أعلنت AFX أنها أعدت خطة "حسن نية" للمستخدمين المتأثرين بالاستغلال الذي تعرض له جسرها بقيمة 24.15 مليون دولار الأسبوع الماضي، ومن المقرر الإعلان عن مقترح الاسترداد في 3 أغسطس.
وفقًا لإعلان شاركته AFX، يقوم بروتوكول المشتقات اللامركزية بوضع اللمسات الأخيرة على خطة "حسن نية" بعد الحادث الأمني الذي وقع في 22 يوليو وسينشر التفاصيل يوم الاثنين، 3 أغسطس. وقال الفريق إن المستثمرين والموظفين والداعمين الأوائل قد تأثروا جميعًا بالهجوم وطلب من المجتمع التحلي بالصبر بينما يكمل الاقتراح النهائي.
يأتي هذا التحديث بعد أن أكملت AFX تحقيقها الفني في الاستغلال، والذي أدى إلى سرقة حوالي 24.15 مليون دولار أمريكي من جسر حضانة تشغله AFX. لم يكشف البروتوكول بعد عن كيفية تنظيم التعويض أو الاسترداد، لكنه قال إن إعلانه القادم سيركز على خطة "حسن النية".
أكدت التصريحات العامة السابقة أن الاستغلال استهدف البنية التحتية التي تديرها AFX بدلاً من جسر Arbitrum الأصلي. في ذلك الوقت، حققت شركة أمان البلوكشين Blockaid وفريق Arbitrum في الحادث، بينما قال ستيفن غولدفيدر، المؤسس المشارك لـ Offchain Labs، إن المعاملة المشبوهة نشأت من بروتوكول طرف ثالث بدلاً من جسر Arbitrum الأساسي.
في تقرير مفصل صدر بعد الحادث، قالت AFX إن الاختراق نشأ عن حملة هندسة اجتماعية ضد أحد مطوريها بدلاً من وجود ثغرة أمنية في عقودها الذكية أو بنيتها التحتية للبلوكشين. ووفقًا للبروتوكول، انتحل المهاجم صفة مجند من شركة تسمى Oddium Lab في 9 يوليو وأقنع المطور بنسخ ما بدا وكأنه مستودع برامج شرعي.
قالت AFX إن المستودع احتوى على تهيئة Git خبيثة نفذت حمولة مخفية أثناء سير عمل Git روتيني، مما منح المهاجم موطئ قدم أولي داخل محطة عمل المطور. باستخدام الجهاز المخترق، وسع المهاجم الوصول تدريجيًا عبر أنظمة التطوير الداخلية قبل تنزيل الشفرة المصدر للمشروع بعد عدة أيام.
ذكر التحقيق أن المهاجم قام لاحقًا بتحميل إضافة Groovy خبيثة إلى مستودع JFrog للبروتوكول، مما أدى إلى الحصول على تنفيذ تعليمات برمجية عن بعد داخل بيئة تسليم البرامج. ووفقًا لـ AFX، تم التعامل مع أحداث نفاد الذاكرة المتكررة على خادم JFrog في البداية كمشاكل تشغيلية بمساعدة البائع، مما سمح للإضافة الخبيثة بالبقاء على قيد الحياة بعد عدة إعادة تشغيل دون إطلاق استجابة أمنية.
كشف التحليل الجنائي لاحقًا أن المهاجم استبدل ملفات النظام الثنائية بإصدارات "حصان طروادة"، وحقن مكتبات مشتركة خبيثة، وحاول محو سجلات الأمان قبل تعطل أجزاء من البرمجيات الخبيثة. التقطت سجلات SELinux حركة مرور الأوامر والتحكم الصادرة، وتنفيذ الأوامر، وتنفيذ التعليمات البرمجية في الذاكرة، والتي أصبحت أدلة مهمة خلال التحقيق، وفقًا للتقرير.
قال البروتوكول إن المهاجم انتقل في النهاية من بيئة التطوير المخترقة إلى بنيته التحتية التشغيلية باستخدام خدمة إدارة داخلية قائمة على Ansible والتي كانت تتمتع بالفعل بوصول مميز إلى عقد المدققين. بدلاً من سرقة بيانات اعتماد جديدة أو استغلال خدمة خارجية، استخدم المهاجم علاقات الثقة القائمة لنشر حمولات خبيثة عبر مجموعة فرعية من المدققين.
