حمله به پروتکل دیفای CrediX: تخلیه استخر نقدینگی با سوءاستفاده از دسترسی ادمین
تهران – رسانه دیفاینیوز
پروتکل غیرمتمرکز CrediX که بر بستر بلاکچین سولانا (Solana) فعالیت میکند و در حوزه توکنسازی اعتبارات خصوصی تخصص دارد، روز دوشنبه ۴ اوت ۲۰۲۵ (۱۳ مرداد ۱۴۰۴) مورد حمله یک مهاجم ناشناس قرار گرفت. این حمله منجر به تخلیه بخشی از استخر نقدینگی این پلتفرم شد.
جزئیات حمله
بر اساس گزارش تیم امنیتی SlowMist، مهاجم با دسترسی به نقشهای ادمین و کنترلر پل (Bridge Controller) از طریق ACLManager، توانست اقدام به ضرب توکنهای وثیقه از استخر وامدهی کند. این دسترسی شش روز پیش از حمله (۲۹ ژوئیه ۲۰۲۵) به آدرس مهاجم اعطا شده بود.
اعلامیه رسمی CrediX در توییتر:
«به نظر میرسد CrediX با یک نقض امنیتی مواجه شده است. ما در حال بررسی هستیم و بهزودی جزئیات را منتشر خواهیم کرد.»
(۴ اوت ۲۰۲۵ – @CrediX_fi)
مهاجم با سوءاستفاده از این دسترسی، مقادیر قابلتوجهی از داراییهای پروتکل را استخراج و نقدینگی آن را تخلیه کرد. در پی این اتفاق، تیم CrediX بهصورت موقت وبسایت رسمی پروتکل را غیرفعال کرد تا از ورود سرمایههای جدید جلوگیری شود.
واکنشها و اقدامات CrediX
- تضمین بازگشت کامل داراییها: تیم توسعهدهنده اعلام کرد که تمامی داراییهای کاربران طی ۲۴ تا ۴۸ ساعت بهطور کامل بازگردانده خواهد شد.
- دسترسی مستقیم به قراردادهای هوشمند: کاربران میتوانند از طریق قراردادهای هوشمند به داراییهای خود دسترسی داشته باشند.
پیشینه CrediX
این پروتکل پیشتر با همکاری یک صندوق سرمایهگذاری جایگزین آمریکایی با سبد دارایی ۳ میلیارد دلاری، موفق به جذب ۶۰ میلیون دلار اعتبار برای تأمین مالی شرکتهای کوچک و متوسط (SMEs) در آمریکای لاتین شده بود.
هنوز هویت مهاجم و میزان دقیق خسارت اعلام نشده است. پیگیریهای امنیتی توسط تیمهای تخصصی در جریان است.
پایان خبر
یادداشت سردبیر:
این حمله بار دیگر اهمیت امنیت دسترسیهای چندامضایی (Multisig) و نظارت مداوم بر تغییرات نقشها در پروتکلهای دیفای را یادآوری میکند.
