حملة كوريا الشمالية الخاطفة على التمويل اللامركزي بقيمة 577 مليون دولار: اختراق منصتي Drift وKelp خلال 18 يومًا

نفذ قراصنة تابعون لدولة كوريا الشمالية اثنين من أكبر اختراقات التمويل اللامركزي (DeFi) في التاريخ خلال شهر واحد، حيث استنزفوا ما مجموعه أكثر من 577 مليون دولار من بروتوكول Drift وKelp DAO. وقد نسبت شركات تحليلات البلوكشين، ومزودو البنية التحتية عبر السلاسل (cross-chain)، وباحثو الأمن المستقلون كلا الهجومين — بدرجات متفاوتة من الثقة — إلى وحدات اختراق تعمل تحت إشراف أجهزة الدولة في كوريا الشمالية، مما يمثل ما وصفه المحللون بحملة منسقة ومتصاعدة ضد بنية التمويل اللامركزي التحتية.

اختراق بروتوكول Drift: تسلل استمر لستة أشهر

في 1 أبريل 2026، استنزف المهاجمون ما يقرب من 285 مليون دولار من بروتوكول Drift — وهو أكبر بورصة لا مركزية للعقود الآجلة الدائمة على شبكة Solana — فيما أصبح أكبر اختراق للتمويل اللامركزي في العام حتى تلك اللحظة، وثاني أكبر اختراق في تاريخ Solana، بعد اختراق جسر Wormhole البالغ 326 مليون دولار في عام 2022. وصف التقرير التحليلي لـ Drift الهجوم بأنه "استغرق ستة أشهر من الإعداد"، ونسبه بثقة متوسطة إلى UNC4736، وهو طرف تهديد ترعاه دولة كوريا الشمالية ويتم تتبعه أيضاً بأسماء AppleJeus وCitrine Sleet وGleaming Pisces — وهي مجموعة لها تاريخ موثق في استهداف قطاع العملات المشفرة منذ عام 2018 على الأقل. لم يكن ناقل الهجوم ثغرة في العقود الذكية، بل جمع بين الهندسة الاجتماعية، والتلاعب بالحوكمة، ورمز مميز (token) مزيف تم إنشاؤه لهذا الغرض:

• بين ديسمبر 2025 يناير 2026، قام عملاء تظاهروا بأنهم شركة تداول كمي بالانضمام إلى "خزنة النظام البيئي" (Ecosystem Vault) على Drift، وقدموا وثائق الاستراتيجية، وأودعوا أكثر من مليون دولار من رأس مالهم الخاص لبناء المصداقية.
• قام المهاجم بتصنيع رمز وهمي يسمى CarbonVote (CVT)، مدعوماً بسيولة ضئيلة وحجم تداول وهمي، ثم تلاعب بـ "أوراكل" (oracles) البروتوكول لمعاملته كضمان صالح.
• بين 23 و30 مارس، حصل المهاجم على موافقات توقيع متعدد (multisig) بنسبة 2 من 5 من أعضاء المجلس الأمني لـ Drift عن طريق خداعهم للتوقيع المسبق على معاملات ضارة باستخدام ميزة "durable nonce" الخاصة بـ Solana، مما سمح للتفويضات بالبقاء خاملة حتى يوم التنفيذ.
• عند التفعيل في 1 أبريل، أُفرغت الخزائن في غضون 12 دقيقة تقريباً، مع تحويل معظم الأموال المسروقة إلى شبكة Ethereum عبر الجسور في غضون ساعات.
• انخفض رمز DRIFT بأكثر من 40% في أعقاب الاختراق، وانهار إجمالي القيمة المقفلة (TVL) للبروتوكول من حوالي 550 مليون دولار إلى أقل من 250 مليون دولار. كما أوقفت عشرات البروتوكولات على شبكة Solana المرتبطة بـ Drift عملياتها.

