هک ۱۲ وب‌سایت دیفای؛ سرقت حدود ۱۳۸ هزار دلار از کاربران

هکرها با در اختیار گرفتن ۱۲ وب‌سایت فعال در حوزه دیفای، از صفحات آلوده برای سرقت دارایی کاربران استفاده کردند. دامنه تمام این وب‌سایت‌ها در کمپانی نیم‌دات‌کام (Name.com) ثبت شده است؛ بااین‌حال، منشأ دقیق نفوذ هنوز مشخص نیست و بعضی پروژه‌ها، کمپانی زیرساخت ابری ورسل (Vercel) را مسئول این اتفاق می‌دانند.

این حمله در ساعات آغازین شنبه به وقت تهران آغاز شد و پروژه‌هایی مانند فلپ (Flap)، کینتسو (Kintsu)، پیکل فایننس (Pickle Finance) و اوریگامی فایننس (Origami Finance) را درگیر کرد. بررسی‌های درون‌زنجیره‌ای از جابجایی حدود ۱۳۸ هزار دلار به سه کیف پول مرتبط با مهاجمان حکایت دارد.

سرقت از کاربران با ابزار تخلیه کیف پول

کمپانی امنیتی بلاک‌اید (Blockaid) اعلام کرد وب‌سایت‌های هدف به ابزار مخرب استپ درینر (Step Drainer) آلوده شده بودند. این ابزار کاربران را پس از اتصال کیف پول، به تأیید درخواست‌هایی فریب می‌دهد که امکان جابجایی دارایی را فراهم می‌کنند. بنابراین، کاربران با ورود به آدرس آشنای پروژه و تأیید درخواست مخرب، در معرض سرقت قرار می‌گرفتند.

استپ درینر به‌صورت یک خدمت آماده در اختیار مهاجمان قرار می‌گیرد. طبق گزارش پیشین کمپانی امنیتی لول‌بلو اسپایدرلبز، کد کامل این ابزار حدود ۷۵۰ دلار فروخته می‌شده است. نسخه‌ای ارزان‌تر نیز ۱۵۰ دلار نرخ داشته که در مقابل، ۲۰ درصد از دارایی‌های سرقت‌شده را به سازندگان اختصاص می‌داده است.

صبح شنبه، ۱۰ دامنه آسیب‌دیده تقریباً هم‌زمان در لایه کمپانی ثبت‌کننده تعلیق شدند. این اقدام دسترسی معمول کاربران به وب‌سایت‌ها را متوقف کرد. پیکل فایننس، اوریگامی، فلاکس‌بیم، اشلون، استونک‌فان و استیک‌پوینت از جمله پروژه‌های این فهرست بودند؛ ولی دامنه‌های فلپ و کینتسو تا زمان عرضه گزارش همچنان فعال بودند.

خسارت واقعی امکان دارد بیشتر باشد

بررسی د بلاک نشان می‌دهد وجوه سرقت‌شده با نسبت‌های ثابت ۱۵، ۵۵ و ۳۰ درصد میان سه کیف پول تقسیم شده‌اند. این طرح در پلتفرم‌های بی‌ان‌بی چین، اتریوم، رابین‌هود چین و موناد مشاهده شده است. فقط در بی‌ان‌بی چین، دست‌کم چهار کیف پول حدود ۳.۱ واحد BNB به نرخ تقریبی ۲,۲۰۰ دلار به آدرس مرتبط با مهاجمان فرستاده‌اند.

مهاجمان در موناد، نشان‌های استیک‌شده کینتسو را بازخرید و از استاندارد وام‌دهی نورلند دارایی برداشت کردند. در رابین‌هود چین نیز سهام توکنیزه‌شده انویدیا و اپل از استاندارد مورفو خارج و به اتریوم تبدیل شد. مجموع موجودی سه کیف پول تا اواخر صبح شنبه حدود ۱۳۸ هزار دلار بود که عمدتاً از MON و اتریوم روی رابین‌هود چین تشکیل می‌شد.

این برآورد فقط پلتفرم‌های سازگار با ماشین مجازی اتریوم را پوشش می‌دهد. فلاکس‌بیم، استونک‌فان و استیک‌پوینت روی سولانا و اشلون روی آپتوس فعالیت می‌کنند؛ بنابراین، خسارت احتمالی کاربران این پلتفرم‌ها در رقم اعلام‌شده محاسبه نگردیده.

ابهام راجع به نقش نیم‌دات‌کام و ورسل

با وجود ثبت همه دامنه‌ها نزد نیم‌دات‌کام، ارائه‌دهنده DNS آن‌ها یکسان نبوده است. بعضی از کلادفلر، بعضی از ورسل و بعضی از زیرساخت خود نیم‌دات‌کام استفاده می‌کردند. به همین دلیل، هنوز مشخص نیست مهاجمان مستقیماً به کمپانی ثبت‌کننده دامنه نفوذ کرده‌اند یا از مسیر یکی از دلال‌های خدمت ها آن وارد شده‌اند.

کینتسو اعلام کرد حادثه در سمت ورسل و خارج از کنترل این پروژه رخ داده است. اوریگامی نیز از حمله به نیم‌سرورهای مرتبط با ورسل خبر داد و فعالیت صندوق‌های خود را تا روشن‌شدن علت متوقف کرد. ورسل تا زمان گزارش توضیح عمومی نداده بود و نیم‌دات‌کام نیز صرفاً از گزارش‌دهندگان خواسته بود فرم سوءاستفاده را تکمیل کنند.

تعداد قربانیان همچنان مشخص نیست. فلاکس‌بیم و استونک‌فان گفته‌اند گزارشی از آسیب‌دیدن کاربران ندارند. کینتسو، اوریگامی، فلاکس‌بیم و استونک‌فان همچنین تأکید کرده‌اند قراردادهای هوشمند آن‌ها دست‌نخورده باقی مانده است. بررسی‌ها راجع به منشأ نفوذ و میزان نهایی خسارت ادامه دارد.