لم يكن الخطأ الذي بقيمة 293 مليون دولار في الشيفرة؛ فما هو الأمر مع "خطأ تكوين DVN"، الذي أدى إلى أكبر اختراق في عام 2026؟
في 18 أبريل 2026، تم استغلال بروتوكول إعادة استثمار السيولة الخاص بـ Kelp DAO، حيث قام المهاجم بسحب 116,500 rsETH من جسر عبر السلاسل في غضون ساعات، مما يعادل حوالي 293 مليون دولار في ذلك الوقت. تم تنفيذ العملية بالكامل بكفاءة مع لمحة من الشذوذ، بدءًا من رسالة مزورة عبر السلاسل إلى غسل الأموال المسروقة عبر بروتوكولات الإقراض Aave V3 وCompound V3 وEuler مع أصول حقيقية مستعارة. خرج المهاجم بسرعة بمبلغ 236 مليون دولار من WETH في نفس اليوم. قامت Aave وSparkLend وFluid بتجميد سوق rsETH على الفور.
يمثل هذا أكبر حدث استغلال في DeFi لعام 2026.
ومع ذلك، هناك جانب يميز هذا الهجوم عن معظم حوادث الاختراق. لم يكن هناك أي ثغرات في الشيفرة الذكية لـ Kelp DAO. قال الباحث الأمني @0xQuit، الذي شارك في التحقيق، على X: "من ما أفهمه حاليًا، هذه مجموعة من مشكلتين: تكوين DVN 1 من 1 واختراق عقد DVN نفسه." في بيانهم الرسمي، لم تلوم LayerZero شيفرة العقد، بل صنفوا المشكلة على أنها "ثغرة rsETH" بدلاً من "ثغرة LayerZero."

لم يكن هناك 293 مليون دولار في أي سطر من الشيفرة. كانت مخفية داخل معلمة تم تكوينها بشكل خاطئ أثناء النشر.
المنطق الشائع وراء تدقيق أمان DeFi هو: العثور على العقد، قراءة الشيفرة، العثور على الثغرات. يعمل هذا المنطق بسلاسة كبيرة عند التعامل مع ثغرات منطق الشيفرة. أدوات مثل Slither وMythril ناضجة في اكتشاف الأنماط المعروفة مثل هجمات إعادة الدخول وتجاوزات الأعداد الصحيحة. كما أن LLM الذي تم الترويج له على نطاق واسع لمساعدة في تدقيق الشيفرة لديه بعض القدرة على تحديد ثغرات منطق الأعمال (مثل مسارات التحكيم للقروض الفورية).

ومع ذلك، في هذه المصفوفة، يتم تمييز صفين باللون الأحمر.
تندرج ثغرات مستوى التكوين ضمن نقطة عمياء هيكلية في التدقيق القائم على الأدوات. المشكلة مع Kelp DAO لم تكن في ملف .sol ولكن في معلمة - عتبة DVN - التي كُتبت أثناء نشر البروتوكول. تحدد هذه المعلمة عدد العقد المُصادقة التي يجب أن تمر بها رسالة عبر السلاسل لتعتبر صالحة. ليست في الشيفرة، ولا ضمن نطاق فحص Slither، ولا في مسار التنفيذ الرمزي لـ Mythril. وفقًا للدراسة المقارنة لشركة Dreamlab Technologies، اكتشفت Slither و Mythril 5/10 و 6/10 من الثغرات في العقد المختبر، على التوالي. ومع ذلك، فإن هذه النتائج تستند إلى فرضية أن الثغرات موجودة في الشيفرة. وفقًا لأبحاث IEEE، حتى على مستوى الشيفرة، يمكن للأدوات الحالية اكتشاف 8%-20% فقط من الثغرات القابلة للاستغلال.
من منظور نموذج التدقيق الحالي، لا توجد أداة يمكنها "الكشف عما إذا كانت عتبة DVN معقولة." لكشف هذا النوع من مخاطر التكوين، ما هو مطلوب ليس محلل شيفرة، بل قائمة فحص تكوين متخصصة: "هل عدد DVNs للبروتوكول عبر السلاسل ≥ N؟" "هل هناك متطلبات حد أدنى؟" مثل هذه الأسئلة لا تغطيها حاليًا الأدوات القياسية ولا يوجد معيار صناعي معترف به على نطاق واسع.
أيضًا ضمن المنطقة الحمراء هي أمان المفاتيح والعقد. في وصف @0xQuit، ذُكر أن عقدة DVN قد "تعرّضت للاختراق"، وهو ما يقع تحت أمان العمليات (OpSec) ويتجاوز حدود الكشف لأي أداة تحليل ثابتة. سواء كانت شركة تدقيق من الدرجة الأولى أو أداة فحص بالذكاء الاصطناعي، لا يمتلك أي منها القدرة على التنبؤ بما إذا كانت المفتاح الخاص لمشغل العقدة سيتسرب.
هذا الهجوم triggered منطقتين حمراء في المصفوفة في وقت واحد.

