حل تحديث استغلال الثغرة يترك أسئلة استعادة المفتاح

• تم السماح باستغلالات Resolv بإنشاء 80 مليون USR، مع اكتمال 98% من عمليات الاسترداد للمستفيدين المدرجين في القائمة البيضاء.

• يواجه المستخدمون غير المدرجين في القائمة البيضاء وما بعد الاستغلال تأخيرات مع تطور الحلول التقنية والقانونية.

• لم يتم العثور على أدلة على وجود جهة داخلية، لكن تعافِي حاملي RLP يظل غير مؤكد دون تحديد جدول زمني.

أصدرت Resolv Labs تحديثًا جديدًا بعد أن سمح استغلال لخصمٍ ما بإنشاء 80 مليون رمز USR باستخدام مفتاح خاص مخترق. خاطب الرئيس التنفيذي إيفان كوزلوف المستخدمين هذا الأسبوع، موضحًا التقدم في عمليات الاسترداد والتحقيقات المستمرة. الحادث، الذي تم الكشف عنه أولًا مؤخرًا، ما زال يؤثر على مجموعات متعددة من المستخدمين بينما تتقدم جهود التعافي دون جدول زمني واضح.

تتحرك عملية الاسترداد على مراحل

وفقًا لـ Resolv Labs، أعطت الفرق الأولوية في المرحلة الأولى من عمليات الاسترداد لحاملي USR المدرجين في القائمة البيضاء. أتاحت المحافظ الموثّقة المعالجة اليدوية خلال 24 ساعة، ما ساعد على الحد من الاضطراب الأوسع في السوق. أكد كوزلوف أن نحو 98% من عمليات الاسترداد هذه قد اكتملت الآن.

ومع ذلك، لا يزال حاملو ما قبل الاستغلال غير المدرجين في القائمة البيضاء في مرحلة انتظار. قال كوزلوف إن التزام الاسترداد نفسه بنسبة 1:1 ينطبق عليهم. وأضاف أن الحل التقني لهؤلاء المستخدمين لا يزال قيد التطوير.

وفي الوقت نفسه، يواجه حاملو ما بعد الاستغلال ومزودو السيولة ومشاركو RLP عملية أكثر تعقيدًا. أشار كوزلوف إلى أن هذه الحالات تتطلب تنسيقًا عبر طبقات قانونية وتقنية وضمن منظومة النظام البيئي. ونتيجة لذلك، لم يتم اعتماد حل واحد نهائيًا.

التحقيق لا يجد أدلة على وجود جهة داخلية

وفي الوقت ذاته، جذبت الأسئلة حول تورط جهة داخلية الاهتمام. قال كوزلوف إنه حتى الآن، لم تعثر التحقيقات على دليل على أي سوء تصرف داخلي. تستمر عملية الفحص بمشاركة شركة الأمن السيبراني Mandiant ومجموعة ذكاء البلوكشين zeroShadow.

استغل الهجوم مفتاحًا خاصًا مرتبطًا بدور له امتيازات في عملية الإصدار (minting). لم تكن هذه الحسابات محمية بحماية التوقيع المتعدد ولم يكن لديها حد أقصى (cap) لإصدار الرموز على السلسلة. ونتيجة لذلك، تمكن المهاجم من تفويض إنشاء كمية كبيرة من الرموز دون قيود.

ردًا على ذلك، استحوذت Resolv على مستشارين قانونيين، من بينهم Paul Hastings وCarey Olsen. قال كوزلوف إن الاعتبارات القانونية تشكل الآن التواصل، ما يحد من ما يمكن للفريق الإفصاح عنه علنًا.

عدم اليقين ما زال قائمًا لحاملي RLP

توجه الاهتمام أيضًا إلى حاملي رمز RLP، الذين استوعبوا الخسائر الأولية بموجب التصميم. حاليًا، تم إيقاف عمليات الاسترداد الخاصة بـ RLP. أقر كوزلوف بوجود عمل مستمر على خطة تعافٍ لكنه لم يقدم تفاصيل.

على الرغم من الاستثمارات السابقة في عمليات التدقيق والمراقبة وبرامج المكافآت على الثغرات (bug bounty)، وقع الحادث مع ذلك. اعترف كوزلوف بأن هذه الإجراءات ثبت أنها غير كافية في هذه الحالة.

وإلى الآن، تستمر عملية التعافي دون جدول زمني محدد، ما يترك المستخدمين المتضررين بانتظار تحديثات إضافية.