اختراق Kelp DAO: تسميم البنية التحتية على نطاق واسع

في 18 أبريل، وقع بروتوكول Kelp DAO — وهو بروتوكول إعادة حصة سائل يوجه إيثريوم المستخدمين عبر EigenLayer — ضحية لاختراق بقيمة 292 مليون دولار، تم تأكيده كعمل لمجموعة Lazarus المدعومة من كوريا الشمالية، وبالتحديد وحدة TraderTraitor الفرعية التابعة لها. وقد تجاوز هذا الرقم اختراق Drift ليصبح أكبر اختراق منفرد للتمويل اللامركزي في عام 2026. قام المهاجمون باختراق عقدتي RPC كان يعتمد عليهما مدقق LayerZero لتأكيد المعاملات عبر السلاسل، واستبدلوا برمجيات العقد بنسخ ضارة أبلغت عن بيانات كاذبة. ثم شنوا هجوماً لحجب الخدمة الموزع (DDoS) ضد العقد النزيهة المتبقية، مما أجبر النظام على الانتقال إلى نقاط النهاية المخترقة — وخداع مدقق LayerZero للموافقة على معاملة احتيالية عبر السلاسل وإطلاق 116,500 rsETH للمهاجمين. عزت LayerZero الاختراق جزئياً إلى تكوين الأمان الخاص بـ Kelp: حيث كان البروتوكول يعمل بإعداد مدقق 1-من-1، مما يعني أن مختبرات LayerZero كانت الكيان الوحيد الذي يتحقق من الرسائل من وإلى جسر rsETH — وهو تكوين تقول LayerZero إنها حذرت منه سابقاً. انتشرت العدوى بسرعة عبر قطاع التمويل اللامركزي:

• أدى اختراق 18 أبريل إلى خروج تدفقات بقيمة 10 مليارات دولار من بروتوكول Aave وسط مخاوف بشأن ديون معدومة محتملة.
• انخفض إجمالي القيمة المقفلة عبر قطاع التمويل اللامركزي بنسبة 7% تقريباً خلال 24 ساعة بعد الهجوم، متراجعاً من حوالي 99.5 مليار دولار إلى 86.3 مليار دولار.
• قامت عدة فرق في التمويل اللامركزي، بما في ذلك Ethena وether.fi وTron DAO وCurve Finance، بإيقاف جسور رموز LayerZero المتوافقة عبر السلاسل استجابةً لذلك.

تهديد متغير ومتصاعد

استنزفت نفس الوحدة الكورية الشمالية الآن أكثر من 577 مليون دولار من التمويل اللامركزي في غضون 18 يوماً من خلال ناقلي هجوم مختلفين هيكلياً: الهندسة الاجتماعية لموقعي الحوكمة في Drift، وتسميم عقد RPC للبنية التحتية في Kelp. يشير المحللون إلى أن اختراق Kelp يعد إشارة إلى أن مجموعة Lazarus الكورية الشمالية تتطور إلى ما هو أبعد من عمليات الاختراق المعزولة، حيث تحول تكتيكاتها بسرعة من الهندسة الاجتماعية إلى استغلال نقاط الضعف الهيكلية في بنية الكريبتو التحتية — مما يشير إلى حملة مستدامة تقودها الدولة وليس مجرد حوادث عابرة. إذا استمرت نسبة العمل إلى كوريا الشمالية في كلا الحادثين، فسيؤدي ذلك إلى دفع إجمالي سرقات الكريبتو المؤكدة للنظام لعام 2026 إلى ما يتجاوز 600 مليون دولار، وهي عوائد ربطتها الحكومة الأمريكية سابقاً ببرامج الأسلحة في بيونغ يانغ. أعلنت LayerZero منذ ذلك الحين أنها لن تقوم بعد الآن بتوقيع رسائل لأي مشروع يعمل بتكوين مدقق 1-من-1، وتعمل على تسريع عمليات الانتقال إلى إعدادات متعددة لشبكات التحقق اللامركزية (multi-DVN). ويحث باحثو الأمن ومطورو البروتوكولات صناعة التمويل اللامركزي الأوسع على التعامل مع الأقفال الزمنية للحوكمة، والدفاع المعمق للأوراكل، وتكرار التحقق عبر السلاسل كمتطلبات أساسية غير قابلة للتفاوض — وليس كمجرد تكوينات اختيارية.

نشر بواسطة Coinplurk.com