تم سرقة أكثر من 200 مليون دولار خلال 10 ثوانٍ من قبل بروتوكول الإقراض اللامركزي Drift، وتأثر أكثر من 15 مشروعًا بذلك

المؤلف: غو يو، ChainCatcher

حوالي الساعة 1 صباحًا من اليوم، شهد قطاع التمويل اللامركزي (DeFi) مجددًا حادثة سرقة واسعة النطاق؛ تم استهداف بروتوكول الإقراض في سولانا Drift بهجوم من قِبل القراصنة، حيث تم نهب أصول المستخدمين التي تتجاوز 220 مليون دولار خلال عشر ثوانٍ فقط.

بعد وقوع الحادث، انخفض رمز Drift بأكثر من 40% خلال فترة قصيرة، وتبلغ قيمته المستقبلية FDV حاليًا نحو 44 مليون دولار. وبسبب ارتباط الحادث بالعديد من الأصول ضمن نظام سولانا البيئي، فقد شهدت رموز من مجال سولانا مثل SOL وJUP هبوطًا غير طبيعيًا بدرجات مختلفة.

كان Drift سابقًا واحدًا من أكبر بروتوكولات الإقراض في نظام سولانا البيئي، ووفقًا لـ RootData، فإن قيمة التمويل التراكمي التي حصل عليها هذا البروتوكول تجاوزت 52 مليون دولار، وكان من بين المستثمرين البارزين Multicoin Capital وPolychain وRobot Ventures وBlockchain Capital وEthereal Ventures وJump Capital وغيرهم من صناديق رأس المال الرائدة.

وفقًا لتحليلات منشورة، ترتبط هذه السرقة لـ Drift ارتباطًا وثيقًا بالحصول غير القانوني على التحكم في عنوان متعدد التوقيعات (multisig)، كما تتداخل معها أساليب هجوم شائعة مثل هجمات الحوكمة وهجمات الأوراكل (الجهات المزودة ببيانات الأسعار). استخدم المهاجم مفتاح توقيع واحد فقط لتنفيذ جميع الخطوات في معاملة واحدة: إنشاء سوق مزيف، والتلاعب بالأوراكل، وإلغاء قيود السحب. ويُرجح وجود احتمال قيام شخص مطلع داخليًا بتسريب مفتاح عنوان متعدد التوقيعات الخاص.

تشابه أساليب الهجوم التي ما تزال تتكرر على نحو غير نادر، إلى جانب ضعف إجراءات الوقاية لدى فريق المشروع، يكشف مرة أخرى هشاشة مجال DeFi. وبحسب تغريدة ومناقشات ذات صلة من مؤسس Chaos Labs، Omer Goldberg، فيما يلي تحليلٌ تفصيلي لعملية السرقة:

أول بوادر الحادثة ظهرت قبل أسبوع؛ قبل أسبوع، نقل Drift صلاحيات إدارة البروتوكول من محفظة متعددة التوقيعات القديمة إلى محفظة متعددة التوقيعات جديدة. وقد أنشأ هذه المحفظة الجديدة أحد مُوقِّعي متعدد التوقيعات من داخل المحفظة القديمة، لكنه لم يضِف نفسه إلى المحفظة متعددة التوقيعات الجديدة.

استغل المهاجم هذه الثغرة؛ إذ بدأ أولًا اقتراحًا داخل متعدد التوقيعات القديم لتحويل صلاحيات مدير Drift إلى محفظة جديدة (يسيطر عليها المهاجم).

تم ضبط متعدد التوقيعات الجديد على 5 مُوقّعين: واحد فقط كان من متعدد التوقيعات القديم، بينما الأربعة الباقون جميعهم جدد تمامًا. كانت القواعد شديدة التساهل: يكفي موافقة 2/5 أشخاص (أي أن توقيع شخصين فقط يكفي)، فضلًا عن ذلك 0 ثانية كقفل زمني (يتم تنفيذ الاقتراح فور إقراره دون أي فترة انتظار).

