CashioApp پنجاه میلیون دلار به دلیل کد قرارداد ناقص ضرر می کند.
طبق گزارش samczsun پارادایم، برنامه غیرمتمرکز مبتنی بر سولانا، CashioApp، به دلیل سوء استفاده ای که قبلاً توسط کارشناسان بلاک چین در سایر برنامه های کاربردی مبتنی بر سولانا مورد توجه قرار گرفته بود، تقریباً 50 میلیون دلار در ارز دیجیتال از دست داده است.
این محقق روشی را که به هکرها امکان دسترسی به کاربران را می داد، به تفصیل شرح داد.
سوء استفاده از حساب جعلی
برای برش توکن های جدید CASH، کاربران مقدار مشخصی وثیقه را واریز می کنند که تحت فراخوانی بین برنامه ای قرار می گیرد که توکن ها را از حساب به پروتکل منتقل می کند. این برنامه همچنین بررسی می کند که آیا دو حساب دارای یک نوع رمز در موجودی خود هستند یا خیر. در غیر این صورت، انتقال رد می شود.
Samczsun راه دقیق اعتبارسنجی دارایی هایی که در حساب فرستنده باقی می ماند را به دنبال کنندگان خود نشان داد. تابع “crate_collateral_tokens” دو حساب را که باید دارای یک نوع توکن باشند، مقایسه می کند.
اما متأسفانه، عملکردهای ضرب توکن های جدید هرگز تأیید نشد، که همه مراحل توضیح داده شده در بالا را بی معنی می کند، زیرا عملکرد اولیه با فرآیند ذکر شده در بالا تأیید نمی شود.
پس از اینکه هکر متوجه این مشکل در کد قرارداد شد، شروع به ایجاد زنجیره ای از حساب های جعلی کرد و در نهایت یک حساب جعلی به نام crate_collateral_tokens ساخت. به طور خلاصه، به دلیل نقص در کد Cashio که ریشه اعتماد را برای همه حساب های استفاده شده ایجاد نمی کرد، مهاجم توانست حداقل 50 میلیون دلار سرقت کند .
پروژه های DeFi تحت حمله
اخیراً، شرکت امنیتی بلاک چین PeckShield تعدادی هشدار برای محافظت از مالکان و کاربران بر اساس زنجیره هوشمند بایننس به اشتراک گذاشته است. پروژه هایی مانند OneRing و UmbNetwork توسط هکرهایی هدف قرار گرفتند که میلیون ها دارایی را از موجودی آنها به سرقت بردند. زیان تخمینی حدود 1.8 میلیون دلار است.
رایج ترین دلیل پشت تقریباً هر سوء استفاده، وجود کد معیوب در قراردادهای هوشمند پروژه ها، از جمله مسائل SafeMath است.
