2.85 مليار دولار تتبخر! هجوم على Drift Protocol، لماذا تبدو دفاعات أمان DeFi وكأنها غير فعالة؟

1 أبريل 2026، يوم كذبة أبريل. تعرضت منصة العقود الآجلة اللامركزية المستدامة في نظام Solana، Drift Protocol، لهجوم كبير من قبل قراصنة، حيث تم سرقة ما يقرب من 2.85 مليار دولار من الأصول، مما يجعلها أكبر خسارة فردية في مجال DeFi حتى الآن في عام 2026.

هذه ليست مزحة. إنها جرس إنذار ثقيل آخر في تاريخ أمان DeFi.

كيف حدث الهجوم؟

لم يكن الهجوم عشوائيًا، بل استغرق تحضيرات دقيقة استمرت حوالي ثمانية أيام. تظهر بيانات السلسلة أن عنوان محفظة المهاجم تم إنشاؤه في 24 مارس، وتم الحصول على التمويل الأولي عبر نظام NEAR Intents عبر السلسلة، ثم أرسل عملية اختبار صغيرة إلى خزينة Drift للتحقق من صلاحية السيطرة على العقد.

في الساعة 16:00 من يوم 1 أبريل (UTC)، بدأ نافذة الهجوم رسميًا. من خلال الحصول على صلاحيات المدير لمحفظة التوقيع المتعدد الخاصة بالبروتوكول، قام المهاجم خلال ساعة واحدة بمسح أصول من عدة برك تمويلية من USDC وSOL وcbBTC وWETH، ونقلها عبر السلسلة إلى شبكة إيثريوم لتحويلها إلى حوالي 129,000 ETH (بقيمة تقارب 278 مليون دولار).

مسار الهجوم واضح ودامٍ:

· إصدار رموز مزيفة CVT
· التلاعب بأسعار أوامر التنبؤ
· تعطيل وحدة الأمان
· سرقة الأصول ذات القيمة العالية

تم توزيع الأموال المسروقة على أربعة عناوين إيثريوم، وانخفض إجمالي القيمة المقفلة (TVL) للبروتوكول من 550 مليون دولار إلى حوالي 255 مليون دولار.

السبب الجذري: غياب قفل الوقت

الخلل الرئيسي في الهجوم يكمن في عيب أمني في إعداد إدارة التوقيع المتعدد في بروتوكول Drift. أشار تقرير مراجعة شركة SlowMist إلى أن الهجوم حدث قبل حوالي أسبوع من وقوعه، حيث قام Drift بتعديل آلية التوقيع المتعدد إلى نمط «2/5» (موقع واحد من الموقعين السابقين بالإضافة إلى أربعة توقيعات جديدة)، ولم يتم تعيين أي قفل وقت (Timelock).

القفل الزمني هو آلية تأخير قسرية، تتطلب بعد تغييرات الصلاحيات عالية المستوى الانتظار لمدة 24-48 ساعة قبل تفعيلها، مما يوفر نافذة للرقابة على الأنشطة غير الاعتيادية من قبل المجتمع والجهات الأمنية. غياب قفل الوقت يعني أنه بمجرد سرقة المفتاح الخاص للموقع الجديد أو السيطرة عليه بشكل خبيث، يمكن للمهاجم تنفيذ عمليات على مستوى المدير على الفور.

استغل المهاجم توقيع الموقع القديم الوحيد مع موقع آخر مضاف حديثًا، ووقع على التغييرات بشكل مشترك، وحول صلاحيات المدير إلى عنوان يسيطر عليه، متجاوزًا جميع الحمايات الأمنية على مستوى المستخدم.

أسلوب المهاجم: توقيع مسبق وهجوم اجتماعي

استخدم الهجوم تقنيات توقيع مسبق تعتمد على أرقام عشوائية دائمة، بالإضافة إلى أساليب هندسة اجتماعية متقدمة. منذ 23 مارس، أنشأ المهاجم حسابات أرقام عشوائية دائمة لموقعين من التوقيعات المتعددة وحسابين آخرين يسيطر عليهما، وقام بخداع الموقعين الشرعيين للحصول على توقيعات مسبقة، واستخدم الأرقام العشوائية الدائمة لتخزينها، ثم نفذ عمليات جماعية في 1 أبريل، مما أدى في النهاية إلى الاستيلاء على صلاحيات المدير. لم يتضمن هذا الحادث تسريب كلمات الاسترجاع أو ثغرات في العقود الذكية.

ردود فعل الصناعة

كان Drift Protocol سابقًا أحد أكبر بروتوكولات الإقراض في نظام Solana، حيث جمع أكثر من 52 مليون دولار من التمويل، وشمل مستثمرون من شركات رأس مال مخاطر رائدة مثل Multicoin Capital وPolychain.

بعد الحادث، انخفض سعر رمز Drift بشكل مؤقت بأكثر من 40%. وبسبب ارتباطه بعدة أصول في نظام Solana، شهدت رموز SOL وJUP وغيرها من رموز النظام انخفاضات غير معتادة.

انخفض سعر رمز DRIFT من حوالي 0.072 دولار إلى 0.055 دولار، وكان قد انخفض قبل الحادث بنسبة تقارب 98% من أعلى مستوى له.

أوقفت شركة Drift رسميًا جميع عمليات الإيداع والسحب، وأكدت أن «هذه ليست مزحة كذبة أبريل». وسرعان ما اتخذت محفظة Phantom إجراءات، وعلقت الوصول إلى البروتوكول.

مخاوف أكبر: قراصنة من كوريا الشمالية؟

قال تشارلز جيوميت، المدير التقني في Ledger، إن طريقة الهجوم التي استُخدمت في استغلال ثغرة Drift تتطابق مع هجوم Bybit في 2025، والذي يُعتقد على نطاق واسع أنه مرتبط بقراصنة من كوريا الشمالية. وأشار جيوميت إلى أن الهجوم لم يستهدف أي عقود ذكية بشكل مباشر، بل استغل المهاجمون اختراق أجهزة الموقعين على التوقيع المتعدد على مدى فترة طويلة، وخداعهم للموافقة على معاملات خبيثة، مع اعتقاد الموقعين أنهم يمنحون إذنًا لعمليات شرعية.

كيف تحمي أصولك؟

· إذا كنت قد تفاعلت مع Drift Protocol من قبل، يُرجى سحب الأذونات على الفور، ويمكنك مراجعة التطبيقات المتصلة عبر محفظة Phantom
· فكر في استخدام محافظ متعددة لتوزيع المخاطر، ويفضل أن تكون الأصول الكبيرة على محافظ أجهزة
· كن حذرًا من بروتوكولات DeFi ذات العوائد العالية، وراجع الأذونات الممنوحة للعقود الذكية بشكل دوري

تحذيرات أمنية

يثبت هجوم Drift Protocol مرة أخرى أن أكبر مخاطر DeFi غالبًا ليست في أخطاء الكود، بل في أخطاء البشر. إعدادات آلية التوقيع المتعدد، إدارة المفاتيح الخاصة، تدقيق عمليات التوقيع، كلها أمور تتعلق بـ«أمان العمليات» وتكون أكثر أهمية من تدقيق الكود. بعد 10 أيام فقط من حادثة Resolv، التي فشلت بسبب عدم وجود آلية توقيع متعدد، وقعت أيضًا في نفس الفخ، رغم وجود آلية توقيع متعددة، بسبب انخفاض الحد الأدنى وغياب قفل الوقت.

تُظهر هاتان الحادثتان الحاجة الملحة لإعادة تصميم بنية الصلاحيات بشكل جذري.