في فجر اليوم، استخدم ذلك المُوقِّع القديم الوحيد المتبقي متعدد التوقيعات الجديد لتقديم اقتراح: “تغيير صلاحيات مدير Drift إلى المحفظة التي يسيطر عليها المهاجم بالفعل”.

بعد بضع ثوانٍ، قام مُوقّع جديد آخر على الفور بتوقيع الاقتراح، ليصل بسهولة إلى عتبة 2/5.
وبسبب عدم وجود قفل زمني، تم تنفيذ الاقتراح فورًا، ما منح المهاجم صلاحيات إدارية كاملة.

بعد ذلك، استخدم المهاجم صلاحياته مباشرة لإنشاء سوق نقدي (CVT) فوري داخل بروتوكول Drift. ويبلغ إجمالي المعروض من هذا الرمز حوالي 750 مليونًا، بينما يملك المهاجم 600 مليون. وعلى الفور، استخدم المهاجم أوراكل SwitchboardOnDemand الذي يسيطر عليه، وقام بتكوين Drift لقراءة هذا الأوراكل.

بعد اكتمال العملية، قام المهاجم، عبر 20 معاملة، برفع سعر رموز CVT التي كانت شبه عديمة القيمة في الأصل، بحيث تصبح قيمة 600 مليون CVT المودعة من قبله تبدو للأوراكل كأنها تساوي عدة مئات من ملايين الدولارات. وبهذا، قام المهاجم بالاقتراض من أصول تقدر قيمتها بنحو 220 مليونًا إلى 280 مليون دولار، بما في ذلك 41.72 مليون وحدة من JLP (Jupiter LP token، بقيمة حوالي 155 مليون دولار)، و51.61 مليون وحدة من USDC، و164 قطعة من cbBTC (بقيمة حوالي 11.29 مليون دولار)، وغيرها.

كانت البنية المكوّنة على شكل قطع (ليغو) في DeFi تُعتبر أكبر ميزة في هذا المجال، لكن اليوم تحوّلت هذه الميزة إلى ما يشبه سيطرة “دومينو” لنقل المخاطر إلى مجال سولانا، ضمن البروتوكولات الأخرى المدمجة لسوق الإقراض Drifi.

يُعد Jupiter أكبر متضرر من الحادث الأمني، حيث تُعد أصول LP الأساسية في سوق العقود الدائمة لـ Jupiter هي الأكثر تعرضًا للسرقة من حيث كمية JLP المنهوبة. وستؤدي هذه السرقة إلى انخفاض حاد في سيولة سوق العقود الدائمة لـ Jupiter، فضلًا عن حدوث سلسلة من ردود الفعل مثل خروج الأموال بشكل فزع وهبوط سعر رمز JUP.

بالإضافة إلى ذلك، أصدرت أكثر من 15 جهة بروتوكول DeFi، مثل Perena وProject 0 وExponent وCarrot وRanger وPiggyBank وReflect وElemental وNeutral Trade وPyra وFuse وXPlace، منشورات تؤكد أنها تأثرت بدرجات مختلفة من جراء حادثة سرقة Drift، وقد تم تعليق بعض وظائف السحب.

ومع ذلك، في جميع الحوادث الأمنية، يبقى المستخدمون هم الأكثر تأثرًا، إذ تستمر سلسلة الهجمات من دون توقف في اختبار ثقة المستخدمين في DeFi.

“لا تفعل اليوم أشياء أخرى؛ أخرج كل أموال المشاريع القديمة على السلسلة، ولا أضع المال في المشاريع الجديدة إلا إذا كنت تفهمها جيدًا بشكل خاص؛ إننا في فترة مشحونة بالمشاكل، ولا تختبروا طبيعة البشر.” بعد خسارته أكثر من 6000 دولار في هذه الحادثة، نشر KOL معروف يدعى “土澳大师兄” تدوينة بهذا المعنى.