هل لا تزال أموال عالم التمويل اللامركزي (DeFi) التي تزيد عن 300 مليون بعد 300 مليون أخرى آمنة في الحفظ؟

المؤلف: جاي، PANews

شهد قطاع التشفير في أبريل تقلبات غير متوقعة، بعد أن تعرضت منصة Drift الرائدة في بيئة Solana للـ Perp DEX لسرقة بقيمة 285 مليون دولار بعد فترة قصيرة من حادثة “مجزرة الأبله”، مما أدى إلى دخول السوق في موجة من الصعود القفزي للعملات مثل RAVE.

وفي الوقت الذي بدأ فيه RAVE يتراجع، واجه سوق التمويل اللامركزي مرة أخرى ضربة قوية بعد هجوم على بروتوكول KelpDAO، أحد أبرز بروتوكولات LRT (إعادة الرهن السيولة) على إيثريوم.

في 18 أبريل، تعرضت KelpDAO لهجوم استغل ثغرة في جسر عبر السلاسل يعتمد على LayerZero، حيث تم سرقة حوالي 116,500 rsETH، مما أدى إلى خسارة تقدر بـ 292 مليون دولار، وكان حجم السرقة أكبر من حادثة Drift، لتصبح أكبر حادثة أمنية على السلسلة منذ 2026.

لم ينجح المهاجم في اختراق عقد الرهن الرئيسي، ولم يتم تسريب المفاتيح الخاصة، بل كانت مجرد ثغرة صغيرة في التحقق عبر السلاسل، لكنها أشعلت مخاطر التداخل في DeFi.

عندما تتراكم الرافعة المالية المعاد رهنها مع طموحات التوسع عبر عدة سلاسل، يواجه قطاع DeFi بعد ثلاث سنوات من السباق نحو “الأرباح أولاً” اختبارًا حاسمًا بين “الأرباح أولاً” و"الأمان أولاً".

ثغرة التحقق الأحادي أدت إلى أزمة LRT، وسرقة KelpDAO تقترب من 3 مليارات دولار

المتهم في السرقة، KelpDAO، كان نجمًا في مجال LRT.

منطقيتها التجارية استهدفت بدقة نقاط الألم في السوق، وابتكرت نموذج “سمكة بثلاثة طيور”. حيث يقوم المستخدمون بتغليف أصول مثل stETH و rETH وغيرها من أصول الرهن السيولة (LST) في rsETH، مما يحافظ على العائد الأساسي من ETH المرهون، ويضيف مكافآت إعادة الرهن من EigenLayer، ويمكنهم استخدام rsETH للتنقل بين مختلف سيناريوهات الإقراض والتعدين في DeFi.

للسيطرة على حصة السوق، توسعت KelpDAO بشكل جريء إلى 16 سلسلة عامة، وأصبحت rsETH، بفضل عائدها المرتفع وسيولتها العالية، الأصل الرهن الرئيسي في Layer 2 وAave، ودمجت بشكل عميق في بيئة DeFi على إيثريوم.

هذه البنية متعددة السلاسل تعتمد بشكل كبير على بروتوكول الاتصال عبر السلاسل LayerZero، وهو ما أصبح مركز الكارثة.

في 20 أبريل، نشرت LayerZero مقال مراجعة للحادثة ذكرت فيه أن KelpDAO تعرض للهجوم، وخسائر تقدر بـ 290 مليون دولار. وأشارت الأدلة الأولية إلى أن الهجوم ربما نفذه جهة دولية ذات خبرة عالية، يُحتمل أن تكون مجموعة Lazarus الكورية الشمالية، وتحديدًا TraderTraitor. وبما أن KelpDAO يستخدم إعداد توقيع واحد، فإن الحادث اقتصر على تكوين rsETH، ولن يؤثر على أصول أو تطبيقات أخرى عبر السلاسل.

وفي الوقت نفسه، اعترفت LayerZero أن KelpDAO يستخدم فقط إعداد DVN من نوع 1/1، مما يعرضه لمخاطر نقطة واحدة، وهي تتواصل مع جميع التطبيقات التي تستخدم إعداد DVN من نوع 1/1 لنقلها إلى إعداد متعدد التوقيعات يتسم بالاحتياطيات. ومع ذلك، لم تكن LayerZero قد حثت KelpDAO على إجراء تغييرات أو فرض إعداد متعدد التوقيعات من قبل، مما يضعها في موقف مسؤول.

قام المهاجم بحقن سموم موجهة للبنية التحتية التابعة لـ LayerZero، وهاجم اثنين من العقد المستقلة، مما أدى إلى تأكيد DVN على معاملات لم تحدث من قبل.

وكشفت LayerZero أن المهاجم استغل قائمة RPC الخاصة بـ LayerZero Labs DVN، وهاجم اثنين من العقد المستقلة واستبدل ملف op-geth الثنائي، وشن هجوم DDoS على RPC غير المصاب، مما أدى إلى فشل في التبديل، وأكد DVN معاملات لم تحدث من قبل.

باختصار، المهاجم “نشط” صلاحية سحب rsETH من العدم.

