بحث في هجوم Safemoon

أكثر من 1,500 بيتكوين (أكثر من 100 مليون دولار أمريكي بالسعر الحالي)، كانت مخزّنة في مخابئ المخترقين لأكثر من 7 أشهر، بدأت في التحرّك. الأموال المسروقة المرتبطة باختراقات كبرى في السنوات الأخيرة، والتي نسبها تحقيق FBI سابقًا إلى أنشطة مجموعة Lazarus (بيان صحفي لـ FBI)، بدأ غسلها.

وفيما يلي قائمة بهذه العناوين:
3LU8wRu4ZnXP4UM8Yo6kkTiGHM9BubgyiG
39idqitN9tYNmq3wYanwg3MitFB5TZCjWu
3AAUBbKJorvNhEUFhKnep9YTwmZECxE4Nk
3PjNaSeP8GzLjGeu51JR19Q2Lu8W2Te9oc
3NbdrezMzAVVfXv5MTQJn4hWqKhYCTCJoB
34VXKa5upLWVYMXmgid6bFM4BaQXHxSUoL

وقد حدّد فريق محلّلينا، الذي يحقّق في هذه الحادثة، أنه حتى الآن تمكّن المخترقون بالفعل من غسل أكثر من 44 BTC (أكثر من 3 ملايين دولار بالسعر الحالي) عبر منصات تداول العملات المشفّرة HTX وCoinEx وFixedFloat.

ورغم وجود وسوم العقوبات، ينجح المخترقون بحرّية شبه كاملة في غسل الأموال المسروقة عبر منصات تداول العملات المشفّرة الملتزمة بسياسات AML. ويعود ذلك إلى حدّ كبير إلى أن المخترقين يستخدمون مخططات غسل خاصة تتيح لهم تضليل أنظمة AML لدى المنصّات، التي لا تواكب دائمًا الوسوم وتعلم بقبولها للأموال المسروقة بعد أن يكون المخترقون قد سحبوها من المنصّات بالفعل.

تحثّ Match Systems منصات تداول العملات المشفّرة ومجتمع الكريبتو بأكمله على الانتباه لعناوين المخترقين أعلاه لمنع المخترقين من تنفيذ خططهم.

المخترق:

فريق Safemoon:المخترق:فريق Safemoon:فريق Safemoon:

فريق Safemoon:

0x60dc5bb048310224b8732d732f4a32d16690e470 – استخدمه طرف ثالث مجهول، شخص يعرف المخترق وفريق Safemoon ومستعدّ للتوسّط في الحادثة، أرسل رسائل إلى المخترق0x70b8172e628992007453aa4fe27048b59957e0ef – استخدمه طرف ثالث مجهول لمراسلة فريق Safemoon والمخترق

الجدول الزمني للأحداث الرئيسية

تسلسل الحادثة (UTC) كما هو

حديقة حيواناتنا

نقاط الاهتمام، كما ورد أعلاه:

0x286e09932b8d096cba3423d12965042736b8f850 – عنوان السحب الأولي للأصول من العقد الذكي. واستخدمه المخترق أيضًا لمراسلة فريق مشروع Safemoon (سنسمّيه “الكابيبارا حمراء الشعر“)

0x237d58596f72c752a6565858589348d0fce622ed – العنوان الذي تُحفظ فيه الأصول حاليًا. (سنسمّيه “السرقاط الأزرق“) 000000000000000000000000000000

0x60dc5bb048310224b8732d732f4a32d16690e470 – العنوان الذي وردت منه الرسالة التي تعرض الوسيط للمفاوضات (لنسمّه “الحمامة الصفراء“)

0x60dc5bb048310224b8732d732f4a32d16690e470 – العنوان الذي وردت منه الرسالة التي تعرض الوسيط للمفاوضات (لنسمّه “الحمامة الصفراء“)

كشف هوية الكائنات

• يمكن كشف هوية الكابيبارا حمراء الشعر بالحصول على معلومات من Binance عن مالكي عناوين الإيداع:

