كيف يخترق هجوم زيادة الرصيد الوهمي طبقات الدفاع في البورصة

مقدمة

يعني هجوم إعادة الشحن الكاذب أن المهاجم يرسل معلومات مزورة عن المعاملات إلى عنوان محفظة البورصة من خلال الاستفادة من الثغرات أو أخطاء النظام في معالجة التبادل لإعادة الشحن. يُخطئ في اعتبار معلومات المعاملة المزورة هذه طلبات إعادة شحن حقيقية من قبل التبادل. وإضافة الأصل الرقمي المقابل أو العملة لحساب المهاجم. يمكن للمهاجمين استخدام هذه الطريقة للحصول على أصول رقمية غير مدفوعة ، مما يؤدي إلى فقدان أصول التبادل.

تهدف هذه المقالة إلى استكشاف بعمق كيف يمكن لهجمات الإيداع المزيفة اختراق آلية الدفاع في البورصات. سنقوم بتحليل مبدأ هجوم زيادة الرصيد الوهمي ونكشف عن الثغرات والاستراتيجيات التي يستغلها المهاجمون. في الوقت نفسه ، سنقوم بتحليل هجوم زيادة الرصيد الوهمي من خلال أمثلة لفهم طريقة الهجوم وتأثيره بشكل أفضل. بالإضافة إلى ذلك ، سنناقش أيضًا التدابير الطارئة والوقائية للتبادلات للتعامل مع هجمات زيادة الرصيد الوهمية ، من أجل تقديم اقتراحات لحماية الأصول والاستجابة لهجمات مماثلة.

** تحليل مبدأ الشحن **

قبل فهم إعادة الشحن الوهمية ، نحتاج إلى فهم مبدأ إعادة الشحن الخاص بالصرافة.

العملية النموذجية هي كما يلي:

** 1. إنشاء عنوان المحفظة **

يقوم التبادل بتعيين عنوان محفظة فريد لكل مستخدم لتلقي إعادة شحن المستخدم. عادة ما يتم إنشاء هذه العناوين تلقائيًا بواسطة أنظمة التبادل. عندما يقوم المستخدمون بإعادة الشحن ، فإنهم بحاجة إلى إرسال الأصول الرقمية إلى عنوان محفظة محدد في حساب التبادل.

** 2. مسح دفتر الأستاذ blockchain **

ستتم مزامنة عقد التبادل مع العقد الأخرى في شبكة blockchain للحصول على أحدث حالة blockchain ومعلومات المعاملات. عندما تتلقى عقدة التبادل كتلة جديدة ، ستقوم باستخراج معرف معاملة إعادة الشحن للمستخدم والمبلغ المقابل من محتوى المعاملة الموجود في الكتلة أو حدث تنفيذ المعاملة الذي تم تشغيله بواسطة الكتلة ، وإضافته إلى القائمة المراد إعادة شحنها.

** 3. تأكيد الإيداع **

تتطلب التبادلات عادةً اعتبار المعاملات صالحة بعد تلقيها عددًا معينًا من التأكيدات في شبكة blockchain. يعني التأكيد أن كتلة التبادل تمت الإشارة إليها من خلال عدد معين من الكتل والتحقق منها والتأكيد عليها من قبل عمال المناجم الآخرين. يمكن أن يختلف عدد التأكيدات التي تحددها البورصة باختلاف الأصول والشبكات الرقمية.

كما تظهر الصورة:

(يحدث هجوم إعادة الشحن الوهمي في الخطوتين 5 و 6)

** وضع إعادة الشحن الوهمي **

التبادلات هي المناطق الأكثر تضرراً من هجمات القراصنة ، لذلك عادةً ما تضع البورصات الخوادم خلف نظام دفاعي ثقيل ، وحتى الاستضافة غير المتصلة للخدمات الأساسية لإدارة الأموال. ومع ذلك ، نظرًا لمتطلبات سلامة البيانات لنظام blockchain ، لن يتم اعتراض المعاملات الضارة بواسطة نظام الأمان المحيطي.

