ثغرة في عقد المقتنيات الرقمية تؤدي إلى قفل أصول بقيمة 34 مليون دولار، والخبراء يحذرون من أهمية تدقيق الأمان.

مؤخراً، اكتشفت إحدى شركات الأمن وجود ثغرتين خطيرتين في عقد مجموعة رقمية، قد تؤدي هذه الثغرات إلى قفل أصول المستخدمين أو عدم قدرة فريق المشروع على سحب الأموال.

الثغرة الأولى تقع في دالة معالجة الاسترداد. تستخدم هذه الدالة حلقة لاسترداد الأموال لجميع المستخدمين، ولكن إذا كان كائن الاسترداد عقدًا خبيثًا، فقد يرفض استلامه مما يؤدي إلى فشل الصفقة، وبالتالي يؤثر على عمليات استرداد الأموال لجميع المستخدمين. لحسن الحظ، لم يتم استغلال هذه الثغرة.

بالنسبة لسيناريوهات استرداد الأموال المماثلة، يوصي الخبراء باتخاذ التدابير الأمنية التالية:

1. القيود على المشاركة في المشروع متاحة فقط لحسابات المستخدمين العاديين
2. استخدم الرموز (مثل WETH) كبديل للأصول الأصلية
3. تصميم آلية لاسترداد الأموال من قبل المستخدمين بشكل نشط، لتجنب استرداد الأموال بالجملة

!

الثغرة الثانية هي خطأ في الشفرة. في دالة سحب الأموال من فريق المشروع، يوجد خطأ في شرط المقارنة. يجب أن يقارن هذا الشرط تقدم استرداد الأموال مع فهرس العطاء، لكنه يقارن خطأً مع إجمالي عدد العطاءات. نظرًا لأن تقدم استرداد الأموال سيكون دائمًا أقل من إجمالي عدد العطاءات، ولن يزداد، فإن الشرط لن يتحقق أبدًا، مما يؤدي إلى قفل أموال فريق المشروع بشكل دائم في العقد. حاليًا، تم قفل أصول تزيد عن 34 مليون دولار.

!

أكدت هذه الحادثة مرة أخرى على أهمية أمان المشاريع. حتى المشاريع المعروفة قد تواجه أخطاء بسيطة. يحتاج فريق التطوير إلى كتابة حالات اختبار كافية وتطوير الوعي الأساسي بالأمان. على الرغم من أن التدقيق الأمني أصبح ممارسة روتينية في مجال التمويل اللامركزي، إلا أن هناك نقصًا في ذلك في مشاريع المقتنيات الرقمية، وقد أدت هذه الحادثة إلى خسائر ضخمة.

تذكرنا هذه الحادثة بأنه يجب علينا، بغض النظر عن حجم المشروع، أن نعير اهتمامًا لأمان العقود الذكية، وأن نجري تدقيقًا أمنيًا شاملاً لمنع حدوث مشكلات مماثلة.

!