اشتباه ۱۰۲ هزار دلاری؛ یک کاربر ۱.۶ BTC کارمزد پرداخت کرد و هیچ ‌چیز نفرستاد!

یک کاربر بیت‌کوین در نتیجه یک خطای نرم‌افزاری، ۱.۶ بیت‌کوین به ارزش حدود ۱۰۲٬۷۷۸ دلار را به‌ عنوان کارمزد شبکه پرداخت کرد، بدون اینکه حتی یک ساتوشی به گیرنده برسد. این تراکنش در تاریخ ۱۲ اوت و در بلاک ۹۶۲٬۱۴۲ تأیید شد. بررسی داده‌های بلاکچین نشان می‌دهد که این تراکنش تنها یک ورودی به ارزش حدود ۱.۶ BTC داشته و کل این مبلغ به ‌عنوان کارمزد به ماینرها رسیده است؛ در حالی که خروجی تراکنش هیچ ارزش مالی نداشته است. مشکل از استفاده نادرست از قابلیت Replace-by-Fee یا RBF آغاز شد. این قابلیت به کاربران اجازه می‌دهد که برای تراکنش تأییدنشده، نسخه جدیدی با کارمزد بالاتر ارسال کنند تا سریع‌تر وارد بلاک شود. اما در این مورد، یک اسکریپت خودکار به ‌جای توقف در یک سقف مشخص، تقریباً هر ثانیه کارمزد پیشنهادی را افزایش داده و در نهایت کل موجودی کیف پول را بلعیده است. در نتیجه، آخرین نسخه تراکنش هیچ مبلغی برای گیرنده باقی نگذاشت و تمام ۱.۶ BTC به ماینر تعلق گرفت. SpiderPool این بلاک را استخراج کرد و تقریباً ۸۸ درصد از کل کارمزدهای بلاک، یعنی حدود ۱.۸۲ BTC، از همین اشتباه به دست آمد. این اتفاق اهمیت کنترل ابزارهای خودکار در کیف پول‌های رمزارزی را برجسته می‌کند. اول: افزایش خودکار کارمزد با RBF را خاموش کنید. تأیید دستی باعث می‌شود قبل از هر افزایش کارمزد، یک انسان آن را بررسی کند. دوم: یک سقف سخت برای کارمزد تعیین کنید. بیشتر کیف پول‌های مدرن امکان تعیین حداکثر مقدار ساتوشی به ‌ازای هر بایت را دارند. همین محدودیت به‌تنهایی می‌توانست این حلقه را ظرف چند ثانیه متوقف کند. سوم: همیشه ابتدا یک تراکنش آزمایشی انجام دهید. ارسال چند هزار ساتوشی می‌تواند نشان دهد که بات یا اسکریپت قبل از جابه‌جایی پول واقعی درست کار می‌کند. معامله‌گرانی که پرداخت‌ها را به ‌صورت گروهی (Batch) انجام می‌دهند، باید پس از هر به‌روزرسانی نرم‌افزار این آزمایش را دوباره انجام دهند. در همین حال، این اتفاق بار دیگر یک موضوع آشنا در حوزه خودحضانتی (Self-Custody) را برجسته می‌کند. قربانیان هک اخیر کیف پول Coldcard نیز اقدامات امنیتی مناسبی را رعایت کرده بودند، اما با این حال تمام دارایی خود را از دست دادند. چانگ‌پنگ ژائو، بنیان‌گذار بایننس، نیز پس از این حادثه به نکته مشابهی اشاره کرد و گفت که هیچ کیف پولی کاملاً نفوذناپذیر نیست. بنابراین، اتوماسیون باید به اندازه عبارت بازیابی (Seed Phrase) جدی گرفته شود. یک اسکریپت که بدون نظارت اجرا می‌شود، می‌تواند موجودی یک کیف پول را حتی سریع‌تر از یک مهاجم خالی کند. نوشته اشتباه ۱۰۲ هزار دلاری؛ یک کاربر ۱.۶ BTC کارمزد پرداخت کرد و هیچ ‌چیز نفرستاد! اولین بار در رمز ارز نیوز. پدیدار شد.

منبع: رمزارز نیوز