هجومٌ على منصّة Bitfinex تضمّن معاملة تحويلٍ فاشلة لعملات XRP بقيمة 15 مليار دولار تبعاً لباولو أردوينو
تناولت الأنباء فشلَ عملية تحويلٍ ضخمةٍ تضمّنت عملات ريبل (Ripple-XRP) بقيمةٍ تقارب حوالي 15 مليارَ دولار من محفظةٍ مجهولةٍ إلى منصّة تداول العملات الرقمية بيتفينيكس (Bitfinex) إثرَ محاولة اختراقٍ تُعرف باسم “استغلال ثغرة المدفوعات الجزئية”.
وجذبت عملية التحويل هذه انتباه الجمهور لأول مرّة عبر حساب تتبع معاملات البلوكتشين المعروف Whale Alert، والذي أبلغ عن تحويلٍ ضخم لعدد 25.6 مليارَ عملة XRP -بما يوازي نصف معروضها المتداول تقريباً- من محفظةٍ مجهولةٍ إلى منصّة Bitfinex.
لكنّ الإثارة لم تدُم طويلاً، إذ سرعان ما قام حساب Whale Alert الرسميّ بحذف المنشور سريعاً، مشيراً إلى مشكلة متعلقةٍ بقراءة استجابة عُقَدِ تدقيق معاملات ريبل في إشارةٍ لإنذارٍ خاطئ.
وفيما بعد، كشفَ باولو أردوينو (Paolo Ardoino) -كبير مسؤولي التقنية لدى Bitfinex- أن عملية التحويل الضخمة لم تكن سوى محاولةٍ لاختراق المنصّة عبر ما يُعرف باسم “استغلال ثغرة المدفوعات الجزئية”.
Someone attempted to attack @bitfinex via "Partial Payments Exploit".
Attack failed since Bitfinex properly handles 'delivered_amount' data field.https://t.co/EiGw9UQmmq(updated with better gif) https://t.co/8I7vlO05ou pic.twitter.com/DxOnJLLkhU
— Paolo Ardoino 🍐 (@paoloardoino) January 14, 2024
يُذكر أن هذه الهجمة قد اعتمدت على افتراضِ أنّ منصة Bitfinex قامت بتطوير برمجيّاتها بشكلٍ معيب لمعالجة المدفوعات الجزئية، ما اعتبره المُهاجم ثغرةً أمنيةً سعى للاستفادة منها.
آلية عمل استغلال ثغرة المدفوعات الجزئية؟
تعتمد آليات استغلال ثغرة المدفوعات الجزئية على خداع النظام التقنيّ للجهة المُراد استغلالها للتعرّف على عدد عملاتٍ مخالفٍ لما تمَّ إرساله بالفعل، حيث يقوم المهاجم بالتلاعب بحقل المُعاملة ليُظهِرَ عدداً أقلَّ ممّا هو مُشارٌ إليه بقسمٍ آخرَ من بيانات المعاملة بهدف الحصول على رصيد فعليٍّ من الجهة المُستهدفة يساوي الفرق.
ولحسن حظ منصة Bitfinex ومستخدميها، كشف حساب أردوينو الرسميّ أنه تم إحباط محاولة الاستغلال هذه بفضل نظام Bitfinex التقنيّ الذي يقوم بمعالجة حقل بيانات “المبلغ المُستلَم” بشكلٍ صحيح، ممّا يجعل محاولة اختراقه أمراً غيرَ فعّال.
رغم ذلك، لم تتوقف طموحات المُهاجم عند محاولة استغلال منصة Bitfinex فقط، حيث أظهرت بيانات البلوكتشين محاولته القيام بهجمةٍ مماثلةٍ على منصة بينانس (Binance)، عن طريق تحويل مبلغ أكبرَ هذه المرّة بلغت قيمته 58.9 مليار عملة XRP، إلا أن هذا الهجومَ فشلَ أيضاً كما حدَث في محاولته السابقة.
المخترقون يواصلون استهداف Bitfinex
في متابعةٍ لهذا الخبر، يُذكر أنه في تشرين الثاني/نوفمبر من العام الماضي، تعرّضت منصة Bitfinex لخللٍ أمنيٍّ “صغير” بعد أن وقع أحد موظفي دعم العملاء لديها ضحيةً لمحاولة اختراق، ما أدى إلى استهداف العديد من مستخدميها عبر سلسلةٍ من هجمات التصيّد الاحتيالي، وذكرت منصة تداول العملات الرقمية أن الواقعة حدثت بين 30 تشرين الأول/أكتوبر و5 تشرين الثاني/نوفمبر.
مع ذلك، طمأنت منصة Bitfinex عملاءها أنّ أثرَ هذا الحادث كان طفيفاً وأنها لم تُحدِث ضرراً بالغاً، إذ حدَث الاختراق عبرَ الاحتيال على أحد موظفي دعم العملاء لديها، والذي كان يمتلك صلاحية الوصول إلى بياناتٍ جزئيةٍ فقط.
ووفقاً لما ذكرته Bitfinex، لم يكن لدى الموظف -لحسن الحظ- صلاحياتٌ أعلى بل كان لديه وصولٌ محدودٌ إلى أدوات الدعم وتذاكر مكتب المساعدة، موضّحةً أن أنظمتها لم تتعرّض لأيِّ اختراقٍ، ولم يفقد العملاء أيَّ أموالٍ جراء الحادث.
وأبلغت الشركة السلطات القانونية بهذا الاختراق وتتعاون مع سلطات التحقيق لتحديد هوية الشخص أو الجهة المهاجمة والتعامل معها، مضيفةً بالقول: “لدينا سجلٌّ حافلٌ في إدانة من يحاول اختراق منصتنا في الماضي بنجاح”.
تجدرُ الإشارة إلى أن منصة Bitfinex كانت قد تأسّست في هونج كونج عام 2012، لتثبت نفسها كلاعب مهمٍّ في قطاع الكريبتو؛ وتحت قيادة المدير التنفيذيّ جان لويس فان دير فلدي (Jean-Louis van der Velde) منذ 2013، احتلت المنصة المرتبة السابعة عشرة على مؤشر “درجة الثقة” الخاص بموقع CoinGecko بين كافة منصات تداول العملات الرقمية الأخرى.
