31 ตุลาคม 2023 12:39:23 น. ตามเวลาปักกิ่งUnibot ประสบกับช่องโหว่ที่เป็นอันตรายและสูญเสียทรัพย์สินมูลค่า 640,000 ดอลลาร์ผู้โจมตีใช้ประโยชน์จากช่องโหว่ การโทรโดยพลการ ในสัญญาเราเตอร์ Unibot เพื่อโอนโทเค็นต่าง ๆ มูลค่า 640,000 ดอลลาร์ที่ได้รับอนุญาตล่วงหน้าไปยังสัญญาการกำหนดเส้นทางเป็นชื่อของเขาเอง
ก่อนอื่นให้เราทำความเข้าใจการวิเคราะห์ช่องโหว่และกระบวนการโจมตีของเหตุการณ์นี้ก่อน
การวิเคราะห์ช่องโหว่
ฟังก์ชัน 0xb2bd16ab() ตรวจสอบพารามิเตอร์อินพุตไม่ถูกต้อง โดยเฉพาะ varg 0 และ varg 4 ซึ่งใช้ในการเรียกสัญญาโทเค็นภายนอกโดยพลการ และดำเนินการเมธอด transferFrom()
กระบวนการโจมตี
การโจมตีเริ่มต้นเมื่อเวลา 12:39:23 น. ของวันที่ 31 ปักกิ่ง และดำเนินไปจนถึงเวลา 14:09:47 น. ของวันที่ 31 ในช่วงเวลานี้ผู้โจมตีทำธุรกรรมการโจมตี 22 รายการเรียกสัญญาโจมตี"0x5456a7bf()"วิธีการซึ่งเรียกสัญญาเราเตอร์ Unibot ซ้ำ ๆ"0xb2bd16ab()"วิธีการถ่ายโอนโทเค็นต่าง ๆ จากที่อยู่ของเหยื่อไปยังบัญชีของเขาเอง
โทเค็นทั้งหมด 42 รายการถูกถ่ายโอนผ่านเราเตอร์จากที่อยู่ของเหยื่อ 364 รายการไปยังผู้โจมตี ซึ่งต่อมาได้ขายโทเค็นได้รับทั้งหมด 355.5 ETH (ประมาณ $640,000)
ทีม Unibot ตอบกลับในภายหลังด้วยการปรับใช้สัญญาเราเตอร์ใหม่ ในบัญชี X อย่างเป็นทางการของพวกเขา พวกเขายังได้ประกาศแผนการชดเชยสำหรับเหยื่อทุกคนด้วย ปัจจุบัน 355.5 ETH ทั้งหมดได้ถูกโอนไปยัง Tornado.Cash แล้ว
บอทโทรเลข
การโจมตีนี้คล้ายกับเหตุการณ์ Maestrobot ก่อนหน้านี้มากเมื่อวันที่ 25 ตุลาคม CertiK Alert ได้ออกคำเตือนบนแพลตฟอร์ม X ว่าสัญญาเราเตอร์ของโครงการหุ่นยนต์ Telegram Maestro Bots ถูกโจมตี ส่งผลให้สูญเสียเงินประมาณ 500,000 เหรียญสหรัฐ
บอต Telegram เป็นฟิลด์ที่เกิดขึ้นใหม่ในโลก Web3.0 ซึ่งอนุญาตให้ผู้ใช้ดำเนินการ DeFi ต่างๆ ผ่านทางอินเทอร์เฟซ Telegram ในขณะที่รวมโทเค็นเข้าไปด้วย อย่างไรก็ตาม การแยกความแตกต่างระหว่างนวัตกรรมที่แท้จริงจากภาพลวงตาที่น่าสับสนกำลังมีความซับซ้อนมากขึ้นเรื่อยๆ
ทีมรักษาความปลอดภัยของ CertiK ได้ทำการวิจัยเกี่ยวกับ 61 โครงการในรายการโทเค็นบอต Telegram ของ CoinGeckoพบว่าเกือบ 40% ของโครงการถูกสงสัยว่าไม่มีการเคลื่อนไหวและอาจฉ้อโกงหรือเผชิญความเสี่ยงที่ไม่สามารถฟื้นตัวจากการขายออกอย่างรวดเร็วได้ กลไกการซื้อขายของแพลตฟอร์มเหล่านี้เป็นนวัตกรรมใหม่อย่างไม่ต้องสงสัย แต่หลายแพลตฟอร์มยังขาดรายละเอียดทางเทคนิคที่สำคัญ โดยเฉพาะอย่างยิ่งข้อมูลเกี่ยวกับการจัดการคีย์ส่วนตัวของกระเป๋าเงินในแอป เราขอแนะนำให้ผู้ใช้ดำเนินการด้วยความระมัดระวังอย่างยิ่งบนแพลตฟอร์มเหล่านี้ ลดการโต้ตอบกับพวกเขา และหลีกเลี่ยงการจัดเก็บทรัพย์สินในระยะยาว
