قالت بينانس في 18 أغسطس إن فريقها الأمني ساعد في وقف اقتراح حوكمة ضار كان من الممكن أن يعرض ما يقرب من 1.2 مليون دولار من الرموز من خزانة منظمة لا مركزية مستقلة غير مسماة للخطر.
قالت بورصة العملات المشفرة إن أنظمة المراقبة الخاصة بها تعرفت بشكل مستقل على الاقتراح قبل أقل من 48 ساعة من تنفيذه. ثم تواصلت بينانس مع المشروع ونسقت مع البورصات المركزية الأخرى لإغلاق عمليات الإيداع للرمز المتأثر.
صوت المشروع ضد الاقتراح قبل أن يتمكن من التنفيذ، وفقًا للبيان المنشور من بينانس. وقالت الشركة إنه لم تُفقد أي أموال.
قالت البورصة إن المهاجم حاول استغلال نقطة ضعف في آلية الحوكمة على السلسلة الخاصة بالمشروع. وكانت العتبة لإنشاء اقتراح منخفضة بما يكفي للسماح للمهاجم بتجاوز متطلبات البروتوكول المقصودة.
لم تشرح الشركة ما هي تلك المتطلبات أو كيف كان الاقتراح سيصل إلى الخزانة. ولم تكشف أيضًا عما إذا كان المهاجم قد جمع رموز الحوكمة، أو اقترض قوة تصويت، أو أخفى تعليمات ضارة داخل رمز قابل للتنفيذ.
تسمح أنظمة الحوكمة لحاملي الرموز بالتصويت على إنفاق الخزانة والترقيات وإعدادات البروتوكول. وقد يكتسب المهاجم السيطرة عندما تكون عتبات الاقتراح منخفضة، أو تكون مشاركة التصويت ضعيفة، أو تكون تأخيرات التنفيذ قصيرة جدًا بحيث لا يستطيع المندوبون الاستجابة.
وفرت عملية التصويت في المنظمة اللامركزية المستقلة (DAO) المتأثرة وقتًا كافيًا للتدخل، لكن بينانس قالت إنه لم يتبق سوى أقل من يومين. ولم تكشف البورصة عن موعد تقديم الاقتراح أو الموعد النهائي الدقيق للتنفيذ.
بعد تحديد الاقتراح، تواصلت بينانس مع المشروع والبورصات الأخرى التي تدرج رمزه. وأغلقت تلك المنصات عمليات الإيداع كإجراء احترازي في حال تمرير الاقتراح ومحاولة المهاجم نقل رموز الخزانة عبر المنصات المركزية.
لم تكن إغلاقات الإيداع لتوقف الاقتراح الضار نفسه. بل كانت ستقيد مسارًا محتملاً واحدًا لبيع أو تحويل أو غسل الرموز المخترقة بعد التنفيذ.
صوت مجتمع المشروع في النهاية ضد الاقتراح. ولم تقل بينانس عدد الأصوات التي رفضته، أو ما إذا كان المندوبون قد غيروا مواقفهم السابقة، أو ما إذا كان مسؤولو المشروع قد استخدموا سلطة الطوارئ.
قال جيمي سو، رئيس الأمن في بينانس، إن فريقه اكتشف تهديدًا "لم يقم أي مزود أمان خارجي بالإبلاغ عنه". ولم يتلق هذا البيان تأكيدًا من المشروع المجهول أو شركات الأمن المستقلة.
لم تحدد البورصة المشروع، أو الرمز المتأثر، أو منصة الحوكمة، أو البورصات المتعاونة. كما أنها لم تنشر معرف الاقتراح، أو عنوان العقد، أو سجل التصويت، أو معاملات البلوكتشين ذات الصلة.
تمنع هذه الإغفالات التحقق المستقل من خطر التعرض لـ 1.2 مليون دولار والجدول الزمني للتدخل. وبالتالي، يجب التعامل مع هذا الرقم على أنه تقدير من بينانس بدلاً من مبلغ خسارة محدد بشكل مستقل.
علاوة على ذلك، لم يكن هناك رد فعل سوقي يمكن تحديده لأن الأصل المتأثر لا يزال غير معلن. ولم يتم نقل أي أموال بموجب الاقتراح، مما يعني أن الحالة تمثل محاولة هجوم بدلاً من سرقة خزينة مكتملة.
تأتي هذه الحادثة بعد هجمات أخرى استخدمت عمليات الحوكمة للوصول إلى أصول البروتوكول. وكما ذكرت crypto.news سابقًا، فقد استنزف المهاجمون ما يقرب من 20 مليون دولار من BonkDAO من خلال اقتراح ضار في يوليو.
في حالة أخرى، أظهرت المخاوف بشأن قوة التصويت المشتراة التي تؤثر على قرارات المنظمات اللامركزية المستقلة (DAO) كيف يمكن للمشاركة المنخفضة والأصوات المفوضة أن تضعف حماية الحوكمة دون استغلال رمز العقد.
سيحتاج المشروع إلى تغيير القواعد التي سمحت للاقتراح بالوصول إلى التصويت. قد تشمل الضوابط الممكنة عتبات تقديم أعلى، وأقفال زمنية أطول، ومتطلبات النصاب القانوني، ومراجعات مستقلة للاقتراحات القابلة للتنفيذ.
يمكن لسلطة الإلغاء الطارئة أيضًا إيقاف الإجراءات الضارة، على الرغم من أنها تقدم تحكمًا مركزيًا. يجب على المشاريع الموازنة بين التدخل السريع ونموذج الحوكمة الموعود لحاملي الرموز.
لم تقل البورصة ما إذا كان المشروع المتأثر قد أتم هذه التغييرات. كما أنها لم تعلن عن خطط لنشر المزيد من التفاصيل الفنية أو تحديد المشروع بعد زوال الخطر الفوري.
سيسمح تحليل عام بعد الوفاة للمستخدمين بتأكيد التصويت، وفهم الثغرة الأمنية، وتقييم ما إذا كان نفس المسار لا يزال مفتوحًا. وحتى ذلك الحين، يظل التدخل الناجح وخطر التعرض لـ 1.2 مليون دولار مبنيين بشكل أساسي على رواية بينانس.
