ثغرة Aptos: هجمات محاكاة تكشف خطرًا بقيمة 70 مليار دولار | كريبتو عربي

اكتشاف صادم: ثغرة Aptos كادت تهدد 70 مليار دولار في عالم الكريبتو في تطور يثير القلق داخل منظومة العملات الرقمية، كشفت شركة Hexens المتخصصة في الأمن السيبراني عن ثغرة Aptos أمنية حرجة في بلوك تشين Aptos، كان من شأنها أن تعرض ما يصل إلى 70 مليار دولار من الأصول الرقمية لمخاطر منهجية واسعة النطاق. وعلى الرغم من أن الثغرة قد تم إصلاحها بسرعة، إلا أن تفاصيل هذا الاكتشاف تسلط الضوء على الهشاشة المحتملة للبنية التحتية للكريبتو، وتكشف عن مدى قرب الصناعة من حدث كارثي. فريق من القراصنة الأخلاقيين يكشف الخطر قام باحثون من شركة Hexens بمحاكاة سيناريو هجومي باستخدام إعداد خادم بسيط لا تتجاوز تكلفته 3,000 دولار أمريكي. وقد حققوا نسبة نجاح تزيد عن 90% في ظل ظروف شبكة حقيقية، محاكين بذلك ما يقرب من ثلث شبكة مدققي بلوك تشين Aptos. لم يتطلب الهجوم أي وصول داخلي أو صلاحيات خاصة، مما يؤكد سهولة الاستغلال المحتملة. تفاصيل الثغرة ونطاق الخطر تركز الاكتشاف على عيب في منصة Aptos، وهي بلوك تشين من الطبقة الأولى مبنية على لغة Move، وهي لغة العقود الذكية المستخدمة أيضًا في بلوك تشين Sui، والتي نشأت عن مشروع Diem الخاص بشركة Facebook الملغى. ثغرة "stale-cache" في آلة Aptos الافتراضية في أواخر فبراير، أبلغ باحثو شركة Hexens عن ثغرة Aptos حرجة في الآلة الافتراضية (Move virtual machine) الخاصة ببلوك تشين Aptos، وهي بيئة التنفيذ التي تعالج العقود الذكية على السلسلة. وصفت Hexens الثغرة بأنها "خلل في ذاكرة التخزين المؤقت القديمة" (stale-cache bug) يؤدي إلى "ضعف في خلط الأنواع" (type-confusion vulnerability). هذه الحالة تسمح للبرنامج بمعالجة نوع من الموارد على السلسلة على أنه نوع آخر، مما يفتح الباب أمام استغلال خطير. محاكاة الاختراق بتكلفة زهيدة أظهرت المحاكاة أن تكلفة إعداد البنية التحتية اللازمة لتنفيذ هذا الهجوم كانت حوالي 3,000 دولار فقط. قام الفريق بتشغيل مسار الاستغلال حوالي 20 مرة في بيئة محاكاة ونجح في 17 أو 18 محاولة. ولم تتسبب المحاولات الفاشلة القليلة في توقف الشبكة، مما يعني أن المهاجم كان ليحظى بفرصة أخرى للمحاولة. تكلفة منخفضة: 3,000 دولار فقط لتشغيل خادم يحاكي بيئة شبكة Aptos الرئيسية. نسبة نجاح عالية: 17-18 محاولة ناجحة من أصل 20 في بيئة محاكاة. لا تتطلب امتيازات: لم يكن الهجوم بحاجة إلى وصول المدققين أو معرفة داخلية أو صلاحيات بروتوكول مميزة. محاكاة دقيقة: اعتمدت المحاكاة على مجموعة من أكثر من 30 عقدة مدقق، وتوزيع حصص مشابه لشبكة Aptos الرئيسية، وحركة مرور معاملات عضوية، وتنافس كبير في التنفيذ. حجم المخاطر المحتملة: 70 مليار دولار وفقًا لـ Vahe Karapetyan، المدير التقني والمؤسس المشارك لشركة Hexens، فإن هذه ثغرة Aptos ، إذا تُركت دون معالجة، كان يمكن أن تعرض سطحًا أكبر بكثير من المخاطر المنهجية عبر الجسور والعملات المستقرة وبروتوكولات