DVN هو آلية التحقق من رسائل عبر السلاسل لـ LayerZero V2، والتي تُسمى بالكامل شبكة المصدقين اللامركزية. فلسفة تصميمها هي إسناد اتخاذ قرارات الأمان إلى طبقة التطبيق: يمكن لكل بروتوكول متصل بـ LayerZero اختيار عدد عقد DVN المطلوبة للتأكيد قبل السماح بمرور رسالة عبر السلاسل.
هذه "المرونة" قد أنشأت طيفًا.
اختارت Kelp DAO الطرف الأقصى الأيسر من الطيف مع 1 من 1، مما يتطلب فقط عقدة DVN واحدة للتأكيد. هذا يعني تحمل خطأ صفر، حيث يحتاج المهاجم فقط إلى اختراق تلك العقدة الوحيدة لتزوير أي رسالة عبر السلاسل. على النقيض من ذلك، قامت Apechain، المتصلة أيضًا بـ LayerZero، بتكوين أكثر من اثنين من DVNs المطلوبة ولم تتأثر بهذا الحدث. كانت صياغة البيان الرسمي لـ LayerZero هي: "تظل جميع التطبيقات الأخرى آمنة"، مما يعني أن الأمان يعتمد على التكوين المختار.
التوصية القياسية في الصناعة هي على الأقل 2 من 3، حيث يحتاج المهاجم إلى اختراق عقدتين مستقلتين من DVN في نفس الوقت لتزوير رسالة، مما يزيد من تحمل الأخطاء إلى 33%. يمكن أن ترفع تكوينات الأمان العالية مثل 5 من 9 تحمل الأخطاء إلى 55%.
المشكلة هي أن المراقبين الخارجيين والمستخدمين لا يمكنهم رؤية هذا التكوين. المعروف أيضًا بأنه "مدعوم من LayerZero"، يمكن أن يتراوح الخلفية من 0% تحمل الأخطاء إلى 55% تحمل الأخطاء، وكلاهما يُشار إليه باسم DVN في الوثائق.
المستثمر المخضرم في العملات المشفرة دوفاي وان، الذي شهد حادثة Anyswap، صرح مباشرة على المنصة X: "تبين أن DVN الخاص بـ LayerZero هو مُحقق 1/1..." يجب أن تخضع جميع الجسور عبر السلاسل على الفور لمراجعة شاملة للأمان."