เรียนรู้เกี่ยวกับบอท Telegram และโทเค็นของมัน
Telegram บอทเป็นโปรแกรมอัตโนมัติที่ทำงานผ่านโปรแกรมแชท Telegramพวกเขาสามารถดำเนินธุรกรรม ให้ข้อมูลตลาดแก่ผู้ใช้ ประเมินความรู้สึกบนโซเชียลมีเดีย และโต้ตอบกับสัญญาอัจฉริยะผ่านคำสั่งดำเนินการที่เริ่มต้นผ่านอินเทอร์เฟซ Telegram บอทประเภทนี้มีมานานหลายปีแล้ว แต่พวกเขาได้รับความสนใจในช่วงไม่กี่ปีที่ผ่านมาจากการเกิดขึ้นของโทเค็นบอท Telegram
Telegram Bot Token เป็นโทเค็นดั้งเดิมที่รวมอยู่ใน Telegram Bot และส่วนใหญ่จะใช้สำหรับฟังก์ชั่นการซื้อขายที่หลากหลาย เช่น การดำเนินการธุรกรรม DEX การจัดการพอร์ตการลงทุนในกระเป๋าเงิน Yield Farming และการดำเนินการอื่น ๆ ที่เป็นไปได้ที่เกี่ยวข้องกับ DeFi โทเค็นเหล่านี้อนุญาตให้ผู้ใช้เชื่อมต่อกับ DeFi ทั้งหมดได้ง่ายๆ โดยการโต้ตอบกับอินเทอร์เฟซ Telegramหากโปรแกรมเหล่านี้ยังคงปลอดภัยและใช้งานได้ในระยะยาว อาจส่งผลกระทบอย่างมีนัยสำคัญต่อการเข้าถึง DeFi โดยรวม
หลังจากวันที่ 20 กรกฎาคมปีนี้ ความนิยมของโทเค็นเหล่านี้เพิ่มขึ้นอย่างมาก โดยมีโทเค็นบางส่วนเพิ่มขึ้นมากกว่า 1,000% แนวโน้มนี้สะท้อนให้เห็นถึงความบ้าคลั่งที่เป็นวัฏจักรซึ่งพบได้ทั่วไปในชุมชน Web 3.0 ซึ่งได้แรงหนุนจากการสะท้อนการเล่าเรื่องของชุมชนสกุลเงิน Web 3.0 บนแพลตฟอร์ม X (เดิมคือ Twitter)
โดยเฉพาะอย่างยิ่งหลังจากที่ Unibot มีชื่อเสียง TBT จำนวนมากก็เกิดขึ้น ณ วันที่ 3 สิงหาคม 2023 ส่วน Robot Tokens ของ CoinGecko ได้แสดงรายการระบบดังกล่าวแล้ว 61 ระบบ
ข้ามทางแยกแห่งการเล่าเรื่อง
TBT (Telegram Bot Token) ครองตำแหน่งเฉพาะในฟิลด์ Web3.0 บนแพลตฟอร์ม X (เดิมชื่อ Twitter) ผู้ที่ชื่นชอบสกุลเงิน Web 3.0 มักจะพูดถึงพวกเขาว่าเป็นโทเค็นยูทิลิตี้ ก่อนหน้านี้ คำว่า ใช้งานได้จริง มีความเกี่ยวข้องกับ meta-narratives ในด้านสกุลเงิน Web3.0 ซึ่งมักจะเกี่ยวข้องกับเรื่องราวในอุตสาหกรรมระดับมืออาชีพ เช่น ปัญญาประดิษฐ์ เทคโนโลยีทางการเงิน โลจิสติกส์ และธุรกรรมข้ามพรมแดน TBT เดิมได้รับการพัฒนาด้วยการเล่าเรื่อง ยูทิลิตี้ โดยมีเป้าหมายเพื่อกระจายอำนาจและปรับปรุงกิจกรรมการซื้อขายผ่านอินเทอร์เฟซผู้ใช้ที่เป็นนวัตกรรมใหม่ อย่างไรก็ตาม จริงๆ แล้ว TBT เป็นมากกว่าการเล่าเรื่องเชิงอภิมานเพียงเรื่องเดียว โดยค้นหาเสียงสะท้อนในการเล่าเรื่องแบบมีมและแบบไม่มีมีมที่หลากหลาย
