יתכן שפספסת הזדמנות נהדרת להפוך למיליונר אתרום!
באג מרכזי, שהוגש תחת הכותרת "מניפולציה בחשבון יתרה", איפשר גישה לאספקה לא מוגבלת של אתרים בארנקך על ידי ביצוע סדרה של צעדים הכוללים ביצוע חוזה חכם עם עסקה לקויה או ארנק כתובת לקוי. אך ההזדמנות נעלמה, מכיוון שהבאג תוקן כעת.
איך התפתחה הדרמה?
חברת פינטק הולנדית בשם VI Company זיהתה ודיווחה על הפגיעות ב- Coinbase במהלך דצמבר של השנה שעברה. בורסת הקריפטוקו הגדולה ביותר של ארה"ב נקטה בפעולה מיידית, אך לקח כמעט חודש לתקן את הבאג בסוף המאוחר של ינואר. (ראו גם, Coinbase: מה זה ואיך משתמשים בו?)
חברת VI התוגמלה על ידי בורסת Coinbase בסכום שפע של 10, 000 דולר עבור הדיווח הגלוי שלה על הנושא, והנושא נחשף בפומבי.
כיצד באג אפשר אספקת ETH ללא הגבלה?
Ethereum משתמשת בחוזים חכמים כחלק בלתי נפרד מהרשת שלה. הפגיעות הייתה קיימת במהלך העברת קרנות באמצעות חוזים חכמים בתרחיש הבא.
נניח, משתמש השתמש בחוזים חכמים כדי להפיץ אתרים על סט של ארנקים מרובים. תרגיל רגיל זה יביא למספר עסקאות ברשת Ethereum. אם עסקת ביניים אחת כזו לא תיכשל, כל שאר העסקאות שלפניה יבוטלו גם בגלל מנגנון העבודה של החוזים החכמים. (ראה גם, חוזים חכמים של Ethereum הפגיעים לפריצות: 4 מיליון דולר אתר בסיכון.)
עם זאת, הבעיה מתרחשת בחשבון Coinbase בו עסקאות אלה לא יבוטלו. זה איפשר לאדם להוסיף מספר אינסופי של אתרים לאיזון שלהם. אם כי בחיפוש בכתובת הארנק של Coinbase יגלה שהוא לא זוכה בכמה אתרים, ארנק Coinbase של האדם יציג את האסימונים.
בעיקרו של דבר, משתמש יכול להשתמש בחוזה חכם כדי להעביר העברת כספים המפוצלת על מאות עסקאות. אם המשתמש קובע בכוונה עסקה לקויה בסוף, כל הקודמים ישתנו, ויזקפו את הארנק שלו לסכום המצטבר של אסימונים.
HackerOne מפרטת את הצעדים הבאים של חברת VI כדי לשחזר את הבעיה:
- הגדר חוזה חכם עם כמה ארנקים Coinbase תקפים וארנק פגום אחד אחרון שתמיד זורק חריג בעת קבלת קרנות חוזה חכם. העביר כספים מתאימים לחוזה החכם ללא השארת ארנק החוזה החכם, התחל לבצע את החוזה החכם. זה יוסיף את הכמות הקבועה של אתר לארנקים Coinbase. מכיוון שהעסקה השלמה תיכשל בארנק האחרון, כל העסקאות הקודמות יתהפכו, אך הן לא יתהפכו בחשבון Coinbase. האדם שמבצע הליך זה יכול כעת לפדות או להעביר את האתרים הרצויים לארנק אחר.
אף על פי שעדיין אין דיווחים על הפרות גדולות או שימוש לרעה עקב באג זה, Coinbase אישר את "ההפסד בשוגג". בתמצית סיכום, Coinbase מזכיר, "הבעיה תוקנה על ידי שינוי היגיון הטיפול בחוזה. ניתוח הסוגיה הצביע על אובדן מקרי בלבד של Coinbase ולא ניסיונות ניצול. "(ראו גם האם ניתן לפרוץ ביטקוין?)