في أغسطس 2022، تم اكتشاف ثغرة في جسر Nomad عبر السلاسل. قام شخص ما بتكرار المعاملة الهجومية الأولية، وأجرى تعديلات طفيفة، وحقق النجاح، مما أدى إلى تكرار مئات العناوين للاستغلال وسحب 190 مليون دولار في غضون ساعات.
نسب التحليل اللاحق من قبل Nomad الثغرة إلى "تهيئة الجذر الموثوق كـ 0x00 خلال ترقية روتينية." كانت هذه خطأ في التكوين حدث خلال مرحلة النشر. كانت منطق التحقق من إثبات ميركل والشفرة نفسها سليمة؛ كانت المشكلة ناتجة عن قيمة أولية غير صحيحة.
بدمج هذه الحادثة مع الحوادث السابقة المتعلقة بـ Nomad، أدت ثغرات التكوين/التهيئة الآن إلى خسائر تقدر بحوالي 482 مليون دولار. في تاريخ استغلال الجسور عبر السلاسل، أصبح حجم هذه الفئة الآن ينافس حجم حوادث تعرض المفاتيح (مثل، رونين 624 مليون دولار، هارموني 100 مليون دولار، مالتي تشين 126 مليون دولار، بإجمالي حوالي 850 مليون دولار).
ومع ذلك، لم يكن تصميم المنتج في صناعة تدقيق الشفرات مركزًا أبدًا على هذه الفئة من الثغرات.
لا تزال معظم المناقشات في الصناعة تدور حول أخطاء منطق الشفرة. الحوادث مثل استغلال Wormhole بقيمة 326 مليون دولار بسبب تجاوز التحقق من التوقيع وخسارة Qubit Finance بقيمة 80 مليون دولار بسبب حدث إيداع مزيف تم تحليلها بشكل جيد مع تقارير ثغرات مفصلة، وإشارات CVE، وPoCs قابلة للتكرار، مما يجعلها مناسبة لتدريب أدوات التدقيق وتحسينها. مشكلات طبقة التكوين ليست مشفرة بشكل صريح، مما يجعل من الصعب معالجتها ضمن دورة الإنتاج.
تفصيل ملحوظ هو الآليات المميزة لتفعيل الحدثين المرتبطين بالتكوين. خطأ النماد ناتج عن تعيين قيمة أولية غير صحيحة عن غير قصد خلال ترقية روتينية، مما يشكل خطأً. من ناحية أخرى، كانت حادثة Kelp DAO 1-of-1 خيار تكوين نشط - لم يمنع بروتوكول LayerZero هذا الخيار، ولم تنتهك Kelp DAO أي قواعد بروتوكول. أدى خيار التكوين "المتوافق" وقيمة البداية "الخطأ" إلى نفس النتيجة في النهاية.

كانت منطق تنفيذ هذا الهجوم بسيطة. أبلغت رسالة مزورة عبر السلاسل شبكة Ethereum الرئيسية أن "شخصًا ما قد قفل بالفعل أصلًا مكافئًا على سلسلة أخرى"، مما أدى إلى سك rsETH على الشبكة الرئيسية. لم يكن rsETH الذي تم سكّه مدعومًا فعليًا، لكن سجله على السلسلة كان "صحيحًا" ويمكن قبوله من قبل بروتوكولات الإقراض كضمان.
ثم قام المهاجم بتوزيع 116,500 rsETH على Aave V3 (Ethereum وArbitrum)، وCompound V3، وEuler، مقترضًا أكثر من 236 مليون دولار من الأصول الحقيقية. وفقًا لمصادر متعددة، فإن التقدير الافتراضي المستقل لـ Aave V3 هو حوالي 177 مليون دولار. تحتوي وحدة أمان Aave Umbrella، المستخدمة لامتصاص خسائر التخلف عن السداد، على احتياطي WETH يبلغ حوالي 50 مليون دولار مع نسبة تغطية تقل عن 30%، مع تحمل المبلغ المتبقي من قبل حاملي aWETH.
هذا يقع في النهاية على عاتق أولئك الذين أرادوا ببساطة كسب بعض الفوائد من WETH.
في وقت كتابة هذه السطور، لا يزال LayerZero يجري تحقيقًا مشتركًا مع منظمة الاستجابة الطارئة للأمن SEAL Org ويخطط لإصدار تقرير تحليل ما بعد الحادث بالتعاون مع Kelp DAO بمجرد الحصول على جميع المعلومات. ذكرت Kelp DAO أنهم يعملون على "إصلاح نشط".
الاستغلال البالغ 293 مليون دولار ليس في الشيفرة. لم تغطي العبارة "تم اجتياز التدقيق" موقع تلك المعلمة.
قد يعجبك أيضاً

