ضرب توکن یعنی ساخته شدن واحدهای تازهی یک رمزارز. در حالت عادی این کار قانون مشخصی دارد و فقط طبق قواعد خود شبکه انجام میشود. روز چهارشنبه ۱۲ آگوست اما مهاجمی توانست حدود چهار میلیارد توکن ONE شبکه هارمونی را بدون مجوز بسازد، یعنی چیزی نزدیک به یکچهارم کل عرضه. قیمت در واکنش حدود ۲۶ درصد ریخت. نکتهای که این حادثه را از سرقتهای معمول جدا میکند این است که هیچ داراییای از کیف پول کسی برداشته نشد. در ادامه با اسمارت اف ایکس توضیح میدهیم چه اتفاقی افتاد و چرا این نوع حمله خطرناکتر از آن است که به نظر میرسد.
دقیقاً چه اتفاقی افتاد؟
عرضهی ONE پیش از حادثه حدود ۱۵ میلیارد واحد بود. مهاجم با سوءاستفاده از ایرادی در خود شبکه، حدود چهار میلیارد واحد تازه ساخت که عرضه را حدود ۲۶ درصد بزرگتر کرد.
تفاوت مهم با حوادث قبلی همینجاست. در سرقتهای رایج، مهاجم دارایی موجود را از یک پل میانزنجیرهای یا کیف پول بیرون میکشد. اینجا ضرب توکن روی خود بلاکچین انجام شد، یعنی مشکل در سطح پروتکل بود نه در یک قرارداد جانبی.
تیم هارمونی در شبکهی اجتماعی خود حادثه را تأیید کرد و گفت روی یک وصله و گزینههای بازگرداندن زنجیره کار میکند و بهزودی جزئیات بیشتری اعلام خواهد شد. همزمان با صرافیها هماهنگ میکند تا داراییهای مربوط مسدود شوند. تا این لحظه توضیح فنی دربارهی اینکه دقیقاً کدام بخش آسیبپذیر بوده منتشر نشده است.
چرا ضرب توکن با سرقت فرق دارد؟
این تفاوت برای دارندهی رمزارز کاملاً عملی است و ارزش فهمیدن دارد.
در سرقت، موجودی کیف پول شما کم میشود و ضرر مستقیم و قابل شمارش است. در ضرب توکن غیرمجاز، موجودی شما دستنخورده میماند اما تعداد کل واحدها بالا میرود، پس سهم شما از کل شبکه کوچکتر میشود. به این پدیده رقیق شدن میگویند.
نتیجهاش در قیمت دیده میشود. وقتی عرضه ۲۶ درصد بزرگتر شود و تقاضا همان بماند، ارزش هر واحد باید پایین بیاید، و دقیقاً همین اتفاق افتاد. پس ضرری که به دارنده رسید واقعی است، فقط شکلش با سرقت فرق دارد. رابطهی عرضه و ارزش هر واحد در درس توکنومیکس چیست با مثال بررسی شده است.
سومین حادثه این شبکه
| زمان | اتفاق | نوع |
|---|---|---|
| ژوئن ۲۰۲۲ | ۱۰۰ میلیون دلار از پل میانزنجیرهای خارج شد | سرقت دارایی موجود |
| دسامبر ۲۰۲۳ | ۱۴۶٫۳ میلیون توکن از ایراد سیستم استیکینگ ساخته شد | ضرب توکن در مقیاس کوچک |
| آگوست ۲۰۲۶ | حدود ۴ میلیارد توکن روی خود شبکه ضرب شد | ضرب توکن در مقیاس بزرگ |
این سابقه خواندن خبر امروز را عوض میکند. حادثهی دسامبر ۲۰۲۳ هم از جنس ضرب توکن بود، فقط حدود سی برابر کوچکتر. تکرار یک الگو در یک شبکه، برخلاف یک حادثهی منفرد، به سؤال دربارهی فرایند بازبینی کد برمیگردد نه بدشانسی.
بازگرداندن زنجیره یعنی چه؟
یکی از گزینههایی که تیم مطرح کرده بازگرداندن زنجیره است. این یعنی شبکه به وضعیت پیش از حمله برگردانده شود، طوری که انگار آن تراکنشها هرگز اتفاق نیفتادهاند.
