<h1><br></h1><p>دریابید که چگونه یک خطای ساده منجر به سرقت چند میلیون دلاری شد و برای محافظت از دارایی‌های رمزنگاری خود در برابر حملات احتمالی چه کاری باید انجام دهید.</p><h2>نکات کلیدی</h2><ol><li data-list="bullet"><span class="ql-ui" contenteditable="false"></span>حدود ۴.۵۵ میلیون دلار از پروتکل Wasabi به دلیل نقض کلید ادمین که تمامی اقدامات امنیتی ضروری را دور زد، به سرقت رفت.</li><li data-list="bullet"><span class="ql-ui" contenteditable="false"></span>این هک به دلیل عدم وجود حفاظت‌های اساسی مانند کیف پول‌های چندامضایی (multisig) و قراردادهای قفل زمانی (timelock) که کنترل کامل پروتکل را به یک کلید واحد می‌دادند، ممکن شد.</li><li data-list="bullet"><span class="ql-ui" contenteditable="false"></span>زیان‌های مرتبط با دیفای در سال ۲۰۲۶ تاکنون از ۷۷۰ میلیون دلار فراتر رفته و ماه چهارم به ناامن‌ترین دوره برای تأمین‌کنندگان نقدینگی (LPs) و معامله‌گران تبدیل شده است.</li><li data-list="bullet"><span class="ql-ui" contenteditable="false"></span>توصیه می‌شود با لغو تأییدیه‌های توکن (token approvals) و دوری از پروتکل‌های دیفای که از کلیدهای خصوصی تکی استفاده می‌کنند، از پورتفولیوی خود محافظت کنید.</li></ol><h2>واقعیت آسیب‌پذیری‌های دیفای در سال ۲۰۲۶</h2><p>آیا تا به حال فکر کرده‌اید که چگونه پروژه‌هایی به ارزش میلیون‌ها دلار می‌توانند در عرض چند دقیقه ورشکسته شوند؟ این بهره‌برداری اخیر از پروتکل Wasabi به ما یادآوری می‌کند که حتی پلتفرم‌های بسیار محبوب در اتریوم و بیس (Base) نیز همچنان در برابر هک‌ها و ضررها بسیار آسیب‌پذیر هستند. هکرها از کلید "wasabideployer" بهره‌برداری کردند، نه با شکستن رمزنگاری‌های دشوار بلکه با عبور از در ورودی اصلی. آنچه نگران‌کننده‌تر است این است که این هک بخشی از یک الگوی گسترده‌تر بود که هکرها تلاش می‌کنند از کلیدهای اصلی توسعه‌دهندگان که برای کنترل و استقرار کد خود استفاده می‌کنند، بهره‌برداری کنند. بیش از ۷۷۰ میلیون دلار تاکنون در سال جاری از هک‌های دیفای به سرقت رفته است. اکنون زمان آن فرا رسیده که دیگر تنها به محبوبیت یک پلتفرم اکتفا نکنید.</p><h2>چگونگی رخ دادن نقض: یک تجزیه و تحلیل سه مرحله‌ای</h2><p>هک پروتکل Wasabi در سه مرحله و با الگویی آشنا و مخرب رخ داد که برای محافظت از سرمایه‌گذاری‌های خود در برابر چنین رویدادی باید آن را بشناسید.</p><p>مرحله ۱: دسترسی به کلید ادمین. مهاجم موفق شد کنترل یک حساب متعلق به یک نهاد خارجی (EOA) را به دست آورد که کلید اصلی ادمین در آن ذخیره شده بود و تمام کیف پول‌های دیگر و کل پروتکل Wasabi را کنترل می‌کرد. این کلید ادمین یک قرارداد چندامضایی نبود، بلکه یک کلید خصوصی تنها بود که با آن می‌توان هر کاری را انجام داد و هر چیزی را در قراردادهای خزانه تغییر داد.</p><p>مرحله ۲: افزایش امتیازات و جایگزینی کد. در مرحله بعد، مهاجمان با استفاده از استاندارد پروکسی ارتقاءپذیر جهانی (UUPS)، که برای به‌روزرسانی کد توسط توسعه‌دهندگان در مواقع لزوم طراحی شده است، امتیازات خود را افزایش دادند. با این حال، در این مورد، مهاجمان از این ابزار برای جایگزینی قرارداد هوشمند واقعی با کد خود استفاده کردند و سپس کنترل کامل پروتکل را به دست گرفتند و خزانه‌ها را به‌روزرسانی کردند تا بتوانند بلافاصله تمامی دارایی‌ها را تخلیه کنند.</p><p>مرحله ۳: انتقال وجوه سرقت شده بین زنجیره‌ها. مهاجمان پروتکل را هم در بلاکچین اتریوم و هم در بلاکچین بیس تخلیه کردند و از آنجایی که هیچ قفل زمانی (timelock) در پروتکل پیاده‌سازی نشده بود، موفق شدند ۴.۵۵ میلیون دلار سرقت شده را قبل از اینکه کسی بتواند واکنش نشان دهد یا دارایی‌های خود را برداشت کند، منتقل کنند.</p><h2>اهمیت استانداردهای امنیتی</h2><p>آیا می‌دانید که برخی از بزرگترین حملات سایبری سال ۲۰۲۶ قابل اجتناب بودند اگر از یک کیف پول چندامضایی (multisig) استفاده می‌کردند؟ برای به‌روزرسانی یک قرارداد، به ۳ امضا از ۵ امضا نیاز دارد که عملاً نابود کردن یک پروتکل تنها با هک شدن یک کلید را تقریباً غیرممکن می‌سازد. به نوبه خود، یک قفل زمانی (timelock) مانند یک محافظ است که یک دوره تأخیر را در تغییرات مدیریتی اعمال می‌کند.