هل سيخفض بنك الاحتياطي الفيدرالي أسعار الفائدة مرة أخرى؟ بيانات الليلة حاسمة
تواجه الأسواق المالية تذبذبات كبيرة في توقعات تخفيض بنك الاحتياطي الفيدرالي للفائدة، وسط نزاعات جيوسياسية وارتفاع معدلات التضخم.…

تحليل سعر عملة كاردانو ADA بعد ارتفاع حجم التداول بنسبة 48٪: هل هناك تعافي قريب؟
سعر عملة كاردانو ADA مستقر عند مستوى 0.24 دولار ويرتفع في آخر 24 ساعة بنسبة 1.17٪، مما يشير…

هبوط الذهب المرمز على سولانا: هل سيكون تحسين الطبقة الثانية للبيتكوين هو التالي لتعزيز الأصول الحقيقية؟
قامت OCBC Singapore بطرح GOLDX بالمازة الذهبية عبر سلاسل سولانا وإيثريوم. ارتفعت حجم التداول للذهب المرمز على سولانا…

توقعات سعر البيتكوين: رهان بيتكوين الكبير من بلاك روك
بلاك روك تعزز ثقتها في البيتكوين بـ $871 مليون في تدفقات ETF. مؤسسة بلاك روك تتوقع هدفًا طويل…

مايكل سايلور يلمح لشراء بيتكوين أكبر بعد الإعلان عن توزيعات الأرباح نصف الشهرية
مايكل سايلور يشير لتحضيرات شركة Strategy لشراء بيتكوين كبير بعد شراء سابق بقيمة تتجاوز مليار دولار. الشركة تعيد…

توقعات سعر Ethereum: memecoin تزدهر وWojak تقفز بنسبة 300% بعد مسيرة ASTEROID الرائعة
سوق العملات المشفرة يشهد إشارات مبكرة لازدهار memecoin في شبكة Ethereum. تراجع سعر ETH دون $2,300 يجري وسط…

توقعات سعر إيثيريوم: أكبر بنك في سنغافورة يطلق صندوق الذهب على إيثيريوم
أطلقت OCBC صندوق GOLDX الذي يرمز إلى الذهب المادي على إيثيريوم وسولانا، ما يوفر صفقات مشروعة داخل الأسواق…

ارتفاع تدفقات صناديق الاستثمار في البيتكوين إلى ما يقرب من مليار دولار الأسبوعية
تزايد تدفقات الاستثمار في صناديق البيتكوين الفورية إلى ما يقرب من مليار دولار، مما يمثل أقوى أسبوع تداول…

توقعات سعر البيتكوين: استمرار الحرب بين الولايات المتحدة وإيران، والبيتكوين يبقى صامدًا
البيتكوين يُظهر مرونة ملحوظة وسط الأزمات الجيوسياسية الأخيرة. التحقيقات تُشير إلى أن دائرة البيع لكل موجة تواجهها العملات…

أضرار بقيمة 293 مليون دولار تستنزف 8 مليارات من Total Value Locked للـ Aave: هل يعاني بروتوكول DeFi من أزمة؟
شهدت Aave خسارة قيمة مقفلة بقيمة 8 مليارات دولار بعد هجوم سيبراني، مما أضعف مكانتها في سوق DeFi.…

سعر البيتكوين تحت 79 ألف دولار – هل يمكن لمحفظة BMIC الآمنة ضد الكمّ جذب حاملي البيتكوين؟
يصل سعر البيتكوين لمرحلة حرجة بين 76 ألف دولار و79 ألف دولار، ويترقب المتداولون حدوث كسر للارتفاع أو…

توقعات سعر XRP: إطلاق عملة XRP مغلفة على سولانا — هل هذا هو فتح DeFi الذي ينتظره حاملو XRP؟
ارتفع سعر XRP إلى 1.40 دولار بعد زيادة بنسبة 5.15% على مدار 48 ساعة من إطلاق xrp مغلفة…

