تعرض Meta Pool لثغرة بقيمة 27 مليون دولار، لكن الكشف المبكر يحد من قدرة المهاجم على الاستغلال إلى 132 ألف دولار فقط
أمخترق استغل أحد المهاجمين ثغرة أمنية في العقد الذكي الخاص بـ Meta Pool لسك رموز mpETH بقيمة 27 مليون دولار تقريبًا - لكنه في النهاية حصل على حوالي 132000 دولار فقط من Ether بسبب السيولة المحدودة والتدخل السريع من قبل فريق البروتوكول.
في تدوينة يوم الثلاثاء، أوضحت Meta Pool أن المهاجم استخدم خللًا في وظيفة "إلغاء الرهان السريع" لتوليد 9705 رمز mpETH دون تقديم الضمانات المقابلة.
عادةً ما يتطلب إلغاء الرهان تأخيرًا قبل أن تصبح الأصول قابلة للتحويل، لكن إلغاء الرهان السريع يتجاوز الانتظار في ظل ظروف معينة.
استندت هذه الثغرة الأمنية إلى خطأ خطير في دالة ERC4626 mint()، والذي سمح بإنشاء رمز غير مصرح به.
وأكدت شركة أمن Blockchain PeckShield وجود الخلل وأشارت إلى أن انخفاض السيولة في مجموعات مقايضة mpETH قيد بشدة قدرة المهاجم على تحويل الرموز المميزة إلى مكاسب كبيرة - مما يحد من السرقة إلى ما يزيد قليلاً عن 52.5 ETH.
وأكدت Meta Pool أن أنظمة الكشف المبكر الخاصة بها حددت النشاط المشبوه في الوقت المناسب ليتمكن الفريق من إيقاف العقد الذكي المتأثر مؤقتًا، ووقف أي إجراءات غير مصرح بها أخرى.
شارك المؤسس المشارك كلاوديو كوسيو فيX (المعروف سابقًا باسم تويتر) نشر أن الاستغلال كان متجذرًا في آلية سك غير مقصودة مرتبطة بميزة إلغاء الرهان السريع.
تم استغلال ثغرة أمنية حيث يقوم أحد القراصنة باستنزاف العملات المشفرة من مجمعات المبادلة
بعد سك رموز mpETH غير المصرح بها، استخدمها المستغل لاستنزاف ما يقرب من 52.5 ETH من مجموعات المبادلة المختلفة عبر الشبكة الرئيسية لـ Ethereum وOptimism.
وفقًا لـ Meta Pool، كان لدى أحد مجمعات Optimism المتأثرة سيولة وحجم تداول منخفضان نسبيًا، مما ساعد في الحد من الضرر الإجمالي.
صرح فريق Meta Pool بما يلي:
"يجب التأكد من أن كل عملات الإيثريوم المودعة آمنة، ويتم تفويضها إلى مشغلي شبكة SSV الذين يقومون بالتحقق من صحة الكتل وتجميع مكافآت المودعة على الشبكة الرئيسية للإيثريوم."
وأعلن الفريق أنه سيتم إصدار تقرير كامل بعد الوفاة وخطة للتعافي خلال اليومين المقبلين.
في هذه الأثناء، لا يزال عقد mpETH المخترق متوقفًا مؤقتًا أثناء تقدم التحقيق.
التزمت Meta Pool بتعويض جميع المستخدمين المتضررين والتأكد من أن المتأثرينيستغل يتم تعويضهم بشكل كامل.