مزیتش روشن است: توکنهای ضربشده از بین میروند و مهاجم چیزی به دست نمیآورد. ولی هزینهای هم دارد که در جامعهی رمزارز بحثبرانگیز است. بازگرداندن زنجیره تراکنشهای بعد از حمله را هم پاک میکند، از جمله معاملههای کاملاً بیارتباطی که کاربران عادی انجام دادهاند، و با اصل تغییرناپذیری بلاکچین در تضاد است.
در عمل هر شبکهای که سراغ این گزینه میرود باید بپذیرد که اعتبار «غیرقابل تغییر بودن» خودش را خرج کرده است. مفاهیم پایهی کارکرد بلاکچین در درس ارز دیجیتال چیست توضیح داده شده است.
دارنده رمزارز از این ماجرا چه بردارد؟
اولین درس این است که امنیت یک شبکه فقط به کیف پول شما مربوط نیست. میشود کلید خصوصی را بینقص نگه داشت و باز هم از راه ضرب توکن غیرمجاز ضرر کرد، چون ریسک در سطح پروتکل است نه در سطح کاربر.
دومین درس دربارهی سابقه است. پیش از نگهداری بلندمدت یک توکن، تاریخچهی حوادث امنیتی شبکهاش را ببینید. تکرار یک نوع ایراد در یک پروژه سیگنال جدیتری از یک حادثهی بزرگ ولی یکباره است.
سومین درس هم دربارهی تمرکز است. نگه داشتن بخش بزرگی از سرمایه روی یک شبکهی کوچک، ریسک پروتکل را به کل پرتفوی منتقل میکند. تفاوت مدلهای نگهداری در درس صرافی متمرکز و غیرمتمرکز و روش خواندن دادههای شبکه در درس تحلیل آنچین چیست آمده است.
بقیه بازار چه کرد؟
این حادثه به بازار سرایت نکرد و بیتکوین در محدودهی ۶۳٬۷۰۰ دلار کمی پایین آمد، در حالی که دوجکوین نزدیک ۳ درصد و توکن بایننس حدود ۲ درصد بالا رفتند.
این جدا ماندن منطقی است. مشکل مربوط به یک شبکهی مشخص بود، نه به زیرساخت مشترک بازار. تحلیل روزانهی بیتکوین و بقیهی رمزارزها در بخش تحلیل ارز دیجیتال منتشر میشود.
سوالات متداول
۴ سوالضرب توکن غیرمجاز چطور ممکن میشود؟
از راه ایرادی در کدی که اجازهی ساخت واحد تازه را کنترل میکند. اگر این کنترل درست بسته نشده باشد، مهاجم میتواند تابع ساخت را فراخوانی کند بدون اینکه اختیارش را داشته باشد. مستندات فنی و کد باز پروژهها معمولاً در مخزنهای عمومی گیتهاب در دسترس است.
اگر موجودی من کم نشده، چرا ضرر کردهام؟
چون سهم شما از کل عرضه کوچکتر شده است. ضرب توکن تازه بدون افزایش تقاضا، ارزش هر واحد را پایین میآورد؛ به این رقیق شدن میگویند.
آیا مسدود کردن دارایی توسط صرافیها جواب میدهد؟
تا حدی. صرافی متمرکز میتواند برداشت یک آدرس را متوقف کند، ولی اگر مهاجم توکنها را در بستر غیرمتمرکز جابهجا کند دست کسی به آن نمیرسد. برای همین تیمها معمولاً همزمان چند گزینه را دنبال میکنند.
این حادثه روی بقیه رمزارزها اثر میگذارد؟
معمولاً نه، مگر اینکه ایراد در کتابخانهای مشترک باشد که چند پروژه از آن استفاده میکنند. اینجا مشکل مختص یک شبکه بود و بازار هم واکنش گستردهای نشان نداد.
جمعبندی
مهاجمی حدود چهار میلیارد توکن ONE ساخت و عرضهی این شبکه را حدود ۲۶ درصد بزرگتر کرد؛ قیمت هم به همان اندازه ریخت. این سومین حادثهی امنیتی هارمونی است و دومین موردی که از جنس ضرب توکن غیرمجاز است، نه سرقت. تیم روی وصله و گزینهی بازگرداندن زنجیره کار میکند، گزینهای که مهاجم را دستخالی میگذارد ولی تراکنشهای بیارتباط کاربران را هم پاک میکند. مهمترین درس برای دارنده این است که کلید خصوصی امن، تنها لایهی امنیت نیست.
این مطلب گزارشی خبری است و توصیه معاملاتی محسوب نمیشود. منبع دادهها: اعلام رسمی تیم هارمونی و گزارشهای بازار رمزارز.