قالت AFX إن عقد المدققين المصابة قامت بتنزيل حمولة من المرحلة الثانية من خادم بعيد قبل التدخل في معالجة رسائل الإجماع. في الساعة 9:27 مساءً بالتوقيت العالمي المنسق في 22 يوليو، وقع المدققون المتأثرون على معاملة جسر أدت إلى تحويل حوالي 24.15 مليون دولار أمريكي من جسر الحضانة الذي تديره AFX.
قال البروتوكول إن تحقيقاته لم تجد أي دليل على أن شبكة Arbitrum أو جسر Arbitrum الأصلي قد تم اختراقهما. بقي الهجوم محصوراً في البنية التحتية التي تديرها AFX، وهو ما يتطابق مع التصريحات الصادرة سابقًا عن Offchain Labs و Blockaid خلال الاستجابة الأولية.
تتبع المحققون على السلسلة لاحقًا عملات USDC المسروقة بعد انتقالها من Arbitrum إلى Ethereum، حيث تم تحويل العائدات إلى ما يقرب من 12,467 إيثريوم. في وقت التحقيق الأولي، لم تؤكد أي تقارير عامة استرداد أي جزء من الأصول المسروقة.
وفقًا لـ AFX، أظهر الحادث أن هجمات سلسلة توريد البرمجيات يمكن أن تتجاوز أمان البلوكشين دون استغلال العقود الذكية مباشرة. وخلص البروتوكول إلى أن الهجوم اعتمد على أدوات تطوير موثوقة، وأنظمة نشر داخلية، وبنية تحتية للمدققين بدلاً من نقاط الضعف في الكود على السلسلة.
ذكر التقرير أن البروتوكول أعاد بناء البنية التحتية المتأثرة، وقام بتدوير بيانات الاعتماد التشغيلية، وزاد من حساسية المراقبة، ونقل أنظمة الإنتاج إلى بيئة أكثر عزلة مع تقسيم "الصفر ثقة". يشمل العمل الإضافي المخطط له خلال الأشهر القادمة مراقبة سلوكية أقوى، ومراجعات أمنية إلزامية قبل إعادة تشغيل خدمات الإنتاج، وتوسيع تمارين البحث عن التهديدات، وتدريب الموظفين ضد هجمات الهندسة الاجتماعية.
بناءً على الأدلة الجنائية، وتقنيات الهجوم والبنية التحتية التي لوحظت خلال التحقيق، قالت AFX إن نتائجها تتوافق مع الإسناد المستقل الذي يربط الحادث بـ UNC4899، المعروف أيضًا باسم TraderTraitor، وهي مجموعة تهديد مرتبطة بكوريا الديمقراطية وتتبعها Mandiant، وMicrosoft Threat Intelligence، ومكتب التحقيقات الفيدرالي (FBI)، وCISA. وقال البروتوكول إنه يواصل العمل مع شركاء أمنيين خارجيين لتتبع الأصول المسروقة ودعم جهود الاستجابة المستمرة.
تضيف أحدث النتائج إلى سلسلة من الحوادث التي خلصت فيها البروتوكولات إلى أن المهاجمين اخترقوا البنية التحتية الداعمة بدلاً من استغلال الثغرات في العقود الذكية.
في 30 يوليو، قالت Ostium إن تحقيقها في استغلال منفصل بقيمة 23.75 مليون دولار أمريكي من عملات USDC وجد أن الوصول غير المصرح به إلى البنية التحتية خارج السلسلة سمح لتقارير أسعار BTC-USD الاحتيالية بسحب الأموال من خزينة السيولة الخاصة بها، بينما ظلت عقودها الذكية ومحافظ التوقيعات المتعددة للحوكمة سليمة.
في وقت سابق من هذا الشهر، كشفت شركة Triple-A، وهي شركة مدفوعات العملات المستقرة ومقرها سنغافورة، أيضًا عن وصول غير مصرح به إلى محافظ الخزانة التي تحتفظ بالأصول الرقمية المملوكة للشركة، على الرغم من أنها قالت إن أموال العملاء وعمليات الدفع لم تتأثر.