التمويل اللامركزي (DeFi) والبورصات المركزية، مما يكلف مليارات الدولارات ويخلق أزمة تتجاوز بلوك تشين Aptos نفسها بكثير. المخاطر المباشرة وغير المباشرة قدرت Hexens أن التعرض المباشر والمنظمات ذات الصلة بالبروتوكولات على بلوك تشين Aptos، بما في ذلك بروتوكولات التمويل اللامركزي، والأصول الرمزية، والبنية التحتية للعملات المستقرة، وأنظمة التوقيع السائل، يصل إلى مليارات قليلة من الدولارات. ومع ذلك، في مثل هذه الاستغلالات، يمكن أن يكون الخطر الأوسع نطاقًا أكبر، حيث نادرًا ما تتوقف اختراقات مستوى البلوك تشين عند السلسلة المتأثرة. أشارت Hexens إلى أن الخطر المنهجي الأوسع من الدرجة الأولى كان يبلغ حوالي 70 مليار دولار. هذا الرقم الضخم يشمل القيمة التي يمكن الوصول إليها عبر الجسور، وأنظمة المراسلة عبر السلاسل، وتدفقات إدارة العملات المستقرة، والبورصات المركزية. كما أشار تحليل لشركة Grego AI، التي قامت بالتحقق المستقل من إثبات المفهوم الخاص بشركة Hexens، إلى أن الثغرة يمكن أن تُستخدم لسرقة قدرات البروتوكول، بما في ذلك تلك التي تمتلكها منصات مثل LayerZero و Wormhole، وحتى بروتوكول CCTP الخاص بعملة USDC المستقرة. صرح Justus Hanna، المدير التنفيذي لشركة Grego AI، بأن "المهاجمين كانوا سيتمكنون من الاستيلاء على جميع الأصول المقفلة في البروتوكولات (TVL) التي يرغبون فيها." استجابة Aptos وتداعياتها أكد متحدث باسم منصة Aptos لـ CoinDesk أن "مختبرات Aptos أُبلغت بوجود مشكلة محتملة عبر برنامج مكافآت الأخطاء في 25 فبراير، وكانت قيد المعالجة داخليًا في ذلك الوقت. تم تطوير حل واختباره ونشره على الشبكة الرئيسية في غضون ساعات من الاكتشاف. لم يتأثر أي مستخدمين أو أموال في أي وقت." كما شكك المتحدث باسم Aptos في إمكانية استغلال هذا الخلل عمليًا، قائلاً: "أظهر تحليلنا أن الخلل سيكون له قابلية استغلال منخفضة للغاية في ظروف العالم الحقيقي." ومع ذلك، فإن التفاصيل التي كشفها الباحثون تقدم نظرة واقعية على مدى اقتراب المنظومة من حدث قد يغير الصناعة. أهمية الثغرات المماثلة في القطاع تُظهر هذه المحاكاة أن الصناعة لا تزال عرضة للثغرات المخفية في تكنولوجيا البلوك تشين. لو تم استغلال هذه الثغرة بالفعل، نظريًا، كان من الممكن أن تتجاوز بسهولة الحجم الهائل لعمليات السرقة السابقة، مثل حادثة اختراق منصة Bybit بقيمة 1.5 مليار دولار العام الماضي. وفي يونيو الماضي، تراجعت عملة Zcash بنسبة 38% بعد أن كشف المطورون عن ثغرة حرجة ظلت كامنة لأربع سنوات، وكان من الممكن أن تسمح للمهاجم بطباعة رموز مزيفة غير محدودة دون أن يكتشفها أحد. آلية الاستجابة والتصحيح في اليوم نفسه الذي قدمت فيه شركة Hexens تقريرها، تم فتح غرفة طوارئ "SEAL911" لتنسيق الاستجابة. هذه المجموعة الأمنية التطوعية أصبحت طبقة استجابة أولى رئيسية عبر منظومة الكريبتو. وتم إخطار البائعين والعديد من المشاريع التابعة بعد ساعات، وتلقى كل منهم مواد إثبات المفهوم القابلة للتشغيل محليًا وتحليلاً…