المشروع الذي اشتراه الأخ مجي بالكثير من المال تم اختراقه؟ تحليل أحداث هجوم بروتوكول جيمبوس

في 28 مايو 2023 ، وفقًا لمنصة Beosin-Eagle Eye للتوعية بالأوضاع ، تم اختراق عقد JimboController لبروتوكول Jimbos ، وحقق المتسلل ربحًا بنحو 7.5 مليون دولار أمريكي.

وفقًا للموقع الرسمي ، فإن بروتوكول Jimbos هو بروتوكول تجريبي تم نشره على Arbitrum "السيولة المركزية المستجيبة". ويهدف الرمز المميز $ JIMBO الذي أطلقه بروتوكول Jimbos إلى إعادة توازن السيولة بشكل دوري في بروتوكول Jimbos في ظل ظروف مختلفة لتحسين كفاءة استخدام رأس المال.

هوانغ ليتشنغ ، شقيق ماجي الذي نعرفه ، أنفق ملايين الدولارات لشراء الرموز المميزة لهذا المشروع قبل أيام قليلة. بعد الهجوم ، تراجعت الرموز ذات الصلة أيضًا. لا أعرف كيف يشعر الأخ ماجي الآن.

قام فريق الأمن في Beosin بتحليل الحادث في أقرب وقت ممكن ، والآن شاركوا نتائج التحليل على النحو التالي.

المعلومات المتعلقة بالحدث

هجوم الصفقة

0x44a0f5650a038ab522087c02f734b80e6c748afb207995e757ed67ca037a5eda (واحد منهم)

عنوان المهاجم

0x102be4bccc2696c35fd5f5bfe54c1dfba416a741

عقد الهجوم

0xd4002233b59f7edd726fc6f14303980841306973

عقد مهاجم

0x271944d9D8CA831F7c0dBCb20C4ee482376d6DE7

عملية الهجوم

هناك معاملات متعددة في هذا الهجوم ، ونستخدم إحداها للتحليل.

1. يقرض المهاجم أولاً 10،000 WETH في قرض سريع.

[هل تم اختراق المشروع الذي اشتراه الأخ ماجي بأموال كثيرة ؟! تحليل حدث هجوم بروتوكول جيمبوس] (https://img.gateio.im/social/moments-69a80767fe-567b729fc8-dd1a6f-e5a980)

2. يستخدم المهاجم بعد ذلك كمية كبيرة من WETH لتبادل رموز JIMBO لرفع سعر JIMBO.

[هل تم اختراق المشروع الذي اشتراه الأخ ماجي بأموال كثيرة ؟! تحليل أحداث هجوم بروتوكول جيمبوس] (https://img.gateio.im/social/moments-69a80767fe-2801aeccae-dd1a6f-e5a980)

3. ثم قام المهاجم بتحويل 100 من رموز JIMBO المميزة إلى عقد JimboController استعدادًا للإضافة اللاحقة للسيولة (نظرًا لارتفاع سعر JIMBO ، هناك حاجة إلى كمية صغيرة فقط من رموز JIMBO المميزة لإضافة السيولة).

[المشروع الذي اشتراه الأخ ماجي بالكثير من المال تم اختراقه ؟! تحليل أحداث هجوم بروتوكول جيمبوس] (https://img.gateio.im/social/moments-69a80767fe-8e448b5f79-dd1a6f-e5a980)

4. ثم يقوم المهاجم باستدعاء وظيفة التحول ، والتي ستزيل السيولة الأصلية وتضيف سيولة جديدة. استدعاء وظيفة التحول سوف يأخذ أموال العقد لإضافة السيولة ، بحيث تتم إضافة كل WETH من عقد JimboController إلى السيولة.

[هل تم اختراق المشروع الذي اشتراه الأخ ماجي بأموال كثيرة ؟! تحليل أحداث هجوم بروتوكول جيمبوس] (https://img.gateio.im/social/moments-69a80767fe-a539e87f10-dd1a6f-e5a980)

[هل تم اختراق المشروع الذي اشتراه الأخ ماجي بأموال كثيرة ؟! تحليل أحداث هجوم بروتوكول جيمبوس] (https://img.gateio.im/social/moments-69a80767fe-5c125a9f48-dd1a6f-e5a980)

5. في هذا الوقت ، بسبب إضافة السيولة في حالة غير متوازنة (عند إضافة السيولة ، ستعتمد على السعر الحالي كأساس لحساب عدد الرموز المطلوبة ، وهو ما يعادل استخدام عقد لتلقي الطلبات) ، حتى يتمكن المهاجم من الحصول على المزيد من WETH ، قام المهاجم أخيرًا بتحويل JIMBO إلى WETH لإكمال الربح.

[هل تم اختراق المشروع الذي اشتراه الأخ ماجي بأموال كثيرة ؟! تحليل أحداث هجوم بروتوكول جيمبوس] (https://img.gateio.im/social/moments-69a80767fe-907eb615cd-dd1a6f-e5a980)

تحليل الضعف

يستفيد هذا الهجوم بشكل أساسي من الثغرة الأمنية في عقد JimboController ، والذي يسمح لأي شخص باستخدام وظيفة التحول لجعل العقد يقوم بإزالة وإضافة عمليات السيولة ، مما يجعله عملية استحواذ عالية المستوى.

[هل تم اختراق المشروع الذي اشتراه الأخ ماجي بأموال كثيرة ؟! تحليل أحداث هجوم بروتوكول جيمبوس] (https://img.gateio.im/social/moments-69a80767fe-29867b62cb-dd1a6f-e5a980)

تتبع الأموال

حتى وقت كتابة هذا التقرير ، لم يتم تحويل الأموال المسروقة من قبل المهاجم ، ولا يزال 4048 ETH في عنوان الهجوم:

(

[هل تم اختراق المشروع الذي اشتراه الأخ ماجي بأموال كثيرة ؟! تحليل أحداث هجوم بروتوكول جيمبوس] (https://img.gateio.im/social/moments-69a80767fe-bb95b97984-dd1a6f-e5a980)

لخص

ردًا على هذا الحادث ، اقترح فريق Beosin الأمني أنه: أثناء تطوير العقد ، يجب تجنب الاستثمار في العقد عن طريق التلاعب الخارجي ؛ قبل بدء المشروع ، يوصى باختيار شركة تدقيق أمني محترفة لإجراء تدقيق أمني شامل لتجنب المخاطر الأمنية.