0x207e689ba4fdcd8e6e3a4a40d8247d7cce1462b3, 0xeec475b4bed5822eef6ccda45c52ff54da1414f7
ومبادِري المعاملات الذين زوّدوا بـ “الغاز”
0x34927071e8c58c99db192b88f58a3ef2b1b6cf998f21dc1a08be270e519ec57e
0xb730a8be2a0a2ec13aba48fcc33dae8a1d5e31383df270fee16d48b681e1c861
0x40e2969e2c88c642a332acaca8c706d3c415d8a253d45d36ca77c6b6a790d54f
0x1ee79a12b795d3554e98c4c84c482f2e2f3b6eb87e80649dfccee20f8e818382
0x24da81ed18e1d129dffdbb9ffa0c8c37edfd22b012f52d89030a45169f47a17e

• كشف هوية السرقاط الأزرق عبر الكابيبارا حمراء الشعر

• يمكن كشف هوية الحمامة الصفراء بالحصول على معلومات من Binance بخصوص مالك عنوان الإيداع:

TLaUFJmCwU3GazcmHKVkvNKE4EgU9qmvYH

ومبادِر المعاملة الذي زوّد بـ “الغاز”
2b081cd589254db6ed7eaf5128d2a3c762ac66bea183d4ce2a65941279984fa8
وكذلك من Paxful بخصوص مبادِرين آخرين:
656995b7d2af3941f916db96cbd1d903717ca869b877b37042bef7e2503cc4c5
036ca0e667922e741d3813666bc04bb76f8b34f3c875d72ca5f8f82ba91b9c45
b6e2ff66ee8e6f28476a6d02a5cb9c439546fee306f4ee589e1ea30ba43cc1b9
3fc3ab6748937ddd9d791c036673b7cf90f55b71cb64bddebe76b0d5b4edda0c

• أما عنوان “الثعلب الأسود” 0x70b8172e628992007453aa4fe27048b59957e0ef فلا يمكن حاليًا إثبات أي بيانات إضافية عنه.

بعض التفاصيل التقنية للاختراق واستجابة المجتمع

وقد أثار هذا الخلل بدوره موجة من الغضب والاتهامات ضد المطوّرين. ورفض المجتمع فكرة أن هذا الخلل كان عرَضيًا واتّهم المطوّرين بزرع الخلل عمدًا في عقد ذكي عامل.
المزيد، والمزيد، والمزيد…

ومن بين أمور أخرى، نشر مستخدم “https://dune.com/” باسم “@factsudeny” العناوين التي رأى أنها مرتبطة بـ Safemoon وقدّم تحليلًا لها. وتُظهر التحليلات عبر السلاسل أن لهذه العناوين تطابقات في بلوكتشينات 0x مختلفة، لكن حتى يتأكّد أنها تعود لـ Safemoon وتثبت الحاجة إلى دراستها أصلًا، يبقى مزيد من البحث خارج نطاق الاهتمام.

بدلًا من الخاتمة

وجدت الدراسة روابط وثيقة بين المهاجمين ومنصات تداول العملات المشفّرة المركزية، ما سيتيح بدوره لجهات إنفاذ القانون طلب البيانات ذات الصلة وتحديد هوية الأفراد المتورّطين، إذا وُجد سبب موضوعي لذلك.
وتستحقّ اهتمامًا إضافيًا حقيقة أن المطوّرين أدخلوا على العقد الذكي تغييرات تتيح مثل هذه التلاعبات. وبالنظر إلى أن النسخة السابقة من العقد الذكي لم تكن بها مثل هذه الثغرات، وأنه بعد التحديث وقع اختراق في فترة قصيرة نسبيًا – يبدو من المعقول إجراء تدقيق داخلي إضافي بشأن الأفراد المتورّطين في إجراء هذه التغييرات.

ملحق

قد يكون هذا البحث غير مكتمل وقد تكون بعض المعلومات مفقودة لأنه أُجري من قِبل فريقنا في وقته الخاص لأغراض التدريب. وحتى وقت الكتابة، لا يوجد لدينا أي عقد أو اتفاقية عدم إفصاح تقيّدنا في جمع المعلومات أو تحليلها أو نشرها، وكذلك في البحث المعمّق في الحادثة إذا لزم الأمر.