این اشتباه بزرگ را تکرار نکنید؛ ۵۷۵ میلیون دلار ارز دیجیتال دود شد

یک پژوهش دانشگاهی مشترک میان دانشگاه‌های سان یات‌سن، ژجیانگ و پکن نشان می‌دهد که اشتباهات ساده در استفاده از آدرس‌های شبکه، بیش از ۵۷۴.۸ میلیون دلار خسارت مالی روی دو بلاکچین اتریوم و بی‌ان‌بی چین (BNB Chain) به همراه داشته است.

این گزارش با بررسی بیش از ۱۰ میلیون آدرس و ۲.۵ میلیون تراکنش، ۶۵٬۳۴۰ مورد پرریسک سوءاستفاده و خطای آدرس را شناسایی کرده است؛ اشتباهاتی که از سردرگمی میان شبکه‌های آزمایشی (Testnet) و شبکه اصلی (Mainnet) یا افشای ناخواسته کلیدهای خصوصی در مخازن کدنویسی سرچشمه می‌گیرند.

اما چگونه تراکنش‌هایی که با موفقیت روی بلاکچین ثبت می‌شوند، سرمایه کاربران را به طور کامل نابود می‌کنند؟

۲ اشتباه مرگبار که دارایی‌ها را می‌بلعد

این تحقیق دانشگاهی خطاهای رخ‌داده را به دو دسته اصلی تقسیم کرده است:

چشم‌انداز بیت‌کوین به سال ۱۴۳۵ سفر کنید؛ سالی که استخراج بیت‌کوین به پایان می‌رسد!

به سال ۱۴۳۵ سفر کنید؛ سالی که استخراج بیت‌کوین به پایان می‌رسد!

3:21 | 00:00

100

برای گوش دادن به پادکست‌های بیشتر کلیک کنید.

همه پادکست‌ها

۱. اشتباه در حساب قرارداد (CA Misuse)

این خطا زمانی رخ می‌دهد که کاربر تصور می‌کند با یک قرارداد هوشمند معتبر تعامل دارد، در حالی که آدرس مورد نظر روی آن شبکه هیچ کدی ندارد. پژوهشگران ۴۹٬۳۴۴ مورد از این دست پیدا کردند که منجر به از دست رفتن ۲۲٬۷۳۸.۴۱ اتریوم و ۸٬۶۸۱.۴۱ بی‌ان‌بی شده است.

• نمونه واقعی: یک آدرس روتر نسخه ۲ صرافی یونی‌سواپ که به طور گسترده در شبکه آزمایشی سپولیا (Sepolia) استفاده می‌شد و بیش از ۱۰۲ هزار بار در فروم‌های فنی دیده شده بود، روی شبکه اصلی اتریوم فعال نبود. با این حال، صدها کاربر به تصور اینکه آدرس اصلی است، اتریوم واقعی به آن ارسال کردند. تراکنش به عنوان یک انتقال ساده موفق شد، اما دارایی‌ها برای همیشه در یک آدرس غیرفعال قفل شدند.

۲. اشتباه در حساب‌های کاربری عادی (EOA Misuse)

این دسته شامل ۱۵٬۹۹۶ مورد خطاست که در آن کاربران به آدرس‌هایی تراکنش فرستاده‌اند که کلید خصوصی آن‌ها قبلاً در پلتفرم‌های عمومی مانند گیت‌هاب یا فروم‌های پرسش‌وپاسخ فاش شده بود. این اشتباه منجر به سرقت و از دست رفتن ۱۰۴٬۲۲۴.۵۳ اتریوم و ۹٬۰۴۵.۲۹ بی‌ان‌بی شد.

هکرها چطور از اشتباهات آدرس سوءاستفاده می‌کنند؟

خطر تنها به قفل شدن دارایی محدود نمی‌شود؛ مهاجمان بلاکچین به‌طور فعال این اشتباهات را شکار می‌کنند:

• استقرار قرارداد مخرب در آدرس مشترک: در ۴۶۹ مورد، هکرها متوجه شدند دارایی‌های زیادی به یک آدرس خالی واریز شده است. آن‌ها با استفاده از روش‌های ساخت مجدد آدرس‌های چندزنجیره‌ای، قراردادی مخرب روی همان آدرس مستقر کرده و ۳٬۴۴۶.۳۷ اتریوم و ۴۳۱.۷۹ بی‌ان‌بی گیر افتاده را تصاحب کردند.

• سوءاستفاده از استاندارد EIP-۷۷۰۲: در ۱۷٬۲۷۰ مورد، هکرها با استفاده از قابلیت این استاندارد نوین برای واگذاری کنترل حساب‌ها به قرارداد هوشمند، مدیریت کیف‌پول‌های دارای کلید لورفته را به دست گرفتند تا هرگونه واریز جدید به طور خودکار به آدرس خودشان هدایت شود.

راهکارهای حیاتی برای جلوگیری از سوختن سرمایه

پژوهشگران به کاربران و توسعه‌دهندگان هشدار می‌دهند که:

۱. هرگز آدرس‌های مورد استفاده در شبکه‌های آزمایشی (Testnet) را در شبکه اصلی (Mainnet) به کار نبرند.

۲. آدرس قراردادها را صرفاً از مستندات رسمی پروژه‌ها کپی کنند.

۳. توجه داشته باشند که تیک «تراکنش موفق» در مرورگر بلاکچین لزوماً به معنی اجرای درست قرارداد مدنظر نیست.