وتجدر الإشارة إلى أن هجوم زيادة الرصيد الوهمي ليس ثغرة في blockchain ، ولكن المهاجم يستخدم بعض خصائص blockchain لإنشاء معاملة خاصة. ستجعل هذه المعاملات الخبيثة البورصة تعتقد خطأً أنه طلب إعادة شحن حقيقي ، أو تعالج نفس طلب إعادة الشحن عدة مرات. بعد فترة طويلة من القتال الفعلي ، لخص فريق أمان SlowMist عدة طرق هجوم زائفة مزيفة:

منذ عام 2018 ، كشف فريق SlowMist الأمني عن العديد من هجمات زيادة الرصيد الوهمية ، بما في ذلك:

• تحليل مخاطر أمان التحويل الكاذب USDT
• إعادة شحن EOS الوهمية (هجوم الحالة الثابت \ _ فشل) الكشف عن تفاصيل التحذير الأحمر وخطة الإصلاح
• الكشف عن تفاصيل الثغرة الأمنية ورمز إيثريوم "إعادة الشحن الكاذب" وخطة الإصلاح
• تحليل مخاطر زيادة قيمة Bitcoin RBF الزائف

بالإضافة إلى هجمات إعادة الشحن الوهمية العامة هذه ، هناك العديد من أساليب الهجوم الكلاسيكية التي لم نكشف عنها ، بالإضافة إلى بعض أساليب الهجوم العالمية. على سبيل المثال:

• إعادة شحن وهمية متعددة التوقيع بيتكوين
• تدفع Ripple جزئيًا مقابل عمليات التعبئة الوهمية
• مضاعفة Filecoin تنفق إعادة شحن وهمية
• إعادة شحن كاذبة TON انتعاش

إذا كنت تريد معرفة المزيد من التفاصيل ، فيُرجى الاتصال بنا لإجراء مناقشة متعمقة.

** تحليل الحالة: TON Rebound False Recharge **

تواجه جميع سلاسل الكتل تقريبًا مشكلة إعادة الشحن الخاطئة ، ولكن من السهل تجنب بعض الهجمات ، بينما يتطلب البعض الآخر بحثًا متعمقًا حول خصائص blockchain لتجنبها.

بأخذ الزيادة الزائفة لـ TON كمثال ، سنوضح لك كيف يستخدم المهاجمون الماكرة خصائص TON لمهاجمة التبادلات.

TON (الشبكة المفتوحة) هو مشروع blockchain بدأه برنامج الاتصالات المعروف Telegram ، والذي يدعم نشر العقود الذكية على حسابات المستخدمين.

عندما يقوم التبادل بإعادة شحن TON ، وفقًا للطريقة الموضحة سابقًا ، فإنه سيُنشئ أولاً عنوان إعادة شحن للمستخدم ، ثم يقوم المستخدم بنقل الأصول إلى عنوان إعادة الشحن ، ثم تأكيد الإدخال أخيرًا.

كيف تتحقق البورصة من أن المعاملة تخص مستخدميها؟ دعنا نتحقق من النقل العادي من خلال واجهة RPC:

عادةً ما يقرر التبادل ما إذا كانت الوجهة في \ _msg هي عنوان إعادة شحن المستخدم ، وإذا كان الأمر كذلك ، فقم بتحويل قيمة المبلغ وفقًا للدقة وإضافتها إلى المستخدم. لكن هل هي آمنة؟

تتميز معاملات TON بميزة مفادها أن جميع الرسائل الداخلية المرسلة بين العقود الذكية يجب أن تكون قابلة للارتداد ، أي أنه يجب تعيين علامة الارتداد الخاصة بها. وبهذه الطريقة ، إذا لم يكن العقد الذكي المستهدف موجودًا ، أو تم طرح استثناء غير معالج أثناء معالجة الرسالة ، فسيتم "ارتداد" الرسالة مع القيمة الأصلية للرصيد (مطروحًا منها جميع عمليات نقل الرسائل ورسوم الغاز).

بمعنى آخر ، إذا قام مهاجم ضار بتحويل أموال إلى حساب لم ينشر عقدًا عن طريق تعيين علامة الارتداد ، فسيتم إرجاع مبلغ إعادة الشحن إلى الحساب الأصلي بعد خصم رسوم المناولة. اكتشفت البورصة سجل إعادة شحن المستخدم ، لكنها لم تتوقع أن تعود العملة المعاد شحنها و "ترتد" إلى حساب المهاجم.

