خسرت شركة Wasabi Protocol أكثر من 5 ملايين دولار أمريكي نتيجة استغلال ثغرة في مفتاح المسؤول.

ماذا حدث

تعرض بروتوكول العقود الآجلة الدائمة على السلسلة (On-chain) "Wasabi" للاختراق في 30 أبريل 2026، حيث قام المهاجمون بسحب أكثر من 5 ملايين دولار عبر شبكات Ethereum وBase وBerachain وBlast، وفقاً لما أفادت به شركة أمن البلوكشين PeckShield.

حصل المهاجم على صلاحية ADMIN_ROLE من خلال محفظة نشر البروتوكول — المحددة باسم wasabideployer.eth كعنوان وحيد يحمل هذا الدور في AccessManager الخاص بـ PerpManager في Wasabi — ثم قام بترقية الخزائن (Vaults) إلى نسخة خبيثة سحبت أرصدة المستخدمين. تم استخراج ما يقرب من 4.55 مليون دولار في الإحصاء الأولي، ولا تزال التحقيقات جارية.

أقرت Wasabi بالحادثة عبر منصة X، وحثت المستخدمين على تجنب استخدام البروتوكول أثناء إجراء التحقيقات، وأكدت أنها استعانت بفرق متخصصة في الاستجابة الأمنية على السلسلة، بما في ذلك SEAL 911 وBlockaid.

كيف تم تنفيذ الهجوم

نُفذ الهجوم من خلال آلية تُعرف باسم استغلال ترقية UUPS. بعد اختراق حساب الناشر (Deployer)، بدأ المهاجم عملية ترقية للعقد استبدلت الكود الآمن بمنطق برمجي خبيث، مما أدى إلى إعادة توجيه الأموال من الخزائن ومجمعات السيولة إلى عناوينه الخاصة. وبسبب افتقار البروتوكول إلى آلية القفل الزمني (Timelock)، تم تنفيذ التغييرات فوراً — مما لم يترك أي فرصة للمطورين أو المستخدمين للتدخل.

التفاصيل التقنية الرئيسية للاختراق:

• استدعى المهاجم وظيفة grantRole على حساب الناشر (EOA) مع تأخير صفري، مما أدى إلى تحويل عقد الأوركسترا (Orchestrator) الخاص به إلى مسؤول (Admin) بشكل فوري.
• تم تصنيف رموز حصة السيولة (LP-share) لـ Wasabi وSpicy من الخزائن المتأثرة على أنها مخترقة، مع اقتراب قيمة الاسترداد من الصفر.
• أشارت Blockaid إلى أن نفس عنوان المهاجم، وعقد الأوركسترا، و"Bytecode" الاستراتيجية، تربط هذا الحادث بنشاط سابق استهدف Wasabi.
• لم تكن هناك ضمانات مثل تفويض التوقيع المتعدد (Multi-signature) أو التأخيرات الزمنية لمنع التنفيذ الفوري للأعمال الخبيثة.

أبريل 2026: أسوأ شهر في تاريخ التمويل اللامركزي (DeFi)

لم يكن اختراق Wasabi حادثة معزولة؛ إذ يختتم هذا الاختراق شهراً قاسياً على قطاع DeFi، تميز باختراقين رئيسيين وأكثر من عشرين حادثة أصغر. وأشار الرئيس السابق لقطاع DeFi في Monad عبر منصة X إلى أن أبريل 2026 أسفر عن خسارة ما يقرب من 635 مليون دولار عبر 28 حادثة في 30 يوماً.

أكبر حادثتين في هذا الشهر هما:

1. Drift Protocol — في الأول من أبريل، تعرضت منصة العقود الدائمة القائمة على Solana لتدفقات خارجة بلغت نحو 270 مليون دولار شملت أكثر من 15 نوعاً مختلفاً من الرموز، فيما تم الإبلاغ عنه كعملية مرتبطة بدولة كوريا الشمالية استغرق التحضير لها ستة أشهر.
2. Kelp DAO — في 18 أبريل، قام مهاجم يُشتبه في كونه مدعوماً من كوريا الشمالية باستغلال جسر LayerZero، وتزوير رسالة عبر السلاسل (Cross-chain) سمحت بصك 116,500 من رموز rsETH دون وجود أي قفل في الجانب المصدر. ثم قام المهاجم بإيداع رموز rsETH غير المدعومة في Aave كضمان واقترض ما يقرب من 236 مليون دولار من رموز WETH الحقيقية.

شمل الرد على حادثة Kelp جهداً جماعياً غير مسبوق بين بروتوكولات وأفراد DeFi، أُطلق عليه اسم "DeFi United"، والذي جمع أكثر من 300 مليون دولار لاستعادة دعم رموز rsETH الخاصة بـ Kelp.

نظرية "الهاكر المعتمد على الذكاء الاصطناعي"

أدت وتيرة ودقة الاختراقات الأخيرة إلى تجديد النقاش حول الأدوات التي يستخدمها المهاجمون. طرح المطور فيتو ريفابيلا علناً نظرية مفادها أن كوريا الشمالية قامت بتدريب نموذج ذكاء اصطناعي داخلي على سنوات من بيانات DeFi المسروقة، مشيراً إلى أنه يعمل الآن كمستغل ذاتي يقوم بسحب الأموال من البروتوكولات بشكل أسرع مما يمكن للمراجعين البشريين إصلاحه. ورغم أنها غير مؤكدة، إلا أن هذه الفرضية تعكس قلقاً متزايداً في المجتمع الأمني بشأن الميزة غير المتكافئة التي قد يتمتع بها المهاجمون ضد فرق دفاع البروتوكول.

ما يجب على المستخدمين فعله الآن

تحث الفرق الأمنية الأفراد المتأثرين على إلغاء جميع أذونات العقود الذكية المرتبطة بالبروتوكول كخطوة أولى بالغة الأهمية. يمكن لأدوات مثل Revoke.cash أن تساعد في إزالة الوصول الممنوح سابقاً للعقود المخترقة. يجب على المستخدمين تجنب التفاعل مع الروابط المشبوهة أو برامج الاسترداد غير الرسمية ومتابعة الإعلانات الرسمية الموثقة فقط.

سواء كان الذكاء الاصطناعي يسرع الموجة الحالية من الاختراقات أم لا، فإن حادثة Wasabi تجعل مشكلة هيكلية واحدة واضحة وضوح الشمس: لا تزال هياكل المسؤول (Admin) ذات المفتاح الواحد دون أقفال زمنية أو ضوابط توقيع متعدد من بين أكثر الثغرات القابلة للاستغلال في DeFi اليوم.

نشر بواسطة Coinplurk.com