ในขณะเดียวกัน ขณะที่การเล่าเรื่อง TBT พัฒนาขึ้นกระแสฮือฮาเป็นระยะๆ เกี่ยวกับโทเค็นมีมของมินิเกมปรากฏขึ้นโดยเฉพาะโครงการที่เรียกว่า $HAMS $HAMS เป็นโทเค็นมีมอายุสั้นที่ช่วยให้ผู้ใช้สามารถวางเดิมพันสตรีมสดการแข่งขันหนูแฮมสเตอร์ได้ อย่างไรก็ตาม $HAMS เสียชีวิตไม่นานหลังจากเปิดตัวหลังจากสมาชิกในชุมชนกล่าวหาว่าผู้ดำเนินการนำภาพวิดีโอหนูแฮมสเตอร์กลับมาใช้ซ้ำ สิ่งนี้ทำให้เกิดโทเค็นที่ระลึกการเล่นเกมอื่น ๆ มากมายหรือที่เรียกว่า TBT หนึ่งในโทเค็นเรียกว่า “$TETRIS” ซึ่งผู้ใช้สามารถเดิมพันและเข้าร่วมการแข่งขัน Tetris ระหว่างผู้เล่นได้ การเชื่อมโยงระหว่างโทเค็นที่ระลึกของเกมบางรายการเกิดขึ้นจากการกล่าวถึงอย่างกว้างขวางบนแพลตฟอร์ม X
อีกตัวอย่างหนึ่งของครอสโอเวอร์การเล่าเรื่อง TBT เกี่ยวข้องกับ PAAL AI แม้ว่านี่จะไม่ใช่มีมเฉพาะ แต่โครงการก็ได้พัฒนาแชทบอท Telegram ที่คล้ายกับ ChatGPT โครงสร้างโทเค็นและโปรเจ็กต์ยังคล้ายคลึงกับโครงสร้าง TBT อื่นๆ อีกด้วย สิ่งที่น่าสงสัยก็คือ ดูเหมือนว่าโปรเจ็กต์นี้ไม่ได้สร้าง Telegram chatbot แต่เป็นเว็บอินเตอร์เฟสที่คล้ายกับ ChatGPT อย่างไรก็ตาม บอทยังคงสามารถรวมเข้ากับช่องทาง Telegram ส่วนตัวของผู้ใช้ผ่าน API ได้
การจัดประเภท TBT ของ CoinGecko
ไม่นานหลังจากการเปิดตัว Unibot CoinGecko ได้เปิดตัวรายการ TBT โดยละเอียด รายการนี้เผยแพร่ครั้งแรกประมาณวันที่ 20 กรกฎาคม และมีเหรียญอยู่ประมาณ 30 เหรียญ ในเวลาเพียงไม่กี่สัปดาห์ จำนวนดังกล่าวก็เพิ่มขึ้นเป็น 61 เราวิเคราะห์รายการโดยใช้วิธีการที่หลากหลาย รวมถึงตัวชี้วัดแบบผสม เช่น โมเมนตัมราคา การเปลี่ยนแปลงของสภาพคล่อง และกิจกรรมการซื้อขาย และจัดหมวดหมู่โครงการตามว่าพวกเขามีแนวโน้มที่จะตายหรือการซื้อขายยังคงดำเนินอยู่หรือไม่ การกระจายเฉพาะ ณ เดือนสิงหาคมแสดงอยู่ในแผนภูมิแท่งด้านล่าง:
จาก 61 โครงการเหล่านี้ เราจัดประเภท 37 โครงการว่าใช้งานอยู่ และ 24 โครงการว่าเสียชีวิตหรืออาจเสียชีวิต โครงการเหล่านี้ลดลงมากกว่า 85% มีสภาพคล่องเพียงเล็กน้อยหรือไม่มีเลยในพูลและไม่มีกิจกรรมใด ๆ หรือมีแนวโน้มว่าจะเป็นการหลอกลวง นั่นคือเกือบ 40% ของโครงการในหมวดนี้ตายไปแล้วหรือไม่น่าจะฟื้นตัวได้
