در تاریخ ۲۵ سپتامبر، یک کیف پول مرتبط با محقق امنیتی ناشناس به نام Quit، ۳,۸۳۲ NFT را از صدها کیف پول غیرمرتبط خارج کرد، که اولین نشانه قابل مشاهده از یک عملیات نجات بود که حول یک باگ در قرارداد پردازشگر پرداخت V2 LimitBreak ساخته شده بود.
این عملیات در نهایت ۲۳,۱۵۵ NFT به ارزش نزدیک به ۶ میلیون دلار را جابجا کرد، در حالی که یک مسیر بهره‌برداری جداگانه ۶۶۰ WETH را بدون بازیابی باقی گذاشت.
عملیات کلاه سفید هزاران NFT را جابجا می‌کند
این حادثه ابتدا توجه را جلب کرد زمانی که تاجر NFT به نام Cirrus گزارش داد که یک کیف پول ۳,۸۳۲ NFT را از بیش از ۱۰۰ کیف پول تخلیه کرده است. Quit، که همچنین معاون بلاکچین در Yuga Labs است، بعداً تأیید کرد که این انتقال‌ها بخشی از یک عملیات کلاه سفید بوده است.
«همه چیز در 0x71cF3f5724bD2B72Ef6464992aCd26216DE7fe33 ایمن است و پس از اینکه دیگر در معرض خطر نباشند، بازگردانده خواهد شد»، محقق نوشت.
آنها توضیح دادند که مشکل اصلی به پردازشگر پرداخت V2 مربوط می‌شود. در ساعت ۹ صبح به وقت EST، یک مهاجم از این باگ برای برداشت ۱۰ Meebits، ۵۰ Otherdeeds، ۱۰ NFT از World of Women و ۲۳۵ Despertae Apewives استفاده کرد.
سپس Quit متوجه شد که بسیاری از NFT های دیگر نیز در معرض همین آسیب‌پذیری قرار دارند، اما وضعیت به دلیل این که V2 نمی‌توانست متوقف شود، پیچیده بود. LimitBreak توانست پردازشگر پرداخت V3 را پس از تماس متوقف کند، اما V3 در ApeChain نیز به طور موقت نمی‌توانست متوقف شود.
«تنها راه برای محافظت از دارایی‌های آسیب‌دیده، اجرای یک عملیات کلاه سفید بود»، Quit اشاره کرد.
در مجموع، ۲۳,۱۵۵ NFT نجات داده شدند، و محقق ارزش آنها را تقریباً ۶ میلیون دلار تخمین زد. مالکان بعداً قادر خواهند بود دارایی‌ها را پس از لغو تأییدیه‌های آسیب‌پذیر ادعا کنند.
با این حال، نجات همه دارایی‌های در معرض آسیب را بازیابی نکرد، زیرا Quit بعداً متوجه شد که این آسیب‌پذیری می‌تواند به صورت معکوس نیز مورد بهره‌برداری قرار گیرد تا WETH را سرقت کند و ۶۶۰ WETH را در معرض خطر قرار دهد.
«تمام شب را کار کردم تا ~۶ میلیون دلار ارزش NFT را نجات دهم و تنها چیزی که می‌توانم به آن فکر کنم، ۱.۷ میلیون دلار WETH است که نتوانستم به اندازه کافی سریع عمل کنم»، آنها در X گفتند.
یک نقض دوم در همان روز
حادثه NFT تقریباً همزمان با یک نقض در Bitget اتفاق افتاد، جایی که هکرها بیش از ۳۵۱ میلیون دلار را از بخشی از کیف پول‌های داغ و گرم خود منتقل کردند، در حالی که ذخیره سرد، که بیشتر دارایی‌های صرافی را در خود نگه می‌داشت، دست نخورده باقی ماند.
همانطور که CryptoPotato امروز گزارش داد، مدیر عامل Bitget، Gracy Chen این خسارت را به یک سیستم پشتیبانی آسیب‌دیده نسبت داد که به یک مهاجم اجازه می‌داد داده‌های تراکنش را جعل کند، نه یک کلید خصوصی دزدیده شده. او همچنین گفت که مشتریان آسیب‌دیده جبران خواهند شد و پول از صندوق حفاظت از کاربران ۴۶۴ میلیون دلاری Bitget تأمین خواهد شد.
XRP بزرگترین سهم واحد از ارزهای دیجیتال دزدیده شده را تشکیل می‌دهد، با بیش از ۱۰۰ میلیون واحد به ارزش بیش از ۱۵۸ میلیون دلار که در چند کیف پول پراکنده شده است.