أهم النقاط
- رصدت Blockaid سحب أصول بنحو 86 ألف دولار عبر استغلال ثغرة في عقد استحقاق UNCX المشترك على إيثريوم.
- ربط باحثو Exvul الثغرة بخلل في احتساب الحصص داخل عقد VestingManager.
- كان نحو 3.25 مليون دولار لا يزال داخل العقد المتأثر عند رصد الهجوم.
- قيدت UNCX المراكز الجديدة، وقالت إن 10 رموز تأثرت عبر أربع شبكات وإن الخسائر النهائية لا تزال قيد التقييم.
رصدت شركة الأمن السيبراني Blockaid في 14 أكتوبر استغلال ثغرة في عقد الاستحقاق المشترك لشبكة UNCX على إيثريوم، أدى إلى سحب رموز قُدرت قيمتها بنحو 86 ألف دولار.
وقالت Blockaid إن الهجوم استهدف آلية المحاسبة داخل العقد، وليس مفاتيح خاصة أو محافظ فردية. ووفقاً لباحثي Exvul، يرتبط الخلل باحتساب حصص الرموز في عقد VestingManager، بما أتاح لمركز استحقاق ذي رصيد متبقٍ صغير المطالبة بأصول تدعم ودائع مستخدمين آخرين.
وكان نحو 3.25 مليون دولار لا يزال داخل العقد الذكي المتأثر على إيثريوم عندما رصدت Blockaid الهجوم. وأفادت UNCX لاحقاً بأن الواقعة طالت 10 رموز عبر أربع شبكات، تشمل إيثريوم وBase وBNB Chain وRobinhood Chain، بعد أن أشار التقييم الأولي إلى خمسة رموز.
وقيدت UNCX إنشاء مراكز استحقاق جديدة في العقد المتأثر، وقالت إنها تراجع المعاملات وتقيّم الأضرار. وأضافت أنها رفعت الرسوم الثابتة إلى أكثر من 1,000 ETH لكل عملية قفل، وزادت رسوم الرموز إلى 5%، وأغلقت أساليب لتجاوز تلك الرسوم.
وأكدت الشركة أن أدوات قفل السيولة وعقود الاستحقاق القديمة لم تتأثر. وقالت أيضاً إن الأموال المسحوبة لم تُسترد، وإنها تتواصل مع المشاريع المتضررة وتعمل مع جهات إنفاذ القانون وSEAL 911، مع إعداد تقرير عن الحادث الأمني وخطة مقترحة للاسترداد. ولا يزال الحجم النهائي للخسائر غير محسوم.
ما الذي يستحق المتابعة؟
تتجاوز أهمية الحادث قيمة السحب المعلنة لأن رصيداً بنحو 3.25 مليون دولار كان لا يزال داخل العقد المتأثر وقت الرصد. كما أن انتقال عدد الرموز المعلنة من خمسة إلى 10 يشير إلى أن نطاق الأثر كان لا يزال قيد التقييم، ولا يمكن استنتاج الخسائر النهائية أو فرص الاسترداد قبل نتائج مراجعة UNCX.