เป็นมูลค่าการกล่าวขวัญว่ากระเป๋าเงินที่ให้ไว้เมื่อลงทะเบียนบัญชีบอท Telegram นั้นถูกสร้างขึ้นโดยอัตโนมัติ และจะมีการให้รหัสส่วนตัวในภายหลัง Unibot ไม่ได้ระบุว่าจะจัดเก็บคีย์ส่วนตัวเหล่านี้อย่างไรหรือที่ไหน ไม่ว่าจะอยู่ในเครื่องหรือหลังเซิร์ฟเวอร์ซึ่งหมายความว่าการใช้บอท Telegram เหล่านี้เพื่อการซื้อขายและการจัดเก็บเงินทุนเป็นสิ่งที่อันตรายอย่างยิ่ง
โครงการที่ไม่ได้รวมเข้ากับ Telegram
ในระหว่างการวิจัยของเรา เราค้นพบว่าบางโครงการที่ระบุว่าเป็น TBT ไม่ได้รวมโทเค็นเข้ากับ Telegram หรือไม่มีบอทซื้อขาย Telegram แต่มีเพียงช่องทางชุมชน Telegram ปกติเท่านั้น บางโปรเจ็กต์มี DApps ภายนอกที่มีฟังก์ชันการทำงานเหมือนกับ Unibot และแผนงานของโปรเจ็กต์อื่นๆ ระบุว่าจะมีการนำการบูรณาการ Telegram มาใช้ในอนาคต
โครงการอื่นๆ ไม่มีคุณลักษณะเหล่านี้ แต่การมีอยู่ในรายการนี้อาจบ่งบอกถึงเรื่องราวแบบตัดกันที่เรากล่าวถึงก่อนหน้านี้ โครงการเหล่านี้อาจระบุตัวเองว่าเป็นโครงการประเภท TBT เมื่อส่งใบสมัครไปที่ CoinGecko และระบุเป้าหมายของการบูรณาการหรือการบูรณาการในอนาคต เราได้เห็นแล้วว่าการเล่าเรื่องที่เกินจริงสามารถขยายหมวดหมู่ของโทเค็นบางประเภทได้อย่างไร โดยที่โทเค็นบางตัวมีอยู่ในลักษณะ เหมือนมีม แม้ว่าจริง ๆ แล้วโปรเจ็กต์จะไม่เกี่ยวข้องกับหมวดหมู่ที่ได้รับมอบหมายก็ตาม จากการวิเคราะห์ของเรา ผลกระทบของการเล่าเรื่องเกินจริงประเภทนี้มีมากพอที่จะอธิบายความแตกต่างข้างต้นได้บางส่วน
เขียนในตอนท้าย
เมื่อใดก็ตามที่มีการเล่าเรื่องใหม่ในชุมชนสกุลเงินดิจิทัล โครงการที่คล้ายกันจำนวนหนึ่งจะยังคงเผยแพร่ด้วยการเล่าเรื่องเดียวกัน ซึ่งหลายโครงการเป็นการหลอกลวงหรือพยายามขโมยทรัพย์สินของนักลงทุน และ TBT ก็ไม่มีข้อยกเว้นในเรื่องนี้
การพัฒนา TBT อาจเป็นนวัตกรรมที่เป็นเอกลักษณ์สำหรับชุมชน DeFi แม้ว่าประโยชน์ของโทเค็นดังกล่าวจะไม่ชัดเจน แต่การเกิดขึ้นของแพลตฟอร์มที่คล้ายกันทำให้นักลงทุนมีวิธีใหม่ในการรวบรวมข้อมูลลงในกลยุทธ์การซื้อขายอย่างไรก็ตาม ผู้ใช้ควรระมัดระวังอย่างยิ่งเกี่ยวกับแพลตฟอร์มเหล่านี้
ในสาขา TBT โครงการต่างๆ ดำรงอยู่ผ่านมีม และคุณค่าของโครงการเหล่านั้นอาจหายไปในชั่วข้ามคืน ซึ่งทำให้เราต้องรักษาทัศนคติการมีส่วนร่วมอย่างรอบคอบและรอบรู้ โปรเจ็กต์จำนวนมากไม่สามารถจัดเตรียมเอกสารที่ชัดเจนแก่ผู้ใช้เกี่ยวกับสถานที่จัดเก็บคีย์กระเป๋าสตางค์และวิธีการสร้างคีย์ ดังนั้นจึงมีความเสี่ยงมากมายที่ไม่ทราบสาเหตุ
ผู้ใช้ไม่ควรพิจารณาใช้แพลตฟอร์มเหล่านี้เพื่อจัดเก็บข้อมูลผู้ใช้ควรใช้ความระมัดระวังเมื่อเชื่อมโยงกระเป๋าเงินภายนอกกับแพลตฟอร์มเหล่านี้ หรือโต้ตอบกับเว็บไซต์ที่สร้างโดยโครงการเหล่านี้