لنلق نظرة على هذه المعاملة ، مقارنة بالمعاملة العادية ، يمكننا أن نجد أن هناك إخراجًا إضافيًا \ _msg. هذا out \ _msg هو العملية التي يتم فيها ارتداد الأموال إلى الحساب الأصلي.

إذا كان التبادل يسجل فقط \ _msg ، فسوف يدخل عن طريق الخطأ حساب المهاجم ، مما يؤدي إلى فقدان أصول النظام الأساسي.

** أفضل الممارسات لمنع هجمات إعادة الشحن الزائفة **

بعض الاستراتيجيات الأساسية لمنع هجمات التعبئة الوهمية هي:

** 1. آلية التأكيد المتعددة: ** حدد متطلبات تأكيد متعددة لإعادة الشحن للتأكد من أن المعاملة تعتبر صالحة فقط بعد تأكيدها بشكل كافٍ على blockchain. يجب تعيين عدد التأكيدات وفقًا لأمن الأصول الرقمية المختلفة وسرعة تأكيد blockchain ؛

** 2. مطابقة المعاملات الصارمة: ** عند فحص معاملات المستخدم من الكتلة ، يمكن فقط ضبط المعاملات التي تتطابق تمامًا مع وضع التحويل العادي على الحساب ، وأخيرا التحقق من تغيير الرصيد ؛

** 3. نظام التحكم في المخاطر: ** إنشاء نظام سليم للتحكم في المخاطر لرصد واكتشاف أنشطة التداول غير الطبيعية. يمكن للنظام تحديد المخاطر المحتملة والسلوكيات غير الطبيعية من خلال تحليل أنماط إعادة الشحن وتكرار المعاملات وحجم المعاملات وعوامل أخرى ؛

** 4. المراجعة اليدوية: ** بالنسبة للمعاملات الكبيرة أو عالية المخاطر ، سيتم إجراء مراجعة إضافية بواسطة آلية المراجعة اليدوية. يمكن أن تزيد المراجعة اليدوية من مصداقية المعاملات ، واكتشاف المعاملات غير الطبيعية ، ومنع عمليات إعادة الشحن الخبيثة ؛

** 5. أمان واجهة برمجة التطبيقات: ** إجراء المصادقة الأمنية والترخيص على واجهات API الخارجية لتجنب الوصول غير المصرح به وثغرات الضعف المحتملة. مراجعة أمان واجهة API بانتظام ، وإجراء تحديثات وإصلاحات أمنية في الوقت المناسب ؛

** 6. تقييد السحب: ** بعد حدوث إعادة الشحن ، سيتم تقييد سحب المستخدم للأصول المعاد شحنها مؤقتًا. يمكن أن يمنح هذا التبادل وقتًا كافيًا لتأكيد صلاحية إعادة الشحن ومنع هجمات إعادة الشحن الوهمية المحتملة ؛

** 7. التحديث الأمني: ** قم بتحديث برنامج ونظام التبادل في الوقت المناسب لإصلاح الثغرات الأمنية المحتملة. المراقبة المستمرة للحالة الأمنية للبورصة والتعاون مع خبراء أمن الشبكة لإجراء عمليات تدقيق أمنية منتظمة واختبارات الاختراق.

لمنع إعادة الشحن الخاطئة لبلوك تشين محددة ، من الضروري قراءة الوثائق الرسمية لفهم خصائص المعاملة.

** نظام كشف إعادة الشحن الوهمي Badwhale **

طور فريق الأمان SlowMist نظام اختبار إعادة الشحن الوهمي Badwhale في ممارسة هجومية ودفاعية طويلة المدى ، والتي تم تطويرها خصيصًا لمنصة إدارة الأصول الرقمية. تم تصميم النظام لمساعدتهم على اكتشاف وتقييم قدرتهم على منع هجمات زيادة الرصيد الوهمية وتحسين آليات الدفاع الخاصة بهم لضمان أمان أصول المستخدم وموثوقية منصات إدارة الأصول الرقمية.