الاتحاد الأوروبي يطالب بقواعد الـ DLT للحفاظ على الريادة في المالية المرمزة
التحذير من تأخر أوروبا في التمويل الرمزي دفع 39 شركة لطلب تسريع قواعد الـ DLT. دعوة بعض الجهات…

دورة عملة بيتكوين 2024 تضعف بشكل كبير مقارنة بالتجزئة السابقة: محلل
دورة 2024 بيتكوين أضعف بكثير مقارنة بالتجزئات الثلاثة السابقة. التقلبات في السوق الحالية أقل بكثير، مما يغير الطريقة…

سايلور يشير إلى شراء بيتكوين أكبر في الأيام القادمة مع تقديم توزيعات أرباح نصف شهرية
أعلن مايكل سايلور عن نية لشراء بيتكوين كبير قريبًا. شركة Strategy خططت لتوزيع الأرباح على المساهمين نصف شهرية.…

قد يغير ثلث المستثمرين الأوروبيين البنوك من أجل وصول أفضل إلى العملات المشفرة
أظهر استطلاع أن 35% من المستثمرين الأوروبيين يفكرون في تغيير بنوكهم للحصول على خيارات أفضل للاستثمار في العملات…

شراء استراتيجي لـ34,164 بيتكوين بقيمة 2.5 مليار دولار، وارتفاع الحيازات فوق 800,000 بيتكوين
شركة ستراتيجي اشترت 34,164 بيتكوين بقيمة 2.54 مليار دولار، ورفعت حيازاتها الإجمالية إلى 815,061 بيتكوين. نُفِّذت عملية الشراء…

قيمة TVL لـ Aave تتراجع بمقدار 8 مليارات دولار بعد اختراق Kelp DAO بقيمة 293 مليون دولار
شهدت Aave انخفاضًا في قيمة TVL بنحو 8 مليارات دولار، مما أدى إلى ضرب اعتمادها كأكبر بروتوكول DeFi.…
هل سيخفض بنك الاحتياطي الفيدرالي أسعار الفائدة مرة أخرى؟ بيانات الليلة حاسمة
تواجه الأسواق المالية تذبذبات كبيرة في توقعات تخفيض بنك الاحتياطي الفيدرالي للفائدة، وسط نزاعات جيوسياسية وارتفاع معدلات التضخم.…
تحليل سعر عملة كاردانو ADA بعد ارتفاع حجم التداول بنسبة 48٪: هل هناك تعافي قريب؟
سعر عملة كاردانو ADA مستقر عند مستوى 0.24 دولار ويرتفع في آخر 24 ساعة بنسبة 1.17٪، مما يشير…
هبوط الذهب المرمز على سولانا: هل سيكون تحسين الطبقة الثانية للبيتكوين هو التالي لتعزيز الأصول الحقيقية؟
قامت OCBC Singapore بطرح GOLDX بالمازة الذهبية عبر سلاسل سولانا وإيثريوم. ارتفعت حجم التداول للذهب المرمز على سولانا…
توقعات سعر البيتكوين: رهان بيتكوين الكبير من بلاك روك
بلاك روك تعزز ثقتها في البيتكوين بـ $871 مليون في تدفقات ETF. مؤسسة بلاك روك تتوقع هدفًا طويل…
مايكل سايلور يلمح لشراء بيتكوين أكبر بعد الإعلان عن توزيعات الأرباح نصف الشهرية
مايكل سايلور يشير لتحضيرات شركة Strategy لشراء بيتكوين كبير بعد شراء سابق بقيمة تتجاوز مليار دولار. الشركة تعيد…
توقعات سعر Ethereum: memecoin تزدهر وWojak تقفز بنسبة 300% بعد مسيرة ASTEROID الرائعة
سوق العملات المشفرة يشهد إشارات مبكرة لازدهار memecoin في شبكة Ethereum. تراجع سعر ETH دون $2,300 يجري وسط…
