هک ۱۲ وب‌سایت دیفای؛ سرقت حدود ۱۳۸ هزار دلار از کاربران

به گزارش بازار، دامنه تمامی این وب سایت ها در Neem.com (Name.com) ثبت شده است. با این حال، منبع دقیق نفوذ هنوز مشخص نیست و برخی پروژه‌ها شرکت زیرساخت ابری Vercel را مقصر می‌دانند.

این حمله از ساعات اولیه روز شنبه به وقت تهران آغاز شد و شامل پروژه هایی مانند فلپ، کینتسو، پیکل فاینانس و اوریگامی فایننس بود. چک های زنجیره ای حاکی از انتقال حدود 138000 دلار به سه کیف پول مرتبط با مهاجمان است.

سرقت از کاربران با ابزار تخلیه کیف پول

شرکت امنیتی Blockaid اعلام کرد که وب سایت های مورد نظر به بدافزار Step Drainer آلوده شده اند. این ابزار کاربران را فریب می دهد تا درخواست هایی را تأیید کنند که امکان انتقال دارایی ها را پس از اتصال کیف پول فراهم می کند. بنابراین کاربران با وارد کردن آدرس آشنای پروژه و تایید درخواست مخرب در معرض سرقت قرار گرفتند.

Step Drainer به عنوان یک سرویس آماده در اختیار مهاجمان قرار می گیرد. طبق گزارش قبلی شرکت امنیتی Lol Blue Spiderlabs، کد کامل این ابزار حدود 750 دلار به فروش رسیده است. نسخه ارزان‌تر آن ۱۵۰ دلار قیمت دارد که از سوی دیگر ۲۰ درصد از دارایی‌های سرقت شده را به سازندگان اختصاص می‌دهد.

صبح روز شنبه 10 دامنه تحت تأثیر تقریباً به طور همزمان در سطح ثبت کننده تعلیق شدند. این اقدام دسترسی عادی کاربران به وب سایت ها را متوقف کرد. Pickle Finance، Origami، Fluxbeam، Ashlon، Stonekfan و Stickpoint از جمله پروژه های این لیست بودند. اما دامنه های Flap و Kintsu تا زمان انتشار گزارش هنوز فعال بودند.

آسیب واقعی ممکن است بیشتر باشد

تحقیقات DeBlock نشان می دهد که وجوه سرقت شده بین سه کیف پول با نسبت های ثابت 15، 55 و 30 درصد تقسیم شده است. این الگو در شبکه های BNB چین، اتریوم، رابینهود چین و موناد مشاهده شده است. تنها در BNB چین، حداقل چهار کیف پول حدود 3.1 واحد BNB به ارزش تقریبی 2200 دلار به آدرس مرتبط با مهاجمان ارسال کردند.

مهاجمان در موناد، توکن های سهام کینتسو را بازخرید کردند و دارایی ها را از پروتکل وام نورلند خارج کردند. در رابین هود چین، سهام توکن شده انویدیا و اپل از پروتکل Morpho حذف و به اتریوم تبدیل شد. موجودی کل سه کیف پول تا اواخر صبح شنبه حدود 138000 دلار بود که عمدتاً از MON و Ethereum در رابین هود چین تشکیل شده است.

این تخمین فقط شبکه های سازگار با ماشین مجازی اتریوم را پوشش می دهد. Fluxbeam، Stonekfan و Stickpoint در Solana و Ashlon در Aptos فعالیت می کنند. بنابراین خسارت احتمالی کاربران این شبکه ها در شکل اعلام شده محاسبه نشده است.

ابهام در مورد نقش Neem Dotcom و Worsel

اگرچه همه دامنه ها با Neem.com ثبت شده اند، ارائه دهندگان DNS آنها یکسان نیستند. برخی از Cloudflare، برخی از Vercell و برخی از زیرساخت Neem.com استفاده می کردند. به همین دلیل، هنوز مشخص نیست که مهاجمان مستقیماً به ثبت کننده دامنه نفوذ کرده اند یا از طریق یکی از واسطه های سرویس آن.

کینتسو اعلام کرد که این حادثه در سمت ورسل و خارج از کنترل این پروژه اتفاق افتاده است. اوریگامی همچنین از حمله به سرورهای مرتبط با Worsel خبر داد و فعالیت صندوق های خود را تا روشن شدن علت متوقف کرد. ورسل در زمان انتشار این گزارش به صورت علنی نظری نداده بود و Neem.com فقط از خبرنگاران خواست که فرم سوء استفاده را پر کنند.

تعداد قربانیان هنوز مشخص نیست. Fluxbeam و Stonefan گفته اند که هیچ گزارشی مبنی بر آسیب دیدن کاربران ندارند. Kintsu، Origami، Fluxbeam و Stonefan نیز تایید کرده اند که قراردادهای هوشمند آنها دست نخورده باقی مانده است. تحقیقات درباره منشاء نفوذ و میزان نهایی خسارت ادامه دارد.