) پیشنهاد در واقع شامل ۱۱ پیام «Update Admin» است که وظیفه آن انتقال تدریجی حقوق مدیر به آدرس پیشنهاد‌دهنده در چندین قرارداد در زنجیره Neutron است. قراردادهای مربوط به Astroport (صرافی غیرمتمرکز) و Drop (پروتکل استیکینگ نقدینگی) هستند.

(۳) خرید حقوق رأی با هزینه کم. مهاجم حدود ۲۰۱۹۹ USDC را در Astroport در پنج تراکنش خرید NTRN و سپس ۳۱۶۰ میلیون NTRN را استیک کرد. این استیک در ۱۱ دقیقه و ۳۹ ثانیه قبل از پایان رأی‌گیری انجام شد و به طور دقیق در پنجره تأثیرگذاری عکس‌العمل رأی‌گیری Cosmos SDK قرار گرفت.

این پیشنهاد با ۸۲ درصد رأی مثبت تصویب شد (آستانه سریع‌العبور ۶۷ درصد و حد نصاب ۳۰ درصد است) و مهاجم بلافاصله کد قرارداد را جایگزین کرده و وجوه را برداشت کرد. برآوردها نشان می‌دهد که Astroport حدود ۴.۹ میلیون دلار و Drop حدود ۴.۵ میلیون دلار خسارت دیدند.

این حمله همچنین یک حمله بسیار کلاسیک به حکمرانی پروتکل‌های زنجیره‌ای است. برای حکمرانی زنجیره‌ای، پروژه‌ها باید نقاط بازرسی زیر را برای پیشگیری تنظیم کنند:

• تعیین حداقل مطلق رأی یا سرمایه: پیشنهادات حکومتی نمی‌توانند تنها به نسبت‌های نسبی متکی باشند. باید یک آستانه سخت بر اساس تعداد مطلق تعیین شود، به عنوان مثال، نیاز به رأی مثبت باید به یک مبلغ معین (مانند ۱ میلیون دلار) یا تعداد آدرس‌های مستقل برسد.
• تجهیز زمان قفل به ناظران یا مسیرهای لغو: اگرچه اجرای حکومتی معمولاً تأخیر دارد، اما این فقط یک زمان واکنش معین را حفظ می‌کند. پروژه‌ها باید برای دوره تأخیر اجرایی یک مکانیزم نظارتی مؤثر (Guardian) یا مسیر لغو پیشنهادات فراهم کنند. اگر در دوره تأخیر یک پیشنهاد مخرب شناسایی شود، ناظر می‌تواند بلافاصله مداخله کرده و لغو کند.
• نظارت بر مشارکت حکومتی: پروتکل باید نظارت بلادرنگ بر مشارکت حکومتی در هر خزانه را برقرار کند. هنگامی که مشاهده می‌شود که مجموع عرضه توکن‌های حکومتی یا نرخ مشارکت رأی‌گیری در یک خزانه خاص به طور غیرعادی پایین است، باید بلافاصله هشدار داده شود و حتی اقدامات حفاظتی خودکار فعال شود.

۲. Injective: آسیب‌پذیری تسویه گزینه‌ها

حادثه حمله Injective یک حمله به آسیب‌پذیری تسویه گزینه‌های دوتایی در ماژول پروتکل بومی آن است. مهاجم از یک پیشگویی ناکارآمد برای فعال کردن منطق «بازپرداخت بدون قیمت» در سطح پروتکل استفاده کرد و با هزینه بسیار کم حدود ۴.۹ میلیون دلار برداشت کرد. مسیر حمله به شرح زیر است:

(۱) مهاجم یک پیشگویی به نام Frontrunner ایجاد کرد که منبع داده آن خالی تنظیم شده و هرگز قیمت را برنمی‌گرداند. در عین حال ۲۹۹ بازار گزینه دوتایی ایجاد کرد که همگی به این پیشگویی اشاره دارند.

(۲) از آنجا که پیشگویی نمی‌تواند قیمت را ارائه دهد، بازار نمی‌تواند به درستی تسویه شود و سیستم مجبور به ورود به مسیر «بازپرداخت بدون قیمت» (NO_PRICE_FOR_REFUND) شد. منطق طراحی این مسیر این است که دو برابر وثیقه را بازپرداخت کند و نه تنها اصل را.

