تعرضت مساحة التمويل اللامركزي (DeFi) لهجوم آخر تبلغ قيمته عدة ملايين من الدولارات. هذه المرة، تم استغلال مزود السيولة وصانع السوق TrustedVolumes من خلال ثغرة في العقد الذكي مساء الخميس.
قراءة ذات صلة: سولانا تتطلع إلى صعود جديد بعد اختراق المثلث – هل 96 دولارًا هي المحطة التالية؟
TrustedVolumes تتعرض لاختراق بقيمة 6.7 مليون دولار
يوم الخميس، تعرضت منصة التمويل اللامركزي TrustedVolumes – إحدى مزودي السيولة وصناع السوق لـ 1inch – لاستغلال جديد أدى إلى سحب ملايين الدولارات من الأصول المختلفة من المشروع. وفقًا لشركات أمن البلوكشين PeckShield و Blockaid، سرق المهاجم حوالي 6 ملايين دولار من الإيثريوم المغلف (WETH)، والبيتكوين المغلف (WBTC)، و USDT، و USDC. وقد فعلوا ذلك من خلال استغلال خلل في منطق التحقق من التوقيع الأساسي للبروتوكول، مما سمح لهم بتجاوز عمليات التحقق من الصلاحية وإنشاء أوامر تداول مزيفة.
يُذكر أن المخترق قام بسرعة بتبديل جميع الأصول المسروقة إلى 2,513 إيثريوم (ETH) في بورصة لامركزية (DEX) وتوزيعها على ثلاثة عناوين مختلفة. في منشور على منصة X، أكدت TrustedVolumes الحادثة، وشاركت العناوين التي تحتوي حاليًا على الأموال المسروقة، وحدّثت الخسارة المقدرة إلى حوالي 6.7 مليون دولار.
كانت الثغرة في وكيل مقايضة RFQ (طلب عرض سعر) مخصص تتحكم فيه TrustedVolumes. أوضح الباحث في العملات الرقمية همفري أن "عقد وكيل مقايضة RFQ المخصص يحتوي على وظيفة تهدف إلى إدارة القائمة البيضاء لـ 'الموقع المصرح للطلب'. أنظمة القوائم البيضاء هذه شائعة في DeFi – فقط العناوين الموجودة في القائمة يمكنها إصدار تعليمات معاملات صالحة نيابة عن البروتوكول." ومع ذلك، أشار إلى أن "وظيفة التسجيل هذه عامة وليس لديها قيود على الأذونات." نتيجة لذلك، استخدم المهاجم هذه الوظيفة العامة لإضافة نفسه كموقع طلب مصرح به. "نظرًا لأن أي عنوان خارجي يمكنه استدعاء هذه الوظيفة، فإن الأمر يشبه إعطاء الجميع القدرة على نسخ مفتاح الخزنة"، أضاف الباحث.
نفس المخترق، هجوم مختلف
كشفت التقارير عبر الإنترنت أن المهاجم هو نفس الشخص الذي يقف وراء استغلال عقد تسوية 1inch Fusion V1 بقيمة 5 ملايين دولار في مارس 2025، حيث كانت TrustedVolumes أيضًا الضحية الرئيسية. لاحظ همفري أنه بينما نفذ نفس الشخص كلا الهجومين، إلا أنهما كانا مختلفين جدًا على المستوى التقني.
وفقًا للمنشور، تضمنت الثغرة في عام 2025 التلاعب بذاكرة EVM منخفضة المستوى في عقد تسوية 1inch Fusion V1. في ذلك الوقت، "بدأ المخترق بشكل استباقي مفاوضات على السلسلة"، وعرض إعادة الأموال المسروقة مقابل مكافأة اختراق أخلاقي (white hat bounty). قبلت منصة DeFi العرض، وتم إرجاع معظم الأموال بأمان. الآن، صرحت TrustedVolumes بأنها "منفتحة على التواصل البناء بشأن مكافأة اختراق أخلاقي وحل مقبول للطرفين."
أوضح مجمع البورصات اللامركزية 1inch أن أنظمته وبنيتها التحتية وأموال مستخدميه لم تتأثر. وأوضح أن "TrustedVolumes تعمل بشكل مستقل كمزود سيولة، وتستخدمها العديد من البروتوكولات عبر الصناعة، وهي ليست حصرية لـ 1inch."
