اختراق خدمات التوقيف في MetaMask ينقل 0.385 من Ethereum (ETH) كمكافآت

انتقال 0.385 من عملة ETH عبر عنوان مكافآت معدّل

توقف عنوان مكافآت محفوظ داخل بنية MetaMask التقنية الخاصة عن الأداء كما ينبغي، فانتقل نحو 0.385 من عملة Ethereum (ETH) من مكافآت التوقيف إلى عنوان خارجي نتيجة ذلك. وتقول MetaMask إن مهاجماً حصل على وصول غير مصرح به إلى جزء من بنيتها التقنية يوم الاثنين 28 سبتمبر، وغيّر مستلم المكافآت الخاص ببعض المحققات لديها، وهي المشاركات التي تؤكد المعاملات وتكسب مكافآت بموجب تصميم إثبات الحصة المعتمد في شبكة Ethereum. واكتشفت الشركة العنوان المعدل في يوم وقوع الحادثة نفسه، وصححته فوراً، وفق التحديث الرسمي للطارة الذي نشرته يوم الخميس.

نقطة الخلل كانت في التخزين لا في البروتوكول نفسه. إذ كان عنوان استلام المكافآت لعدد من المحققات محفوظاً في بنية تديرها مركزياً، فأي جهة تصل إلى ذلك النظام تستطيع إعادة توجيه المدفوعات من دون أن تلمس محفظة مستخدم واحد. والمبلغ الذي انتقل، أي 0.385 من عملة ETH، يمثل دخل مكافآت طبقة التنفيذ، وهو التدفق المستمر الذي تجمعه المحققة طوال فترة نشاطها، وهو بذلك منفصل تماماً عن رأس المال الموقف خلف كل مركز عملاء. وتشغّل MetaMask محققات نيابة عن العملاء ضمن خدمة التوقيف، ولهذا كفى تغيير حقل واحد مخزّن لاستنزاف الدخل عبر عدة مراكز في آن واحد. وقد أغلق التصحيح الذي جرى في اليوم نفسه النافذة التي كان يمكن أن تُرسل فيها المدفوعات إلى مستلم خاطئ.

يؤكد تحديث MetaMask الصادر يوم الخميس أن إجراء الخروج لكل محقق متأثرة اكتمل الآن. فخروج المحققة ينهي مهام التحقق وتيار المكافآت المرافق لها، وهي خطوة احتواء اتخذتها الشركة بمجرد ظهور إعادة التوجيه. وكان تقدير مبكر مستند إلى بيانات السلسلة قد وضع قيمة التحويل المعاد توجيهه قرب 0.36 من عملة Ethereum (ETH) إلى عنوان مجهول الهوية، فيما يمثل رقم 0.385 من عملة ETH حساب MetaMask الخاص للحادثة ذاتها، لا خسارة إضافية فوق ذلك التقدير. وقد جاء هذا الإفصاح في وقت تراجع فيه سعر الإيثيريوم (ETH) بنسبة 7.9% خلال 24 ساعة، بحسب مراقبة السوق المباشرة لدى COINOTAG.

رأس المال والمفاتيح لم تمسّ

لم تجد تحقيقات MetaMask أي دليل على تعرض رأس مال العملاء الموقوف أو مفاتيح السحب للاختراق. والتحديث صريح بالدرجة نفسها بشأن منتج المحفظة ذاته: لا مؤشرات على اختراق المحفظة أو بنيتها التقنية، ولم تتعرض عبارات الاسترداد السرية للمستخدمين ولا مفاتيحهم الخاصة للانكشاف في هذه الحادثة. ما وصل إليه المهاجم كان أنابيب المكافآت، لا الخزنة.

الخروج في هذه الحالة خطوة إجرائية لا دفعة. فهو ينهي مشاركة المحققة وتيار مكافآتها، لكنه لا يحرر من تلقاء نفسه أموال العملاء، التي تخضع لعملية سحب منفصلة على شبكة Ethereum بعد ذلك. وحين يكتمل خروج المحققة، يصبح رصيدها قابلاً للسحب وفق جدول الشبكة الزمني الخاص، فيقع التأخير بين انتهاء الخروج ووصول الأموال فعلياً إلى العملاء. وهذه الفجوة هي التي أنتجت العرض الرئيسي المواجه للعملاء: بعض المتعاملين واجهوا تأخيرات مؤقتة في السحب بينما تمر محققاتهم بمرحلة الخروج. وتعترف MetaMask أيضاً بأن بعض العملاء قد فوّتوا مكافآت بينما كانت المحققات في حالة خروج أو في انتظار إعادة التنشيط. والتحديث لا يضع رقماً لمقدار المكافآت الفائتة، وهي بمنأى عن الـ 0.385 من عملة Ethereum (ETH) التي أُعيد توجيهها خارج الخدمة. وللتفريق هنا أثر مباشر في تقدير الحجم: المبلغ الموجّه خارج الخدمة دخل مكافآت غادر فعلاً، أما الكمية غير المحددة فهو دخل تأخر وصوله ولم يُنتزع.

أخطرت الشركة مستخدمي المحفظة العاديين بأنهم غير مطالب بأي إجراء من جانبهم. أما العملاء الذين شملتهم اتفاقيات التوقيف المتأثرة بالحادثة، فأحيلوا إلى الإرشادات المقدمة مباشرة من MetaMask أو من مزود خدمة التوقيف الخاص بهم. وتقول MetaMask إنها حجبت الوصول غير المصرح به، وضمنت الأنظمة المتأثرة، وتعمل على معالجة أي أثر متبق مع العملاء والشركاء. ومستخدمو المحفظة العاديون يقعون خارج هذه الفئة بأكملها، لأن الشركة لا تسجل أي مؤشر على أن المحافظ لمست أصلاً.

الحقيقة الحاسمة تكمن في رواية MetaMask نفسها عن مكان حفظ عناوين المكافآت: مؤشر الدفع كان يقيم في بنية مركزية استطاع المهاجم الوصول إليها، أي أن المسألة فشل في تصميم التخزين لا عيب في بروتوكول Ethereum ولا في التعامل مع مفاتيح المحفظة. والسرقة المتحققة البالغة 0.385 من عملة ETH صغيرة الحجم، وعمليات الخروج حصرت الانكشاف. غير أن بندين يبقيان مفتوحين. فالتحديث لا يحدد قيمة المكافآت التي قد يكون العملاء قد فوّتوها أثناء بقاء المحققات في حالة خروج، كما يصف مكان تخزين العناوين من دون أن يشرح كيف تحقق الوصول غير المصرح به. وإلى أن يصل الجوابان، يقيس رقم 0.385 من عملة ETH ما انتزع، لا التكلفة الكاملة للحادثة.