حوادث أمان DeFi 2026: ثغرة Kelp DAO وتفسير مخاطر البروتوكولات المتداخلة والتعرض الائتماني لـ Aave

في 18 أبريل 2026، الساعة 17:35 UTC، أطلقت عملية تحويل عادية عبر السلسلة حدث أمني ذو تأثيرات عميقة في تاريخ التمويل اللامركزي. تعرض جسر rsETH الخاص بـ Kelp DAO، بسبب ثغرة في التكوين، للهجوم، حيث قام المهاجم بخلق 116,500 وحدة من rsETH بدون ضمانات حقيقية، بقيمة تقارب 293 مليون دولار، وهو ما يمثل حوالي 18% من إجمالي عرض هذا الرمز. لم يقتصر الأمر على كسر رقم خسائر هجوم واحد في DeFi في عام 2026، بل أدى أيضًا إلى أزمة نظامية عبر التداخل بين بروتوكولات DeFi: حيث تلاشى TVL الخاص بـ Aave بمقدار 8.45 مليار دولار خلال يومين، وانكمش إجمالي TVL على مستوى السلسلة بمقدار 13.21 مليار دولار.

ومع ذلك، فإن حادثة Kelp DAO ليست حالة معزولة. خلال الأربعة أشهر الأولى من عام 2026، وقعت عدة حوادث أمنية في مجال DeFi، حيث بلغ إجمالي الخسائر مئات الملايين من الدولارات. من اختطاف الحوكمة إلى استغلال ثغرات الجسور، ومن تلاعب بالأسواق أوامر التنبؤ إلى إعادة الدخول في العقود الذكية، تتزايد تعقيدات هجمات الاختراق، ويؤدي الترابط العميق بين البروتوكولات إلى تضخيم قوة الضرر الناتج عن نقطة ضعف واحدة.

ملخص حادثة ثغرة جسر Kelp DAO

في 18 أبريل 2026، الساعة 17:35 UTC، استغل المهاجم ثغرة في تكوين جسر LayerZero الخاص بـ Kelp DAO، من خلال استدعاء وظيفة lzReceive، وادعى إرسال رسالة عبر السلسلة، مما أدى إلى إصدار 116,500 وحدة من rsETH بدون ضمانات حقيقية على شبكة إيثريوم الرئيسية. بعد 46 دقيقة من الهجوم، أوقفت Kelp DAO بشكل طارئ عبر توقيع متعدد الوظائف شبكة الرئيسية وعدة شبكات Layer 2، لمنع المزيد من الضرر. خلال هذه الفترة، حاول المهاجم مرتين إعادة إصدار 40,000 وحدة أخرى من rsETH، لكن عمليات التجميد حالت دون ذلك، حيث تم إلغاء العمليات.

بعد نجاح الهجوم، لم يختار المهاجم البيع المباشر لهذه الوحدات في السوق الثانوية، بل قام بإيداع معظمها في منصتي Aave V3 وV4 كضمانات، واستدان منها WETH و ETH الحقيقي. وفقًا للبيانات على السلسلة، حصل المهاجم من خلال الرهن والبيع على حوالي 106,500 وحدة من ETH، بقيمة تقارب 250 مليون دولار.

هذا الإجراء جعل Aave يواجه خطر ديون معدومة تتراوح بين 177 مليون و236 مليون دولار. أوقفت Aave على الفور سوق rsETH على شبكة إيثريوم الرئيسية وشبكات Layer 2 مثل Arbitrum وOptimism وBase، ورفعت نسبة القرض إلى القيمة (LTV) إلى 0. كما تبعها بروتوكولات أخرى مثل Compound وEuler، التي أوقفت أو قيّدت عمليات الأصول ذات الصلة.

من استغلال الثغرة إلى رد الفعل المتسلسل

تباينت التفسيرات داخل المجتمع حول سرعة استجابة Kelp DAO. يرى بعض الأعضاء أن استجابة خلال 46 دقيقة تعتبر سريعة في سياق استجابة لثغرة في جسر عبر السلسلة، لكن آخرين يلاحظون أن الفاصل الزمني بين الهجوم في 17:35 والبيان الأول في 20:10 يقارب ثلاث ساعات، مما أدى إلى فترة فراغ معلوماتي زادت من هلع السوق. بالإضافة إلى ذلك، فإن قرار Kelp DAO باستخدام تكوين 1/1 DVN أثار نقاشات حول مدى كفاية التدقيق الأمني.

