«MetaMask» (kripto hamyon xizmat ko’rsatuvchi kompaniya) yaqinda «Jaredfromsubway» (Efirium mayning (MEV) operatori)ga qarshi ishlatilgan va keng tarqalgan zanjir ichidagi xabarni jo‘natganini rad etdi. Bu xabar «Jaredfromsubway»dan 15 million dollar o‘g‘irlangan tuzoq sxemasi (honeypot exploit)dan keyin paydo bo‘ldi va kulgi sifatida talqin qilindi.
Hamyon ishlab chiqaruvchisi bu xabar asl hamyon manzillaridan emas, balki o‘xshash ko‘rinadigan Efirium Nomlar Xizmati (ENS – blokcheynda manzillarni soddalashtiruvchi tizim) orqali yuborilganini aniq ko‘rsatdi. Bu adashuv ko‘plab platformalarda ENS nomlari qanday aks ettirilishini ko‘rsatishda mavjud bo‘lgan dizayndagi kamchilikni ochib berdi.
MetaMask nomi atrofidagi chalkashlikka ENS orqali soxta nom yaratish sabab bo‘ldi
Ko‘pchilik platformalar ENS nomlarini ko‘rsatishda ularni kichik harflarda aks ettiradi. Bu odat muhim farqni yashiradi. «MetaMask.eth» (katta harflar bilan yozilgan) va asl «metamask.eth» (kichik harflarda yozilgan) ko‘pchilik foydalanuvchilar uchun bir xil ko‘rinadi. Ammo, blokcheynda bu ikki nom butunlay boshqa hamyon manzillariga tegishli.
Soxta nom ishlab chiqqan shaxs «Jaredfromsubway»ning sudga murojaat qilish tahdidini inkor qildi va da’voning sudda amal qilmasligini aytdi. «MetaMask» kompaniyasi X ijtimoiy tarmog’ida bu xabarga umuman aloqasi yo‘qligini tasdiqladi.
MetaMask «Jaredfromsubway»ga oid ushlab ketishdan keyingi o‘z pozitsiyasini tushuntirdi
«Jaredfromsubway» (MEV operatori) hujumchiga 50 foizlik kelishuv taklif qilgan va bu uchun 48 soatlik muddat bergan edi. U pullar qaytarilmasa, sudga murojaat qilishini aytgandi. Efirium MEV boti orqali amalga oshirilgan mablag‘ o‘g‘irlanishi markazlashmagan moliya (DeFi) hamjamiyatida katta e’tibor qozondi. Yoritilgan voqea natijasida hodisa soxta nomli foydalanuvchilar uchun ham jozibali maqsadga aylandi.
Hujumchi kelishuvga hozircha rozi bo‘lmagan. Zanjirdagi ma’lumotlarga ko‘ra, o‘g‘irlangan 7,5 million dollar miqdoridagi pullarning 5,1 million dollari «Tornado Cash» (markazsizlashtirilgan mikser platformasi)ga o‘tkazilgan. Mablag‘lar 2 000 ETH (efir) bo‘lib, har biri 100 ETHdan 20 ta tranzaksiyaga bo‘lingan. Qolgan 1422 ETH esa blokcheyn analitigiga ko‘ra, 2,44 million dollarlik DAI stablkoiniga almashtirilgan.
MEV bot orqali tuzoq sxemasi raqobatbardosh sharoitda MEV operatorlari duch kelayotgan xatarlarga yangicha savollar tug‘dirdi. Biroq, «MetaMask» nomidan soxta xabar yuborilgani MEV texnikasiga bog‘liq bo‘lmagan, boshqa muammoni yuzaga chiqardi. Bu esa nom berish tizimidagi zaiflikni ochib berdi. Bunday xatarlarga har qanday Efirium foydalanuvchisi duch kelishi mumkin. Bozor barqarorligi, investitsiyalar barqarorligi, kelajak barqarorligi — barchasi ishonchli tizimga bog‘liq.
ENSdagi dizayn kamchiligi Efirium foydalanuvchilarini xatarga olib kelmoqda
ENS nomlari qaydnoma standartiga amal qiladi — barcha katta harflar kichik harfga aylantiriladi. Natijada, nomlar ekranda farqsiz aks etadi, lekin ro‘yxatdan o‘tkazishda harflarning katta va kichikligi hisobga olinadi. Shuning uchun, «MetaMask.eth» nomini ro‘yxatdan o‘tkazgan zararli foydalanuvchi ham texnik jihatdan haqiqiy ENS nomiga ega bo‘ladi va talab qo‘yishi mumkin.
ENS tizimi faqat harf katta-kichikligi bilan farq qilgan nomlarni ro‘yxatdan o‘tkazishni to‘xtatmaydi. Yomon niyatli shaxslar oldindan shu kabi soxta nomlarni ro‘yxatdan o‘tkazib, muhim voqealar paytida faollashtirishi mumkin. Iyun oyidagi kripto xakerlik to‘lqini allaqachon shaxsni aldashga asoslangan va ommaga ochiq voqealarga bog‘langan bu kabi naqshlarni ochib berdi.
DeFi xavfsizligida keng tarqalgan holat
Bu orada, kripto xavfsizligini boshqarish bo‘yicha oliy darajadagi chora-tadbirlar asosan kriptografik (ma’lumotlarni shifrlash) standartlariga qaratilgan. Lekin, tashqi ko‘rinishda (displeyda) nom berishdagi zaifliklar bu tartibga kiritilmagan. Natijada, bu bo‘shliqni ishlab chiquvchilar va hamyon xizmat ko‘rsatuvchi tashkilotlar o‘zlari mustaqil bartaraf etishlari zarur.
«MetaMask» holati DeFi sohasida tez-tez uchraydigan muammolar turkumiga mos keladi. Yovuz niyatli shaxslar har safar interfeysda ko‘rsatiladigan va protokollar orqali bajariladigan amallar o‘rtasidagi farqlardan foydalanishadi. DeFi kredit berish protokollaridagi yo‘qotishlar ham xuddi shu holatni tizimli darajada qanday ko‘rinishini ko‘rsatadi. Sanoat bunday bo‘shliqlarni yopmaguncha, nom soxtalashtirish orqali tashkil etilgan xurujlar arzon va foydali yo‘l bo‘lib qoladi. Kriptosohada vaqt – bu nafaqat pul, balki ishonch. Faoliyat nafaqat yangiliklar, balki mas’uliyat bilan belgilanadi.
