بریج میان‌زنجیره‌ای شبکه اتریوم متعلق به پروتکل انکر (Ankr) هدف اکسپلویت قرار گرفت و مهاجم طی پنج تراکنش غیرمجاز، موفق به تخلیه بیش از ۳۰۳ هزار دلار دارایی دیجیتال شد. این رخنه امنیتی تردیدهای جدی درباره فرآیند اعتبارسنجی تراکنش‌ها در این پل ارتباطی ایجاد کرده است.
شرکت امنیت بلاکچین Blockaid نخستین نهادی بود که این حادثه را گزارش داد. بررسی‌ها نشان می‌دهد نفوذگر با استناد به یک واریز ناچیز در شبکه لایه دوم آپتیمیزم (Optimism)، موجودی قفل‌شده در قرارداد بریج اتریوم انکر را به آدرس جدیدی منتقل کرده است. پلتفرم تحلیل آن‌چین Onchain Lens نیز گزارش مشابهی درباره این تراکنش‌های مشکوک منتشر کرد.
جزییات توکن‌های سرقت‌شده
حمله یادشده طی سه دقیقه انجام شد و مهاجم ترکیبی از توکن‌های حاکمیتی و مشتقات استیکینگ لیکویید را به یک کیف‌پول انتقال داد. طبق سوابق زنجیره‌ای، ۸۲.۹۱ واحد ankrETH به ارزش تقریبی ۲۱۶,۳۷۰ دلار بیشترین سهم ضرر را تشکیل می‌دهد. همچنین ۵۱۵,۲۰۶ واحد ankrPOL به ارزش ۵۶,۳۷۲ دلار و نزدیک به ۷.۹۸ میلیون توکن ANKR به ارزش ۳۰,۸۵۷ دلار به سرقت رفته است.
علاوه بر این مبالغ، مقادیری از دو دارایی aMATICb و aETHb نیز جابهجا شده‌اند که به‌دلیل در دسترس نبودن قیمت لحظه‌ای در زمان ارزیابی، در محاسبه اولیه خسارت ۳۰۳ هزار دلاری لحاظ نشده‌اند. اطلاعات زنجیره‌ای نشان داد با وجود خروج دارایی‌ها، متوقف‌کننده عمومی قرارداد (Pause Flag) همچنان غیرفعال بوده است.
شیوه اجرای حمله و نقص فنی بریج
محور این حمله، یک تراکنش واریز به مبلغ اندک ۰.۰۰۴۴ واحد ankrETH در شبکه آپتیمیزم بود که پیش‌تر در تاریخ ۳ نوامبر انجام و تسویه شده بود. مهاجم با ویرایش اطلاعات رسید (Receipt) شامل تغییر آدرس دریافت‌کننده، مبالغ بالاتر و انتخاب دارایی‌های متفاوت، همان واریز قدیمی را مجدداً به سیستم اعتبارسنجی ارائه کرد.
در سازوکار معمول، زیرساخت بک‌اند انکر باید پیش از صدور مجوز آزادسازی توکن‌ها در اتریوم، یکتا بودن و اصالت واریز را احراز کند؛ با این حال بررسی‌های لازم انجام نشد و مجوز نهایی به امضای مجاز سیستم رسید. هنوز مشخص نیست رخنه امنیتی دقیقاً ناشی از سرقت کلید امضاکننده بوده یا ضعفی در لایه اعتبارسنجی رسیدها وجود داشته است.
شرکت انکر هنوز توضیحی پیرامون ابعاد این حادثه و احتمال جبران خسارت ارائه نداده است. با این وجود، شواهدی مبنی بر نقض امنیت خدمات زیرساختی RPC یا دارایی کاربران در سایر سرویس‌های این پلتفرم مشاهده نمی‌شود.
