لماذا أصبحت القروض السريعة سلاحًا جديدًا في هجمات DeFi؟ نظرة عامة على دليل الدفاع

الاقتراض السريع هو آلية اقتراض غير مضمونة فريدة من نوعها في منظومة التمويل اللامركزي، حيث تطورت بسرعة منذ أن أطلقتها Aave في أوائل عام 2020، لتصبح أداة يمكن استخدامها في المعاملات المبتكرة، وأيضًا ثغرة أمنية يمكن استغلالها من قبل المجرمين. لماذا تحولت هذه “الثقب الأسود للقروض” التي تبدو مثالية إلى قنبلة موقوتة في عالم DeFi؟ دعونا نحلل الأمر بعمق.

الوجه المزدوج للاقتتراض السريع: أداة مبتكرة ومصدر للمخاطر

الاقتراض السريع يختلف جوهريًا عن القروض التقليدية. فالقروض التقليدية تتطلب من المقترض تقديم ضمانات، والخضوع لفحوصات ائتمانية، بينما يكسر الاقتراض السريع هذه القيود — حيث يمكن للمقترض إتمام كامل عملية الاقتراض في صفقة واحدة على البلوكشين، دون الحاجة لأي ضمانات.

يكمن سر إمكانية عمل هذه الآلية في منطق الحماية الذاتية المدمج فيها: يجب إعادة جميع الأموال في نفس الصفقة، وإلا يتم إلغاء المعاملة تلقائيًا كما لو أنها لم تحدث أبدًا. وبما أن المخاطر على المقرض تساوي صفرًا، فإن الاقتراض السريع يدعم تمويلات فورية بقيمة مئات الآلاف من الدولارات — دون الحاجة لأي ضمانات.

نظريًا، ينبغي أن يُستخدم هذا الابتكار في عمليات التحكيم القانونية، إدارة الضمانات، أو إعادة هيكلة الديون. ومع ذلك، فإن هذا التصميم الذي يبدو مثاليًا يفتح بابًا أمام المجرمين.

جوهر الهجوم: عملية تلاعب سوق متقنة

جوهر هجمات الاقتراض السريع يكمن في التلاعب بالأسعار. تعتمد البورصات اللامركزية على معلومات على السلسلة لتحديد أسعار الأصول، وتقرأ العديد من العقود الذكية مباشرة هذه البيانات. يستغل المهاجمون ثغرة، ويستخدمون قروضًا سريعة ضخمة لخلق تقلبات سعرية مصطنعة داخل نفس البلوك، ثم يربحون من خلال سلسلة من البروتوكولات، خلال فترة زمنية قصيرة، لتحقيق أرباح هائلة.

يشبه الأمر لعبة “قطع الثوم” المنسقة بعناية — حيث يسيطر المهاجم على السوق، ويقوم بتلاعب في الأسعار، وينقل أموال المستثمرين العاديين وموارد بروتوكولات DeFi إلى جيبه الخاص.

حالات هجوم حقيقية: كيف تم النجاح

حادثة dYdX-Fulcrum في 2020:

المهاجم حصل على قرض سريع من بروتوكول dYdX، ثم وزع الأموال على منصتي Compound وFulcrum. في Fulcrum، قام ببيع ETH على شكل short مقابل WBTC، وفي الوقت نفسه اشترى WBTC من Uniswap عبر Kyber. نظرًا لسيولة WBTC المحدودة على Uniswap، أدى هذا الطلب الكبير إلى ارتفاع سعر WBTC بشكل حاد.

النتيجة كانت ساخرة: اضطر Fulcrum لشراء WBTC بسعر أعلى بكثير من السوق الحقيقي، بينما أنهى المهاجم عملية التحكيم، وأعاد القرض السريع، وحقق أرباحًا فلكية. وأصبح Fulcrum أكبر الخاسرين.

قضية تلاعب بروتوكول bZX بـ sUSD:

في حادثة أخرى، حصل المهاجم على قرض سريع، وأمر بشراء كميات ضخمة من sUSD عبر Kyber. نظرًا لعدم قدرة العقود الذكية على فهم أن “العملات المستقرة يجب أن ترتبط بالدولار”، أدى الطلب الكبير إلى رفع سعر sUSD إلى 2 دولار — أي مضاعفته.