</p><h3>مشکل در مقابل راه حل</h3><table style="border:none;border-collapse:collapse" class="ql-table-better"><temporary class="ql-table-temporary" style="border:none;border-collapse:collapse" data-class="ql-table-better"><br></temporary><colgroup><col width="256"><col width="331"></colgroup><tbody><tr><td style="border- border-style: solid; border-color: rgb(34, 34, 34); vertical-align: top; padding: 5pt 10pt; overflow: hidden; overflow-wrap: break-word" data-row="1"><p class="ql-table-block" data-cell="1">مشکل امنیتی</p></td><td style="border- border-style: solid; border-color: rgb(34, 34, 34); vertical-align: top; padding: 5pt 10pt; overflow: hidden; overflow-wrap: break-word" data-row="1"><p class="ql-table-block" data-cell="2">راه حل پیشنهادی</p></td></tr><tr><td style="border- border-style: solid; border-color: rgb(34, 34, 34); vertical-align: top; padding: 5pt 10pt; overflow: hidden; overflow-wrap: break-word" data-row="2"><p class="ql-table-block" data-cell="1">ذخیره کنترل ادمین در یک کلید خصوصی واحد</p></td><td style="border- border-style: solid; border-color: rgb(34, 34, 34); vertical-align: top; padding: 5pt 10pt; overflow: hidden; overflow-wrap: break-word" data-row="2"><p class="ql-table-block" data-cell="2">استفاده از کیف پول چندامضایی (multisig) مانند Safe برای تمامی تغییرات کلیدی</p></td></tr><tr><td style="border- border-style: solid; border-color: rgb(34, 34, 34); vertical-align: top; padding: 5pt 10pt; overflow: hidden; overflow-wrap: break-word" data-row="3"><p class="ql-table-block" data-cell="1">اجازه به‌روزرسانی فوری کد</p></td><td style="border- border-style: solid; border-color: rgb(34, 34, 34); vertical-align: top; padding: 5pt 10pt; overflow: hidden; overflow-wrap: break-word" data-row="3"><p class="ql-table-block" data-cell="2">پیاده‌سازی قفل زمانی (timelock) ۲۴ تا ۴۸ ساعته</p></td></tr><tr><td style="border- border-style: solid; border-color: rgb(34, 34, 34) rgb(34, 34, 34) rgb(203, 213, 225); vertical-align: top; padding: 5pt 10pt; overflow: hidden; overflow-wrap: break-word" data-row="4"><p class="ql-table-block" data-cell="1">اعتماد کورکورانه به توسعه‌دهندگان</p></td><td style="border- border-style: solid; border-color: rgb(34, 34, 34) rgb(34, 34, 34) rgb(203, 213, 225); vertical-align: top; padding: 5pt 10pt; overflow: hidden; overflow-wrap: break-word" data-row="4"><p class="ql-table-block" data-cell="2">بررسی اینکه آیا پروتکل دارای یک ممیزی امنیتی فعال و شفاف است یا خیر</p></td></tr></tbody></table><h2>اقدامات پیشگیرانه برای پورتفولیوی شما</h2><p>شاید نتوانید نحوه ایجاد پروتکل‌های این توسعه‌دهندگان را دیکته کنید، اما می‌توانید نحوه برخورد خود با آن را تعیین کنید. در اینجا چند گام وجود دارد که به شما کمک می‌کند تا خود را در سطح قابل توجهی ایمن نگه دارید:</p><ol><li data-list="bullet"><span class="ql-ui" contenteditable="false"></span>رد کردن تأییدیه توکن: باید توکن‌های تأیید شده در هر پلتفرم را با استفاده از ابزارهایی مانند بررسی‌کننده‌های تأییدیه توکن اتراسکن (etherscan token approvals checkers) بررسی کنید. اگر در حال حاضر هیچ معامله‌ای انجام نمی‌دهید، فوراً آنها را رد کنید.</li><li data-list="bullet"><span class="ql-ui" contenteditable="false"></span>تنوع‌بخشی نقدینگی: هرگز نباید همه تخم‌مرغ‌های خود را در یک سبد قرار دهید. به عبارت دیگر، نباید تمام ثروت خود را در یک نوع سیستم معاملاتی سرمایه‌گذاری کنید.</li><li data-list="bullet"><span class="ql-ui" contenteditable="false"></span>نظارت بر کانال‌های رسمی: همیشه باید حساب‌های رسمی شبکه‌های اجتماعی آنها را برای اطلاع از اخبار مربوط به به‌روزرسانی امنیتی در این پروتکل‌ها نظارت کنید. باید بدانید که وقتی کسی از شما می‌خواهد وجوه خود را به آدرس جدیدی منتقل کنید، ممکن است یک حمله فیشینگ باشد.</li><li data-list="bullet"><span class="ql-ui" contenteditable="false"></span><br></li></ol><h2>درک خطرات و مزایا</h2><p>مزیت استفاده از پلتفرم‌های پرپچوال غیرمتمرکز، اهرم بالا و دسترسی به جفت‌های معاملاتی مختلف است که ممکن است از طریق نوسانات بازار سودآور باشد. اما خطر بهره‌برداری از کلید ادمین همیشه در مراحل اولیه دیفای (مالی غیرمتمرکز) وجود دارد. امکان سودهای بالا باید با این دانش متعادل شود که سطح امنیتی کد تنها به اندازه پایین‌ترین سطح امنیتی آن خوب است.</p><h2>حفاظت از آینده شما در دیفای</h2><p>نقض پروتکل واسابی به هیچ وجه یک ناهنجاری نیست – بلکه نشانه‌ای است که هنوز فضای زیادی برای بهبود امنیت در این بخش وجود دارد. با گذشت زمان، همانطور که در سفر رمزنگاری خود پیش می‌روید، اطمینان حاصل کنید که پروتکل‌هایی که انتخاب می‌کنید، غیرمتمرکزسازی کلید استقرار خود را به جای دادن دسترسی کامل به یک فرد، در اولویت قرار می‌دهند.</p><p>حالا، وقت بگذارید و کیف پول‌های متصل خود را بررسی کرده و یک ممیزی شخصی انجام دهید. پانزده دقیقه را صرف بررسی تأییدیه‌های توکن خود کنید و هر چیز مشکوکی را که دیگر به پروتکلی که از آن استفاده می‌کنید تعلق ندارد، حذف کنید. به این ترتیب، می‌توانید از حملات احتمالی در امان بمانید و کنترل دارایی‌های خود را در دنیای دیجیتال در دست داشته باشید.</p><p><br></p>

