أوبتيمزم تكشف عن ثغرة حرجة قبل “لاغون” وتمّت معالجتها قبل استغلالها

كشفت شركة Optimism عن ثغرة حرجة في مسار ردّ الأموال قبل ترقية Lagoon، وذلك عبر منشور في منتدى حوكمة Optimism. اشتملت المشكلة على مسار التحقق SDM الذي يقبل حمولات ردّ أموال مُزورة دون إعادة حساب، ما يخلق خطرًا يتمثل في أن النظام قد يقبل بيانات ردّ الأموال التي كان ينبغي ألا يثق بها. قامت Optimism بإصلاح الثغرة قبل استغلالها على أي سلسلة إنتاج، دون فقد أي أموال. يقدم هذا الإعلان تفاصيل تقنية حول كيفية إساءة استخدام خلل منطق ردّ الأموال لو تُرك دون معالجة، مع إبراز أهمية أنظمة التحقق في البنية التحتية للطبقة 2 حيث تحدد عمليات الاسترداد مطالبات القيمة والمحاسبة عبر الأنظمة.

تشرح Optimism أهمية الإعلان عن الثغرات قبل الإنتاج

يندرج إفصاح Optimism ضمن فئة المشكلات الخطيرة التي تم إصلاحها قبل إساءة استخدامها، مع شرحها علنًا بعد ذلك. تم تصنيف الثغرة على أنها حرجة لأنها تتعلق بمنطق ردّ الأموال ومسارات التحقق والمحاسبة عبر الأنظمة، حيث قد تتحول افتراضات صغيرة إلى خسائر كبيرة. يذكر الإعلان أن المشكلة تم إصلاحها قبل أن تصل ترقية Lagoon إلى الإنتاج وأنه لم يتم فقد أي أموال. بالنسبة إلى نظم بيئية للطبقة 2، تكتسب عملية الأمان هذه أهمية لأنها تعمل مثل Optimism كبيئات تسوية وتنفيذ تعتمد عليها تطبيقات أخرى، ما يعني أن المشكلة الحرجة في البنية التحتية الأساسية يمكن أن تؤثر في عدد كبير من المستخدمين والبروتوكولات إذا وصلت إلى الإنتاج.

مسار تحقق SDM قبل حمولات ردّ أموال مُزورة دون إعادة حساب

تضمنت الثغرة مسار تحقق SDM الذي يقبل حمولات ردّ أموال مُزورة دون إعادة حساب. تحدد أنظمة الاسترداد من تُستحق له القيمة، وكيف يتم التحقق من عمليات ردّ الأموال، وما الرسائل التي يتم قبولها. إذا قبل النظام حمولات مُزورة، فقد يتمكن مهاجم من جعل البروتوكول يتعرّف على مطالبات كان ينبغي ألا توجد. ينبغي أن يؤكد التحقق بشكل مستقل ما يجب أن تكون عليه النتيجة الصحيحة بدلًا من الثقة العمياء بالبيانات المقدمة. يوضح الإعلان أن مسار ردّ الأموال الذي يقبل معلومات مُزوّرة يمثل مشكلة خطيرة، مع توضيح كذلك أن الإصلاح حدث قبل إساءة الاستخدام على مستوى الإنتاج.

شبكات الطبقة 2 تواجه تعقيدًا متزايدًا في الأمان

تتضمن شبكات الطبقة 2 منظمي التسلسل (sequencers)، والجسور (bridges)، وبراهين الأعطال (fault proofs)، ومسارات الترقية، وأدوار الحوكمة، ورسائل عبر السلسلة (cross-chain messaging)، وأنظمة إثبات/إبطال الاحتيال (fraud-proof systems)، وافتراضات توفر البيانات (data availability assumptions)، وترقيات البروتوكول. يمكن لأي ميزة جديدة أن تُدخل أسطح هجوم جديدة. تمثل ترقية Lagoon من Optimism جزءًا من هذا التطور الأوسع. تُظهر الإعلانات قبل الترقية ما الذي تغيّر، وما الذي كان يمكن أن يحدث خطأ، وكيف تعامل الفريق مع المشكلة قبل نشرها على نطاق أوسع. يذكر الإعلان أن الأنظمة المعقدة تحتاج إلى مراجعة مستمرة، لأن أعمال الأمان يجب أن تنضج بسرعة توازي سرعة تطور الشبكات.

يساهم الإفصاح العلني في تعليم أمان النظام البيئي

يمكن أن يساعد الإفصاح العلني فرقًا أخرى في التحقق من افتراضات مماثلة، وتحسين مسارات التحقق الخاصة بها، وفهم كيف تظهر الأخطاء في عمليات الترقية المعقدة. وينطبق ذلك بشكل خاص عبر الأنظمة البيئية المعيارية وشبكات الطبقة 2 حيث تتكرر أنماط التصميم غالبًا. يقدم إفصاح Optimism تفاصيل تمكّن النظام البيئي من فهم عملية الأمان حول الثغرات والإصلاحات ومخاطر الترقية. يستند هذا الإعلان إلى المعلومات التي نُشرت في منتدى حوكمة Optimism الخاص بالإفصاح الأمني.

الأسئلة الشائعة

ما الثغرة التي كشفت عنها Optimism في بنيتها التحتية قبل Lagoon؟

كشفت Optimism عن ثغرة حرجة في مسار تحقق SDM التي قبلت حمولات ردّ أموال مُزورة دون إعادة حساب. تضمنت المشكلة احتمال قبول النظام لبيانات ردّ أموال كان ينبغي ألا يثق بها، ما يخلق خطرًا في منطق ردّ الأموال والمحاسبة عبر الأنظمة.

هل تم استغلال ثغرة Optimism على أي سلسلة إنتاج؟

لا. تذكر Optimism أنه تم إصلاح الثغرة قبل استغلالها على أي سلسلة إنتاج، وأنه لم يتم فقد أي أموال. تم إصلاح المشكلة قبل أن تصل ترقية Lagoon إلى الإنتاج.

أين نشرت Optimism إفصاح الأمان؟

نشرت Optimism الإفصاح على منتدى حوكمة Optimism. يقدم الإعلان تفاصيل تقنية حول ثغرة مسار ردّ الأموال قبل Lagoon وخط زمني للتصحيح.