تعرضت منصة Poolz لهجوم، مما أدى إلى خسائر تقارب 66.5 ألف دولار أمريكي

في 15 مارس في الساعات الأولى من الصباح، تعرضت منصة Poolz على شبكة Ethereum و Binance Smart Chain و Polygon لهجوم من قراصنة. ووفقًا لمراقبة منصة البيانات، أدى هذا الهجوم إلى سرقة عدة رموز، بما في ذلك MEE و ESNC و DON و ASW و KMON و POOLZ، بقيمة إجمالية تبلغ حوالي 665,000 دولار.

استغل المهاجمون ثغرة تدفق حسابي في عقد منصة Poolz الذكي. وبالتحديد، كانت المشكلة في دالة getArraySum ضمن دالة CreateMassPools. لم تعالج هذه الدالة بشكل صحيح حالات التدفق التي قد تنشأ عند جمع الأعداد الكبيرة أثناء حساب السيولة الأولية للمستخدم عند إنشاء المسابح بشكل جماعي.

عملية الهجوم كما يلي:

1. قام المهاجم أولاً بتبادل بعض رموز MNZ في منصة مركزية معينة.

2. بعد ذلك، تم استدعاء دالة CreateMassPools، مع تمرير معلمات مصممة بعناية، مما أدى إلى تجاوز قيمة إرجاع دالة getArraySum. وهذا أدى إلى تسجيل النظام لعدد السيولة أكبر بكثير من عدد الرموز الفعلي المدخل.

3. أخيرًا، قام المهاجم بسحب رموز تفوق بكثير الكمية التي أودعها فعليًا من خلال وظيفة withdraw، مما أكمل الهجوم.

تسلط هذه الحادثة الضوء مرة أخرى على أهمية التعامل الصحيح مع العمليات العددية في تطوير العقود الذكية. لمنع حدوث مشكلات مشابهة، ينبغي على المطورين النظر في استخدام إصدارات أحدث من مجمع Solidity، التي تحتوي على آلية للتحقق من الفيض. بالنسبة للمشاريع التي تستخدم إصدارات قديمة من Solidity، يمكن استخدام مكتبات أمان طرف ثالث للوقاية من مخاطر الفيض العددي.

حتى الآن، لم يتم نقل الأموال المسروقة بالكامل، وقد تم تحويل جزء منها إلى BNB. الأطراف المعنية تقوم بإجراء المزيد من التحقيقات والتعقب. تذكر هذه الحادثة مشاريع DeFi بضرورة إيلاء المزيد من الاهتمام لأمان العقود الذكية، وإجراء تدقيق دوري للكود، واتخاذ التدابير الأمنية اللازمة لحماية أصول المستخدمين.