ارتفاع تاريخي في عمليات استغلال DeFi
يأتي هذا الهجوم بعد موجة من عمليات الاستغلال التي هزت قطاع DeFi خلال الشهر الماضي. الأسبوع الماضي، أبلغت PeckShield أن مجال العملات الرقمية شهد 40 اختراقًا كبيرًا في أبريل، مما أدى إلى سحب حوالي 647 مليون دولار.
قراءة ذات صلة: انهيار مخطط بونزي للعملات الرقمية بقيمة 150 مليون دولار: تجميد 41.5 مليون دولار في انهيار بورصة DSJ
يمثل هذا الرقم زيادة بنسبة 1,140٪ على أساس شهري مقارنة بـ 52.2 مليون دولار في مارس. كما يمثل قفزة بنسبة 292٪ عن 165 مليون دولار المفقودة في قطاع DeFi خلال الربع الأول من عام 2026. يُذكر أن الحادثتين الأكبر في الشهر – استغلال Drift Protocol بقيمة 285 مليون دولار واستغلال KelpDAO بقيمة 290 مليون دولار – شكلتا 91٪ من الأموال المفقودة في أبريل. أصبح هذان الهجومان الآن من بين أكبر 10 اختراقات منذ عام 2021.
الصورة المميزة من Unsplash.com، الرسم البياني من TradingView.com
الأسئلة الشائعة
فيما يلي قائمة بالأسئلة الشائعة حول اختراق TrustedVolumes مكتوبة بأسلوب طبيعي وواضح وموجز
الأسئلة الشائعة: اختراق TrustedVolumes بقيمة 6.7 مليون دولار
أسئلة للمبتدئين
س: ماذا حدث لـ TrustedVolumes؟
ج: تم اختراق منصة DeFi تسمى TrustedVolumes. سرق المهاجم حوالي 6.7 مليون دولار من العملات الرقمية من عقودها الذكية.
س: هل أموالي على TrustedVolumes آمنة الآن؟
ج: لا. تم اختراق المنصة. إذا كان لديك أموال في العقود المتأثرة، فمن المحتمل أنها فقدت. يجب عليك التحقق فورًا من الإعلانات الرسمية من TrustedVolumes للحصول على تحديثات حول خطة الاسترداد أو التجميد.
س: ما هو اختراق العقد الذكي؟
ج: العقد الذكي يشبه اتفاقية رقمية ذاتية التنفيذ على البلوكشين. يعني الاختراق أن المهاجم وجد خللاً في هذا الكود – مثل باب خلفي مخفي أو خطأ منطقي – واستخدمه لسحب الأموال.
س: هل سأستعيد أموالي المسروقة؟
ج: من غير المحتمل جدًا. في معظم اختراقات DeFi، يتم نقل الأموال المسروقة بسرعة وغسلها من خلال خلاطات أو بلوكشينات أخرى، مما يجعل الاسترداد صعبًا للغاية. لا يوجد ضمان.
س: كيف حدث هذا في عام 2026؟ أليست منصات DeFi أكثر أمانًا الآن؟
ج: للأسف لا. بينما تحسن الأمان، أصبح المخترقون أيضًا أكثر تطورًا. لا تزال البروتوكولات الجديدة المعقدة وتحديثات الكود المتسرعة وهجمات التلاعب بالأوراكل شائعة. شهد عام 2026 ارتفاعًا حادًا في هذه الاستغلالات.
أسئلة متقدمة
س: ما هو النوع المحدد من الاستغلال الذي تم استخدامه ضد TrustedVolumes؟
ج: بينما لا يزال التدقيق الكامل معلقًا، تشير التقارير الأولية إلى هجوم قرض سريع (flash loan) مقترن بالتلاعب بأوراكل السعر. اقترض المهاجم كمية هائلة من العملات الرقمية بدون ضمانات، وغيّر سعر رمز بشكل مصطنع على TrustedVolumes، ثم باع الأصول المقترضة بربح قبل سداد القرض.
س: هل كان هذا خطأ في الكود أم تم سرقة مفتاح خاص؟
ج: يبدو أنه خطأ منطقي في العقد الذكي، وليس سرقة مفتاح إداري. استغل المهاجم خللاً في كيفية حساب المنصة لنسب الضمانات خلال وظيفة تداول محددة. هذا يعني أن الكود نفسه كان موطن الضعف، وليس كلمة مرور مخترقة.