(۳) مهاجم از چندین حساب فرعی به طور همزمان در بازار خرید و فروش می‌کند و خود را به عنوان طرف مقابل قرار می‌دهد. از آنجا که هیچ طرف واقعی برای معامله وجود ندارد، وجوه فقط در حساب‌های خود مهاجم گردش می‌کند، اما مکانیزم بازپرداخت به طور اضافی «سود» ایجاد می‌کند. در یک بازه زمانی حدود ۳۰ دقیقه، مهاجم حدود ۱۰۵۱۹۹ USDC واریز کرد، اما می‌توانست ۲۰۴۶۹۹ USDC برداشت کند.

سپس مهاجم USDC را به ETH تبدیل کرده و از طریق پل بین زنجیره‌ای CCTP به Ethereum منتقل کرد.

۳. ASI Alliance: نشت کلید خصوصی

در تاریخ ۲۰-۲۱ سپتامبر، اکوسیستم ASI Alliance (Fetch.ai، NuNet و SingularityNET) به طور متوالی مورد حمله یک مهاجم قرار گرفت. مهاجم ابتدا با استفاده از کلید خصوصی نشت شده و نقص طراحی قرارداد، ۸۷۰۰۰۰۰ FET را از قرارداد TokenConversionManagerV3 Fetch.ai استخراج کرد و سپس با استفاده از مجوز ضرب NuNet، ۴۰۸۵۰۰۰۰ NTX توکن را ضرب کرد و در نهایت از طریق پل بین زنجیره‌ای SingularityNET در Ethereum حدود ۸۹۶۰۰۰۰۰ AGIX، ۵۰۰۵۰۰۰۰ WMTx و ۴۹۲۴۰۰۰۰ CGV ضرب کرد.

طبق اعلام رسمی ASI Alliance، مهاجم با استفاده از کلید خصوصی نشت شده، مجوز ضرب چندین پروژه را برای انجام ضرب‌های زیاد به دست آورد. بررسی فرآیند حمله زنجیره‌ای، Beosin کشف کرد که علاوه بر نشت کلید خصوصی، تابع کلیدی قرارداد نیز دارای نقص طراحی است:

این تابع تنها به امضای یک حساب خارجی (EOA) به عنوان مدرک مجوز متکی است. این تابع نه مکانیزم کنترل محدودیت checkLimits(amount) موجود در conversionOut() را پیاده‌سازی کرده و نه نیاز به تأیید دارد که آیا دارایی هدف در شبکه دیگر قفل یا نابود شده است. بنابراین به محض نشت کلید امضا، تمام دارایی‌های داخل قرارداد به طور بدون هیچ گونه حفاظتی در معرض خطر قرار می‌گیرد. مهاجم دقیقاً از این نقص استفاده کرده و با استفاده از امضای مجوز نشت شده، conversionIn() را فراخوانی کرده و یک تراکنش ۸۷۲۱۵۳۰ FET را از این قرارداد خالی کرد.

روند تهدیدات امنیتی Web3

روند عمیق‌ترین امنیت Web3 در سال ۲۰۲۶، گسترش سیستماتیک سطح حمله را نشان می‌دهد. حملات همزمان در سطح کد، عملیات روزمره و تعاملات رخ می‌دهند و پیشرفت‌های توانایی هوش مصنوعی، کشف آسیب‌پذیری‌ها را سریع‌تر کرده است. تنها با چندین بار بررسی امنیت یا ابزار نمی‌توان امنیت عملیاتی، حکمرانی زنجیره‌ای و آسیب‌پذیری‌های منطقی تجاری را پوشش داد. این موضوع چالش‌های جدیدی را برای صرافی‌ها، بلاکچین‌های عمومی و پروژه‌های Web3 در ساخت سیستم‌های دفاعی امنیتی ایجاد می‌کند.

علاوه بر این، حملات به قراردادهای DeFi و کاربران شخصی به طور مکرر رخ می‌دهد. آسیب‌پذیری‌های قرارداد یا مجوزها به راحتی توسط مهاجمان مورد سوءاستفاده قرار می‌گیرند. توسعه‌دهندگان یا اپراتورهای قرارداد باید امنیت قراردادها را دوباره بررسی کنند و برای قراردادهایی که با کسب و کارهای اصلی سروکار دارند، باید چندین بار و از طرف‌های مختلف بررسی امنیت انجام دهند. برای کاربران شخصی، باید به طور منظم از مرورگرهای بلاکچین یا ابزارهای لغو مجوز استفاده کنند تا مجوزهای قراردادهایی که دیگر استفاده نمی‌شوند را بررسی و لغو کنند و با روش‌های فیشینگ رایج و جدید آشنا شوند و به هشدارها و تحولات امنیتی جدید توجه کنند و آگاهی امنیتی خود را افزایش دهند.