פרצת אבטחה במערכת DeFi: כיצד תוקף השתלט על אסימוני $TOP וניקז מיליוני דולרים
בימים האחרונים, עולם הבלוקצ'יין וה-DeFi (מערכות פיננסיות מבוזרות) חווה זעזוע נוסף כאשר תוקף הצליח לנצל חולשות במערכת הממשל של אסימון Token of Power ($TOP). התוקף הצליח לנקז סכום של 1.58 מיליון דולר מתוך בריכת Balancer V1 באמצעות השתלטות על השליטה בממשל האסימון. זהו מהלך שמעורר שאלות רבות על עמידותם של פרויקטים קטנים יותר בתחום הפיננסים המבוזרים.
כיצד התבצעה ההתקפה? התוקף השתמש בכתובת שמומנה באמצעות Tornado Cash, כלי המאפשר אנונימיות עסקאות, ורכש מעל 50% מכוח ההצבעה של $TOP. בשל ההיצע המוגבל והערך הנמוך של האסימון, התוקף הצליח להחזיק ביותר ממחצית מההיצע הכולל של 16,384 אסימוני TOP. באמצעות ממשק Aragon DAO עם MiniMeToken, הוא יצר הצעה זדונית שביצעה הטבעת 10 מיליארד אסימוני TOP ישירות לחוזה שלו.
האסימונים שהוטבעו הוחלפו ל-944.2 WETH, המוערכים בכ-1.585 מיליון דולר, בבריכת TOP/WETH של Balancer V1, מה שהוביל לניקוז הנזילות שלה. האירוע מדגיש את הבעיות האבטחתיות שבהן נתקלים פרויקטים קטנים יותר בעולם ה-DeFi, במיוחד כאשר פרמטרי הממשל אינם מוגדרים כראוי.
BlockSec Phalcon, חברת אבטחת בלוקצ'יין, הסבירה את המכניקה של ההתקפה והדגישה את הצורך בבדיקות קפדניות של פרויקטים המשתמשים ביישומי ממשל דומים ל-Lido ו-Aragon. הכספים שנגנבו הועברו חזרה דרך Tornado Cash, מה שמסבך את מאמצי ההתאוששות ומעלה את הצורך באמצעי הגנה נוספים.
ניצול זה מצטרף לדפוס התקפות ממשל על פרויקטים קטנים ב-DeFi, שבו משקיעים באסימונים בעלי שווי שוק נמוך עלולים להיפגע. בעוד פרוטוקולים גדולים יותר הצליחו לחזק את ההגנות שלהם, רבים מהאסימונים הצומחים נותרים חשופים. השוק הפיננסי המבוזר עומד בפני ביקורת מוגברת וקריאות לשדרוגים שיבטיחו בטיחות מרבית למשתמשים.
למערכת האקולוגית הרחבה יותר, האירוע הזה משמש כתזכורת חשובה לעיצוב ממשל חזק והכרחי להגנה על כספי המשתמשים בעידן של התקפות מתוחכמות וזולות. המשתמשים נדרשים להישאר ערניים ולוודא שהפרויקטים שבהם הם משקיעים כוללים פרמטרים מאומתים ומנוסים.
האם אתם חושבים שמערכת ה-DeFi צריכה להיות מפוקחת יותר על ידי גופים חיצוניים, או שהפתרון נמצא בשיפור הממשל הפנימי של הפרויקטים? שתפו את דעתכם.