تحليل البيانات والبنية: تقييم الكمية للتأثير المتسلسل

نظرة عامة على وضع أمن DeFi في 2026

معدل الهجمات وحجم الخسائر

خلال 18 يومًا قبل أبريل 2026، تكبد البروتوكولات المشفرة خسائر تتجاوز 606 مليون دولار، وهو أكبر خسارة شهرية منذ فبراير 2025. في 1 أبريل، خسرت Drift Protocol حوالي 285 مليون دولار بسبب اختطاف الحوكمة، وخسرت Kelp DAO حوالي 293 مليون دولار، مع احتلالهما الجزء الأكبر من خسائر الشهر. تعكس هذه الأحداث المتتالية من الهجمات ذات الخسائر الكبيرة ضغطًا متزايدًا على أمن DeFi.

تطور أنماط الهجمات

لاحظ الباحثون الأمنيون أن أساليب الهجوم في 2026 تتسم بخصائص جديدة: أولاً، ارتفاع استغلال ثغرات الجسور والأصول المشتقة، حيث لم يقتصر المهاجمون على الثغرات في الكود الذكي، بل تجاوزوا إلى تكوين البروتوكولات ومستويات الحوكمة؛ ثانيًا، أصبح المهاجمون أكثر مهارة في استغلال قابلية التداخل بين بروتوكولات DeFi لتضخيم آثار الهجوم، وتحويل ثغرة نقطة واحدة إلى تأثير نظامي. في حادثة Kelp DAO، لم يبع المهاجم الأصول المولدة مباشرة، بل استخدمها كضمان لتهريب الأصول الحقيقية، وهو مثال واضح على هذا الاتجاه.

تحليل تأثير Aave

تغيرات TVL وأسعار الرموز

وفقًا لبيانات Gate وبيانات السلسلة، حتى 20 أبريل 2026، كانت تأثيرات الهجوم على Aave كالتالي:

• تغير TVL: انخفض TVL من حوالي 26.396 مليار دولار قبل الهجوم في 18 أبريل إلى 17.947 مليار دولار، بانخفاض قدره 8.45 مليار دولار خلال يومين.
• صافي التدفقات الخارجة: خرجت أصول بقيمة حوالي 6.2 مليار دولار، بانخفاض حوالي 23%.
• حجم الديون المعدومة: يتحمل Aave الآن ديونًا معدومة تتراوح بين 177 مليون و236 مليون دولار، مع تركيزها على زوج القروض rsETH/WETH على شبكة إيثريوم.
• معدل الاستخدام: وصل معدل استخدام سوق WETH إلى 100%، وبلغت نفس الحالة في مجمعات USDT وUSDC، مع أكثر من 5.1 مليار دولار من العملات المستقرة مقفلة في السيولة الجديدة أو في سداد المقترضين.
• سحب الحيتان: سحبت شركة Abraxas Capital حوالي 392 مليون دولار، وMEXC حوالي 431 مليون دولار، وواحد من الحيتان المرتبط بـ Nonco حوالي 405.7 مليون دولار.

تقييم أمان العقود الرئيسية لـ Aave

من المهم ملاحظة أن هذا الحدث لم يكشف عن اختراق في العقود الذكية الأساسية لـ Aave. المهاجم استغل ثغرة جسر Kelp DAO في إصدار ضمانات وهمية، واستغل قابلية التداخل بين بروتوكولات DeFi لاقتراض أصول حقيقية داخل نظام Aave. أكد مؤسس Aave، Stani، في جلسة AMA أن هذا الحدث يُعتبر “تلوثًا من الأعلى” وليس ثغرة في البروتوكول. هذا التقييم يحظى بتوافق أساسي بين خبراء أمن الصناعة.

طريقتان لملء الديون المعدومة

هناك فرضيتان حول كيفية تعويض Aave عن الديون المعدومة: الأولى، عبر احتياطيات البروتوكول وتدفقات الدخل الشهرية التي تقدر بحوالي 12 مليون دولار، والتي يمكن أن تستهلك تدريجيًا الديون؛ الثانية، إذا تجاوزت الديون الاحتياطيات، قد يُضطر إلى استخدام رموز AAVE المرهونة في وحدة الأمان، مما ينقل تكلفة الثغرة إلى المساهمين المخلصين في Kelp DAO. حتى 20 أبريل، لم تصدر Aave قرارًا نهائيًا بشأن خطة التعويض.

تحليل سعر rsETH وفك الربط

تغيرات حالة تداول rsETH

الهجوم أدى إلى إصدار 116,500 وحدة من rsETH (حوالي 18% من إجمالي العرض) بدون ضمانات حقيقية. جميع أصول rsETH عبر أكثر من 20 سلسلة تواجه عدم اليقين في الضمان، ويجب انتظار تسوية حسابات الاحتياطيات والتداولات من قبل Kelp.