ثم استغل المهاجم القوة الشرائية المبالغ فيها لـ sUSD، واقترض المزيد من ETH عبر القروض السريعة. بعد إتمام عملية التحكيم، سدد القرض الأول، واحتفظ بالباقي لنفسه، وغادر المشهد بسلاسة.

هذه الحالات تظهر أن أساليب المهاجمين ليست معقدة، وإنما التعقيد يكمن في فرضيات البروتوكولات DeFi حول صحة البيانات السعرية.

ثلاث مراحل دفاعية في DeFi

لمواجهة مخاطر الاقتراض السريع، استكشف نظام DeFi عدة استراتيجيات دفاعية:

دمج بيانات متعددة لمصادر أوامر التنبؤ اللامركزية

أكثر وسائل الدفاع فاعلية هي استخدام أوامر التنبؤ اللامركزية متعددة المصادر. هذه الأوامر لا تعتمد على سعر واحد من منصة واحدة، بل تجمع البيانات من مصادر مستقلة متعددة، وتحسب “السعر الحقيقي”. حتى لو قام المهاجم بتلاعب بسعر منصة واحدة، فلن يستطيع تلاعب شبكة أوامر التنبؤ بأكملها. وإذا حاول المهاجم تنفيذ هجوم اقتراض سريع، فإن المعاملة ستُوقف عند مرحلة التحقق من السعر، وتُلغى في النهاية.

آلية تحديث الأسعار بسرعة عالية

هذه الاستراتيجية تبدو بسيطة: زيادة وتيرة استعلامات تجمع السيولة عن الأسعار الجديدة. من الناحية النظرية، كلما زادت التحديثات، أصبح التلاعب أكثر صعوبة. لكن في الواقع، فإن ذلك يزيد من تكاليف الشبكة وتأخير المعاملات، وهو سبب رفض العديد من البروتوكولات اعتمادها.

متوسط السعر المرجح بالزمن (TWAP) كحماية طويلة الأمد

يعتمد TWAP على متوسط أسعار تاريخية عبر عدة كتل لتحديد سعر الأصل. نظرًا لأن هجمات الاقتراض السريع يجب أن تتم في كتلة واحدة، وTWAP يحتاج إلى بيانات من عدة كتل، فإن المهاجمين غير قادرين على التلاعب بـ TWAP دون التسبب في تعطيل كامل للسلسلة. لذلك، يُعتبر TWAP وسيلة دفاع أكثر استقرارًا.

بعض البروتوكولات جربت إعدادات عبر كتلتي تداول، مما يزيد من تعقيد الهجوم، لكنه قد يؤثر على تجربة المستخدم.

الوضع الحالي والتطلعات المستقبلية

على الرغم من أن مجتمع DeFi طور استراتيجيات دفاع متعددة الطبقات، إلا أن القضاء تمامًا على هجمات الاقتراض السريع ليس أمرًا سهلاً. بعض البروتوكولات دمجت أدوات كشف هجمات في الوقت الحقيقي، قادرة على التعرف بسرعة على أنماط المعاملات غير الاعتيادية، لكن فعالية هذه الأدوات لا تزال بحاجة إلى وقت لإثباتها.

لا تزال DeFi في مراحلها المبكرة. مع كل هجمة، يتعلم النظام ويتطور. تتعقد آليات الدفاع، وتبتكر المهاجمون أساليب جديدة.

من المتوقع أن لا تكفي وسائل الدفاع الأحادية لمواجهة الهجمات المعقدة بشكل متزايد. مستقبل أمان DeFi يعتمد على مطوري البروتوكولات الذين يدمجون أوامر التنبؤ اللامركزية، ويطبقون استراتيجيات TWAP، ويرفعون وتيرة التسعير، ويعتمدون على نظام دفاع شامل متعدد الطبقات. ومع نضوج الصناعة، ستُروض سيف “الضارب المزدوج” — من أداة استغلال محتملة، إلى أداة حقيقية تدعم المعاملات المبتكرة وإدارة السيولة.