هجوم DNS Dapps - Trustnodes

تم اختطاف عدد من تطبيقات dapps ، وأبرزها التمويل المحدب ، اسم المجال الخاص بهم.

تأثرت كل من ConvexFinance و Ribbon Finance و DeFiSaver و Allbridge بموافقة المستخدمين على العقود الخبيثة أثناء تواجدهم في المجال الفعلي للمشروع.

كان أمين السجل لجميع هذه المجالات هو NameCheap ، مع مديرها التنفيذي ، ريتشارد كيركيندال ، حيث صرح:

"لقد قمنا بتتبع هذا الأمر وصولاً إلى وكيل خدمة عملاء محدد تم اختراقه أو اختراقه بطريقة ما وإزالة كل إمكانية الوصول من هذا الوكيل. أثر هذا على عدد قليل من المجالات المستهدفة لكننا سنواصل التحقيق ".

آمل أن يتم إبلاغ الشرطة عنه أيضًا وأن يُحكم عليه بالسجن لأن هذه قضية سرقة واضحة ومباشرة مع توفر جميع الأدلة المفترضة ، لذا يجب أن تكون محاكمة قصيرة.

لكن من الواضح أن الاختراق أو الاختطاف لم يكن معقدًا على الإطلاق. قام بعض الموظفين في NameCheap بتغيير عنوان IP الذي يشير إليه النطاق ، مع ظهور جميعهم متطابقين على الخادم الضار الجديد ، بما في ذلك أول وآخر أربعة أرقام من عنوان ethereum.

لا أعرف ما يحدث ولكني متأكد بنسبة 100٪ أنك توافق بالضبط 0xF403C135812408BFbE8713b5A23a04b3D48AAE31

إذا كنت تستخدم تضمين التغريدة make sure you did not approve: 0xF403a2c10B0B9feF8f0d4F931df5d86aD187AE31 https://t.co/QTsi6BV1Zj

- alexintosh.eth | أنا أوظف (Alexintosh) 23 حزيران، 2022

لذا فقد استخدموا عنوانًا مميزًا ، وهذا أيضًا ليس معقدًا لأنك تستمر في النقر فوق إنشاء عنوان جديد حتى تجد عنوانًا مشابهًا.

تزداد هذه العملية صعوبة كلما زاد عدد الأرقام التي تريد "تخصيصها" بواسطة برنامج الروبوت بالنقر فوق إنشاء عنوان جديد.

يمكن للبشر أن يتذكروا في الذاكرة قصيرة المدى حوالي ستة أرقام بسهولة للجميع تقريبًا ، وبالنسبة للغالبية يمكنهم تذكر سبعة أرقام ، ولكن ليس بسهولة تامة.

يمكن لعدد قليل من عناوين الغرور أن تتكون من سبعة أرقام ، لكن الكثير منها لن يكون دقيقًا جدًا في التحقق أيضًا ، مع إبطال نقدي يسمح لك بإلغاء أذونات أي عقد ذكي ، على الرغم من أنه في هذه الحالة قد يكون قد تم بالفعل استنزاف جميع الأموال.

ولكن هناك موظف هنا وتتوقع أن يتعاون NameCheap بشكل كامل أو أن يخضعوا للمحاكمة - محاكمة جنائية - لذا يجب أن يكون استرداد بعض الأموال ممكنًا.

لأن هذا الموظف يُفترض أنه يعرف لمن غير عنوان IP ، أو يُحكم عليه بالسجن مرتين / ثلاث مرات. لذلك في النهاية قد يكون لدينا حالة من المجرمين الأغبياء.

ووفقًا لـ Kirkendall ، يبدو أن النظام القانوني الجنائي هو الحل الوحيد هنا لأن بعض الموظفين على الأقل يحتاجون على ما يبدو إلى القدرة على تغيير IP في الحالات التي يوجد فيها اختراق أو إساءة.

بالنسبة للأخير ، قد يكون الحل الأفضل هو إلغاء النطاق أو تعليقه بدلاً من إعادة التوجيه. بالنسبة للاختراق ، ربما لا يوجد الكثير من الخيارات ، لكن هذه جريمة غبية ، ولذا فإننا نتوقع مقاضاة كاملة ويجب أن يكون ذلك رادعًا كافيًا.

نظرًا لعدم وجود طريقة يمكن من خلالها تنفيذ هذا النشاط دون معرفة من نفذ الإجراء بالضبط ، مع تأكيد Kirkendall أنهم يحتفظون بسجلات لكل تغيير ونشاط.

جعل هذا مشابهًا لحلقة اختراق بطاقة SIM القصيرة حيث سيحصل اللصوص على رقم شخص ما لاستخدامه في المصادقة الثنائية.

ومع ذلك ، من السهل العثور على من طلب هذا الرقم ، وهنا يُعرف الموظف باسم NameCheap ، ولذا تقوم بحبس بعضه وهذا يجب أن يكون نهاية الأمر لأنه سجن مضمون إذا استخدمت هذه الطريقة وستتم مصادرة الأموال إلا إذا كنت تريد زيادة وقت السجن إلى مدى الحياة.

هناك أيضًا حلول محتملة أخرى مثل Ethereum Name Service (ENS) ، على الرغم من أننا لا نرى أن ذلك قد تم استخدامه كثيرًا لأسماء النطاقات الحية في الإنتاج ، وهناك أيضًا BGP الخاطفين حيث يقوم مزود خدمة الإنترنت بإعادة التوجيه إلى البرامج الضارة ، ولكن هنا أيضًا يمكن لتطبيق القانون العثور على الموظف ومن قام بذلك.

لذا فإن الحل هو أن يدرك هؤلاء اللصوص أنهم أغبياء بسبب أموال الضرائب الخاصة بنا مما يجعل الأمر واضحًا جدًا من خلال تنفيذ القانون للمهمة التي يتم الدفع مقابلها ، وهو ما سيفعلونه على الأرجح.

في حين أن الحل المؤقت هو أن يكون في حالة تأهب أكثر قليلاً حاليًا ، تحقق مما يصل إلى سبعة أرقام على الأقل ، وإذا كنت قد وافقت مسبقًا ، فتحقق بشكل أكثر شمولاً.

لأنهم يستطيعون تزييف الكثير من الأشياء ، لكنهم لا يستطيعون تزوير العنوان الفعلي ، مع عدم وضوح ما إذا كانت هناك أيضًا حلول محتملة للذكاء الاصطناعي على المدى الطويل حيث يحذرك MetaMask أو Etherscan.

قد يبدو من المفارقات أن لديك الآن حارس بوابة مركزي يخبرك بما تثق به ، ولكن يمكنك تجاهله إذا أردت ولا يمكنه إجبارك على القيام بشيء ما ، مثل مجرد تغيير عنوان IP الخاص بنطاقك كما هو الحال في قواعد البيانات المركزية.