تقریباً ۴.۵۵ میلیون دلار از پروتکل واسابی به دلیل نفوذ به کلید ادمین که تمامی تدابیر امنیتی اساسی را دور زد، به سرقت رفت.

پروتکل واسا بی با از دست دادن ۴.۵ میلیون دلار به دلیل نقض ظاهری کلید ادمین

/media/contribution/car7cca855be207479089c0bed33c804071/ysd_0507185414481.stxt

کست استفانی آلن، مقام پیشین کمیسیون بورس و اوراق بهادار آمریکا را برای رهبری ارتباطات سیاستی جذب کرد

/media/contribution/card85f52cd0bf24832967ff7558a9232a6/rdu_0507172850579.stxt

راهنمای سریع مبتدیان برای معاملات فیوچرز در ال‌بانک

/media/contribution/car53657f5df81a46aaa62c15253631838b/jxy_0507185811237.stxt

حقیقت درباره ارز دیجیتال و مالیات شما — آنچه اسکات بسنت به کنگره گفت بیت‌کوین را شوکه خواهد کرد

/media/contribution/car71555f6295614e61a358a6afaef34b9a/j98_0507184728807.stxt

چگونه از رونق عامل هوش مصنوعی زنجیره BNB بهره‌برداری کرده و فرصت‌های جدید در رمزارز را کشف کنیم

/media/contribution/care63197681374498690b8fd6d12910940/akl_0507191525804.stxt

چگونه همکاری کارت شینهان با سولانا می‌تواند پرداخت‌های استیبل‌کوین را برای میلیون‌ها نفر در کره جنوبی فراهم کند

/media/contribution/car6aab590c11eb4eb5b0e482feb46d25c5/4ry_0507172209754.stxt