يعد Badwhale نظامًا تجاريًا حصريًا تم تطويره بواسطة فريق أمان SlowMist لسنوات عديدة. لقد كان يخدم عشرات المنصات لسنوات عديدة وتجنب مخاطر زيادة قيمة الأصول الزائفة التي تقدر بمليارات الدولارات.

خاصية مميزة:

** 1. محاكاة هجمات إعادة الشحن الوهمية: ** يمكن لـ Badwhale محاكاة أنواع مختلفة من هجمات إعادة الشحن الوهمية ، وإرسال طلبات إعادة الشحن الزائفة تلقائيًا إلى منصة إدارة الأصول الرقمية المختبرة. يساعد ذلك في تقييم نقاط الضعف في منصة إدارة الأصول الرقمية واكتشاف نقاط الضعف المحتملة والمخاطر الأمنية ؛

** 2. سيناريوهات الاختبار المتنوعة: ** يوفر النظام مجموعة متنوعة من سيناريوهات الاختبار وأوضاع الهجوم ، والتي يمكنها اختبار دفاع إعادة الشحن المزيف لمنصة إدارة الأصول الرقمية بشكل شامل وفقًا للوضع الفعلي ؛

** 3. قابلية كبيرة للتطوير: ** تم تصميم Badwhale كنظام اختبار قابل للتطوير بدرجة كبيرة يدعم الاختبار لمختلف أنظمة إدارة الأصول الرقمية ومنصات blockchain ، ويمكنه التكيف بمرونة مع احتياجات هياكل الأنظمة والبيئات التقنية المختلفة.

يدعم Badwhale حاليًا مئات السلاسل العامة وعشرات الآلاف من الرموز المميزة لاختبارات إعادة الشحن الوهمية ، بما في ذلك:

• عائلات البيتكوين (BTC / LTC / DOGE / QTUM ...)
• بيتكوين كاش
• عائلات Ethereum

(ETH / BSC / HECO / RON / CFX-evm / FIL-evm / AVAX-evm / FTM-evm / RSK / GNO / MOVR-evm / GLMR-evm / KLAY / FSN / CELO / CANTO / EGLD / AURORA-evm / TLC / WEMIX / CORE / VS / WAN / KCCL / OKX ...)

• رموز ERC20 (USDT ...)
• Ethereum L2 (ARB / OP / METIS ...)
• مضلع
• الرموز المضلعة
• عائلات كوزموس (ATOM / LUNA / KAVA / IRIS / OSMO ...)
• عائلات EOS ورموز EOS (EOS / WAX / XPR / FIO / TLOS ...)
• تموج
• تدفق
• ملائم
• سولانا
• رموز Solana SPL
• مصب
• عائلات Polka dot (DOT / ASTR / PARA / MOVR / GLMR ...)
• ترون
• Filecoin
• طن
• مِلكِي
• سوي
• الترتيب الترتيبي (ORDI ...)
• ...

بمساعدة وظائف Badwhale القوية ، يمكن لمنصة إدارة الأصول الرقمية إجراء اختبار دفاع شامل وهمي لإعادة الشحن لفهم أدائها في مواجهة هجمات إعادة الشحن الوهمية ، وتحسين آلية الدفاع الخاصة بها ، وتحسين أمان أصول المستخدم. سيساعد تقديم Badwhale منصة إدارة الأصول الرقمية على تعزيز الحماية الأمنية ، وتحسين القدرة على مقاومة هجمات إعادة الشحن الوهمية ، وضمان موثوقية معاملات الأصول الرقمية وثقة المستخدم.

خاتمة

من خلال البحث المتعمق حول الأساليب المتطورة لهجمات إعادة الشحن الوهمية ، يمكننا أن نفهم بشكل أفضل أهمية منصات إدارة الأصول الرقمية في حماية أصول المستخدم والحفاظ على الأمن. فقط من خلال تعزيز تدابير الدفاع الأمني ، والمراقبة المستمرة لنقاط الضعف واتخاذ الإجراءات المضادة المناسبة ، يمكن لمنصة إدارة الأصول الرقمية التعامل بفعالية مع هجمات زيادة الرصيد الوهمية والتهديدات الأمنية الأخرى ، وضمان مصداقية وموثوقية معاملات الأصول الرقمية.