انتقادات لآلية تسعير rsETH

يُشير المحللون إلى أن rsETH، كرمز يمثل LRT (Liquid Restaking Token)، يعتمد بشكل كبير على سلامة احتياطيات ETH الأساسية. إذا ظهرت فجوات بين الاحتياطيات والعرض، فإن سعر الأصول قد يتعرض لاضطرابات جذرية. تكوين DVN 1/1 الخاص بـ Kelp DAO يركز مسؤولية التحقق عبر السلسلة على عقد واحد، مما يهدد أمن النظام، ويُظهر هشاشة نوعية الأصول من نوع LRT في سيناريوهات عبر السلسلة.

استراتيجية SparkLend الحذرة

تأكيدات Spark Protocol على الحذر

كشف مسؤول استراتيجية Spark، monetsupply.eth، أن البروتوكول أزال بشكل استباقي في يناير 2026 الأصول ذات الاستخدام المنخفض، بما فيها rsETH، وواصل تضييق نطاق الضمانات والوظائف. أثارت هذه السياسة استياء بعض مستخدمي ETH الذين يستخدمون الرافعة المالية، لكن في ظل حادثة Kelp DAO، ثبت أنها قرار حذر جدًا.

مقارنة السيولة

بالنظر إلى أن Aave يعاني من ضغوط في السيولة بسبب تعرضه لـ rsETH، حافظ SparkLend على سيولة ETH كافية، واتباع سياسة رفع الحد الأقصى لمعدلات الفائدة على ETH، رغم تنافسيته مع Aave، إلا أنه بنى ميزانية أصول وخصوم أكثر صحة خلال الأزمة.

أهمية اختيار الأصول عالية المخاطر

قرار Spark بإزالة rsETH مبكرًا يسلط الضوء على حقيقة مهمة: في بروتوكولات DeFi، اختيار جودة الضمانات أهم من توسيع قائمة الأصول لجذب TVL. خلال الأحداث القصوى، قد تصبح معايير قبول الأصول الواسعة نقطة ضعف، بينما تظل استراتيجيات الاختيار الحذر هي خط الدفاع الأول عن أمان البروتوكول.

إعادة هيكلة المنافسة بين بروتوكولات الإقراض

بعد الحادثة، قد تتغير ديناميكيات المنافسة بين بروتوكولات DeFi. كانت استراتيجيات النمو تعتمد على “تعظيم TVL”، لكن الآن قد يُعاد تقييمها، مع التركيز على جودة الأصول وقدرة الفصل بين المخاطر. قد يقود نجاح استراتيجية Spark السوق لإعادة ضبط معايير الضمانات.

حوار بين المجتمع، وفريق التطوير، والباحثين الأمنيين

رأي المجتمع: من الذعر إلى التأمل

سحب الأصول بشكل مفرط ونقاش البيانات

بعد الحادثة، تجاوزت مناقشات المجتمع على منصة X المليار في عدد الكلمات خلال ساعات. كانت المناقشات في البداية تركز على الذعر وسحب الأصول، وأشار مؤسس DeFiLlama، 0xngmi، إلى أن حتى البروتوكولات غير المتأثرة مباشرة على Solana لم تنجُ من تدفقات الأموال. وأضاف أن إجمالي TVL في DeFi انخفض بنحو 100 مليار دولار، وأن “لا أحد رابح في مثل هذه الأحداث، فقط يضيق حجم الكعكة، والجميع يتضرر”.

اختلافات المجتمع حول إدارة مخاطر Aave

بعد تجميد سوق rsETH، انقسم المجتمع حول قدرات إدارة المخاطر في Aave. يرى المؤيدون أن استجابة Aave السريعة كانت فعالة في إيقاف توسع الديون المعدومة، مما يعكس قدرة البروتوكول على الصمود؛ بينما يعتقد المعارضون أن تقييم مخاطر قبول rsETH كضمان لم يكن كافيًا، خاصة مع علمهم أن Spark أزال rsETH في يناير.

ردود فريق التطوير والجهات المعنية

تصريحات عامة من البروتوكولات

• Kelp DAO: أكد حسابه الرسمي على X أن “ثغرة في rsETH عبر السلسلة” حدثت، وأنه بدأ تحقيقًا شاملًا مع فريق LayerZero، والجهات المدققة، والخبراء الأمنيين.
• LayerZero: رد عبر منشور على X أن “الموضوع معروف، ويجري التحقيق في السبب الجذري”.
• Aave: أصدر بيانًا أن rsETH على شبكة إيثريوم “مدعوم بشكل كامل”، لكنه لا يزال مجمدًا، مع تأكيد أن التعرض محدود.

