چگونگی هک پل وانچین نایت به یک باگ ظریف اما خطرناک در ساختار امضا مربوط میشه؛ ضعفی که باعث شد یک تراکنش ساده به برداشت گسترده تبدیل بشه.
بر اساس آخرین اخبار ارز دیجیتال، در یکی از جدی ترین اتفاقات امنیتی اخیر، پل وانچین که وظیفه انتقال توکن NIGHT بین کاردانو و بایننس چین را داشت، هدف یک حمله قرار گرفت. و حدود ۵۱۵ میلیون توکن به ارزش ۹ تا ۱۳ میلیون دلار از این پل خارج شد. در بررسی یکی از جدیدترین اتفاقات امنیتی بازار، تمرکز اصلی روی اینه که چطور یک ضعف فنی تونست چنین دسترسی بزرگی ایجاد کنه. پل وانچین به دلیل یک طراحی ناقص در بخش اعتبارسنج خزانه داری دچار مشکل شد.
چگونگی هک پل وانچین نایت از نظر فنی
چگونگی هک پل وانچین نایت برمیگرده به یه ضعف توی نحوه ساخت پیام های امضا شده. توی بخش اعتبارسنج خزانه داری (TreasuryCheck) داده ها به جای اینکه با ساختار مشخص و جداکننده کنار هم قرار بگیرن، فقط به هم چسبونده میشدن. یعنی ۱۴ فیلد مختلف بدون هیچ مرزی پشت سر هم قرار میگرفتن.
همین موضوع باعث شد ترکیب های متفاوتی از داده ها، خروجی یکسان تولید کنن. مهاجم دقیقا از همین نقطه استفاده کرد. یه امضای معتبر که برای برداشت حدود ۳۱۱۰ توکن ساخته شده بود، طوری بازسازی شد که سیستم اون رو برای برداشت بیش از ۲۰۳ میلیون توکن هم معتبر تشخیص بده. در واقع سیستم نمیفهمید مقدار واقعی چی بوده. اینجاست که اهمیت شناخت ساختار پروژه ها مشخص میشه و حتی دنبال کردن آموزش ارز دیجیتال میتونه کمک کنه چنین ریسک هایی بهتر درک بشن.
چرا این نوع آسیب پذیری خطرناک است؟
چگونگی هک پل وانچین نایت نشون میده مشکل اصلی خیلی وقت ها توی خود بلاکچین نیست، بلکه توی ابزارهای واسطه مثل پل هاست. این حمله توی کمتر از ۱۰ دقیقه اتفاق افتاد و مهاجم تونست حدود ۹۷ درصد از توکن های قفل شده رو خارج کنه، بدون اینکه به بقیه دارایی ها کاری داشته باشه.
نکته مهم اینه که شبکه اصلی کاردانو یا میدنایت هیچ آسیبی ندیدن و مشکل فقط محدود به همین پل بوده. بعد از برداشت هم، مهاجم توکن ها رو به کیف پول های جدید منتقل کرد و بخش زیادی رو توی صرافی های غیرمتمرکز فروخت که باعث فشار فروش شدید شد.
این اتفاق یه هشدار جدیه. پل های بین شبکه ای چون به سیستم امضا و اعتبارسنج وابسته هستن، همیشه در معرض این نوع حمله ها قرار میگیرن. به همین خاطر خیلی ها معتقدن باید به سمت راهکارهای جدیدتر مثل پل های مبتنی بر دانش صفر رفت. برای معامله گرها هم مهمه که کنار خرید و فروش ارز دیجیتال این ریسک های فنی رو هم در نظر بگیرن.