جدل حول المسؤولية

يتفق الباحثون الأمنيون على أن قرار Kelp DAO باستخدام تكوين 1/1 DVN هو السبب الجذري للحادث، لكن هناك نقاشات حول المسؤولية: فبعض يعتقد أن على Kelp DAO كمطور أن يتحمل المسؤولية الأساسية، وآخرون يرون أن LayerZero، كمزود للبنية التحتية عبر السلسلة، يتحمل جزءًا من المسؤولية، خاصة فيما يتعلق بالتوجيهات وأفضل الممارسات.

وجهة نظر الباحثين الأمنيين

تصنيف الثغرات التقنية

وفقًا لتحليلات معمقة نشرها خبراء أمنيون على X، فإن الثغرة الأساسية تكمن في تكوين Kelp DAO لعقدة Omnichain (OApp) على LayerZero: باستخدام نمط DVN 1/1، يعتمد على عقدة تحقق واحدة، مما يسمح للمهاجمين بتزوير رسائل التحقق عبر السلسلة. عبر payload مصمم بعناية، يمكن للمهاجم أن يثير إصدار rsETH بدون وجود أصول حقيقية، مما يمنحه قيمة تقارب 3 مليارات دولار بشكل اصطناعي.

مقارنة مع أحداث سابقة واستنتاجات

يقارن الباحثون بين هذا الهجوم وحدث Nomad في 2022، حيث كلاهما يتضمن ثغرات في آليات التحقق عبر السلسلة، مع وجود نقاط ضعف في التحقق من الرسائل. بعد Nomad، زادت الحذر من أمان الجسور، لكن مع تطور تصميمات الجسور وأنواع الأصول المعقدة (مثل LRT)، ظهرت ثغرات جديدة. يُظهر حادث Kelp DAO أن أمان الجسور عبر السلسلة لا يزال غير محسّن، بل أصبح أكثر هشاشة مع تعقيد الأصول.

تأثيرات الصناعة: من ثغرة نقطة واحدة إلى انتقال المخاطر النظامية

تأثيرات على قطاع LRT

الارتباط بقيمة أصول LRT تحت الاختبار

يُعد rsETH أحد الأصول الرائدة في قطاع LRT. كشفت الحادثة عن مخاطر هيكلية في أصول LRT في سيناريوهات عبر السلسلة: تعتمد قيمة الأصول على سلامة احتياطيات ETH الأساسية، ويمكن لثغرات الجسور أن تخلق عملات بدون ربط حقيقي، دون الحاجة إلى التفاعل مع الاحتياطيات الأساسية. هذا يهدد الثقة في قطاع LRT بأكمله.

مراجعة معايير الشفافية والتدقيق

بعد الحادثة، من المتوقع أن تفرض الصناعة معايير أكثر صرامة على شفافية الاحتياطيات وتدقيق الأصول في بروتوكولات LRT. يتعين على Kelp DAO أن تنشر نتائج تسوية الحسابات، وتثبت سلامة الضمانات المتبقية من rsETH. قد يكون هذا نقطة تحول في إعادة ضبط معايير الأمان في قطاع LRT.

إعادة تقييم قدرة عزل المخاطر في بروتوكولات الإقراض

مزايا نموذج Morpho للعزل

في هذا الحدث، استطاع بروتوكول Morpho، بفضل تصميمه لعزل السوق، أن يحد من تعرض rsETH إلى حوالي مليون دولار، موزعة على سوقين مستقلين، دون أن يؤثر على البروتوكول بشكل نظامي. بالمقابل، أدى تصميم Aave الموحد إلى انتقال سريع لتأثير الثغرة إلى كامل النظام.

أهمية تصميم البروتوكول في إدارة المخاطر

تُظهر الاختلافات بين Morpho وAave أن في أمن DeFi، فإن تصميم الهيكل هو العامل الحاسم، حيث أن العزل يقلل من احتمالية الانتشار الواسع للمخاطر، على الرغم من أن ذلك قد يقلل من كفاءة رأس المال.

أمان الجسور عبر السلسلة: مشكلة قديمة بنسخة جديدة

مخاطر تكوين LayerZero

يكمن الجذر التقني لحادث Kelp DAO في قرار تكوين الجسر DVN 1/1، الذي يخلق نقطة فشل واحدة في التحقق عبر السلسلة. اعتمادًا على تكوين واحد، يمكن للمهاجم أن يزور رسائل مزورة. يُعد LayerZero، كمزود للبنية التحتية، مسؤولاً عن التوازن بين المرونة والمخاطر.

ممارسات أفضل لأمان الجسور عبر السلسلة

بعد الحادث، من المتوقع أن تتسارع الصناعة في وضع معايير موحدة لأمان الجسور، تشمل التحقق من متعدد DVN، وآليات قفل زمني، وحدود المعاملات. أوقفت Curve Finance مؤقتًا بنيتها التحتية على LayerZero لإجراء تقييم أمني، وقد تتبعها بروتوكولات أخرى.

استشراف تطور السيناريوهات: من الأزمة الحالية إلى مستقبل أمان DeFi

مسار مرجعي: استيعاب الأزمة، وتعزيز مرونة النظام

في هذا السيناريو، ستقوم Aave بتسوية الديون المعدومة تدريجيًا عبر الاحتياطيات وتدفقات الدخل، وتُعلن Kelp DAO عن نتائج تسوية الحسابات وشفافية rsETH، مع استعادة الثقة تدريجيًا. المتغيرات الرئيسية تشمل: هل ستتمكن Aave من سد الثغرة دون اللجوء إلى خصم الأمان؛ وهل ستتمكن Kelp DAO من إثبات سلامة الضمانات المتبقية؛ وهل ستتمكن بروتوكولات LRT الأخرى من استعادة الثقة عبر الشفافية.

مسار الضغط: انخفاض سعر ETH يؤدي إلى عمليات تصفية ثانوية

يحذر monetsupply.eth، مسؤول استراتيجية Spark، من أن ETH هو الضمان الرئيسي، وعندما تصل معدلات الاستخدام إلى 100%، فإن عمليات التصفية تصبح غير قابلة للتنفيذ. في ظل ضغوط السيولة الحالية، إذا انخفض سعر ETH بنسبة 15-20%، قد تتراكم ديون معدومة إضافية. قد يتطلب ذلك تدخلًا كبيرًا من وحدة الأمان stkAAVE، ويخاطر حاملو الرموز بخسائر مباشرة. الأثر الأبعد هو أن سوق إقراض ETH قد يدخل في دائرة مفرغة من نقص السيولة والتصفية، مما يؤثر على بروتوكولات أخرى تعتمد على ETH كضمان رئيسي.

مسار إعادة الهيكلة: ترقية أمن DeFi بشكل نظامي

قد يكون حادث Kelp DAO محفزًا لترقية بنية أمن DeFi، عبر: وضع معايير موحدة لأمان الجسور، وتحسين آليات إثبات الاحتياطيات في بروتوكولات LRT، وتقييد دخول الأصول عالية المخاطر، وتطبيق نماذج عزل السوق في البروتوكولات الرائدة. رغم أن ذلك يتطلب توازنًا جديدًا بين الأمان والكفاءة، إلا أن الثمن الذي دفعه السوق في 2026 يوضح أن التضحية بالأمان من أجل الكفاءة قد يكون مكلفًا جدًا.

الخاتمة

حادثة Kelp DAO التي بلغت خسائرها 2.93 مليار دولار ليست مجرد هجوم كبير، بل اختبار حقيقي لنظام أمن DeFi. عبر ثغرة في تكوين الجسر، استطاع المهاجم أن يثير سلسلة من التأثيرات عبر الأصول المشتقة، وبروتوكولات الإقراض، والنظام بأكمله، مما أدى إلى تلاشي TVL الخاص بـ Aave بمقدار 8.45 مليار دولار خلال يومين، وتراجع أصول DeFi على مستوى السلسلة بأكثر من 13 مليار دولار.

وفي خضم هذه العاصفة، برزت اختلافات واضحة بين البروتوكولات: إذ تحمل Aave ضغطًا هائلًا بسبب تنوع الضمانات، بينما استطاع Morpho أن يحد من المخاطر عبر عزل السوق، ونجح SparkLend في النجاة بفضل إزالته المبكرة للأصول منخفضة الاستخدام مثل rsETH. تؤكد هذه النتائج أن الأمان في DeFi ليس مجرد مجموعة من التدابير التقنية، بل هو فلسفة تصميم.

حتى 20 أبريل 2026، لم تُنشر نتائج تسوية حسابات Kelp DAO، ولا تزال خطة تعويض الديون المعدومة في Aave قيد النقاش، وتُنتظر إعادة تقييم قيمة rsETH. ستظل هذه القضايا حاضرة في اختبار مرونة النظام وإدارته. لكن من المؤكد أن أزمة الأمان في 2026 ستترك أثرًا عميقًا في تاريخ DeFi، حيث ستدفع الصناعة لإعادة النظر في مفهوم “الفعالية على حساب الأمان”، والبحث عن توازن جديد بين النمو والأمان.