والأكثر رعبًا، لو لم يتم تفعيل آلية الحظر الطارئة في آخر 3 دقائق، لكان المهاجم قد سرق مليار دولار إضافي، وكان الخسارة الإجمالية ستتجاوز 4 مليارات دولار.

هذه الأزمة كانت لها مقدمات واضحة.

طريق هجوم المهاجم كان يتجه مباشرة إلى مشكلة شائعة في الصناعة: ضعف آلية التحقق في البروتوكول.

وفي سعيه لتحقيق كفاءة عبر السلاسل، تجاهلت KelpDAO مشكلة التحقق الأحادي المستمرة، مما جعلها نقطة اختراق سهلة للمهاجمين.

ولم تكن هذه المرة الأولى التي تكشف فيها KelpDAO عن ثغرات أمنية. ففي مايو من العام الماضي، أدى خطأ في توسيع وحدة العقود إلى إصدار 31.2 كوينتليون (خمسين مليار تريليون) من rsETH، وعلى الرغم من أنه تم تدميره في الوقت المناسب ولم يتسبب في خسائر، إلا أنه كشف عن مخاطر أمنية عميقة.

وفي سباق إعادة الرهن، زادت المنافسة من تدهور الأمان. فلتوسيع الحجم، استمرت KelpDAO في إدخال أصول LST جديدة، وتوسيع شبكات L2، لكن مع كل سلسلة جديدة وأصل جديد، تزداد مساحة الهجوم بشكل أسي.

ويشير خبراء DeFi إلى أن تكلفة جذب TVL على Layer 2 ستزيد أكثر، وأن جزءًا كبيرًا من TVL سيعود إلى L1.

السلاح ذو الحدين للتوسع عبر السلاسل، في النهاية يتحول إلى سلاح يطعن في بروتوكول DeFi نفسه وبيئته بأكملها.

Aave يتعرض لتسميم rsETH، وخسائر بقيمة 200 مليون دولار تثير هروب رأس مال بقيمة 6.6 مليار

DeFi يشبه قطع الليغو، قطعة مكسورة تتسبب في انهيار كامل.

بعد أن حصل المهاجم على rsETH غير المشروع، لم يبيع مباشرة في DEX، بل اتبع استراتيجية “تسميم الأصول”: حيث وضع rsETH كضمان عالي الجودة في Aave، واستعار أصول سيولة عالية مثل WETH و USDC و USDT، محولًا الأصول غير المشروعة إلى ديون سيئة على البروتوكول.

وفقًا لتقديرات Chaos Labs، فإن حجم الديون المعدومة التي تواجهها Aave يتجاوز التوقعات بكثير، ويقترب من 2 مليار دولار.

وبعد انتشار خبر الديون المعدومة، انخفض سعر رمز AAVE بنحو 18%.

منذ نهاية العام الماضي، يبدو أن Aave دخلت في “عاصفة من المصائب”. بعد سلسلة من الفوضى في الحوكمة، وتهجر مزودو الخدمة، أصبحت الآن، بسبب ارتباطها بسوق rsETH، هدفًا مثاليًا للمهاجمين للخروج بسيولتها.

ومشهد على السلسلة زاد الطين بلة.

تم رصد يوشي مين من شركة Sun Yuchen وهو يسحب بشكل طارئ 53,665 من ETH، بقيمة 1.26 مليار دولار. ويُعتبر سحب استثماراته علامة على فقدان الثقة من قبل كبار المستثمرين في أمان البروتوكول.

وتبعه هروب رأس المال من السوق بأكمله. وفقًا لبيانات DeFiLlama، شهدت Aave تدفقًا صافياً للخروج بقيمة تصل إلى 6.6 مليارات دولار خلال يوم واحد، مع انخفاض حجم الأموال بنسبة 23%.

على الرغم من أن المشكلة الأساسية لم تكن من صنع Aave، إلا أن هذا الحدث يمثل اختبارًا عميقًا لنظام إدارة المخاطر لديها.

وأشارت بعض الأوساط إلى أن أحد أعضاء المجتمع حذر قبل 15 شهرًا من مخاطر التحقق الأحادي في منتدى حوكمة Aave، لكن فريق Aave لم يتخذ أي إجراءات.

وفي المقابل، قامت Spark في يناير من هذا العام بإزالة rsETH من منصتها. وقال الباحث في DeFi CM: “نظام Sky كله يعتمد على فلسفة تشديد الرقابة بشكل استباقي، رغم أن ذلك قد يبطئ تطور البروتوكول، لكنه يظهر قيمته في اللحظات الحرجة.”

كما أن يوشي مين سحب 53,665 من ETH ووضعها في Spark. وخلال يومين، ارتفع سعر رمزه SPARK بأكثر من 50%، وهو تباين واضح مع AAVE.

يعتقد Todd، أحد مؤسسي Nothing Research، أن Aave قد تستخدم قريبًا ميزة “Umbrella (المظلة)” للتأمين، لمواجهة خسائر تقترب من 200 مليون دولار.

رغم أن وحدة التأمين توفر خط دفاع أول، إلا أن حجم صندوقها لا يكفي لتغطية خسائر تقترب من ملياري دولار.

وفي المدى القصير، فإن إنقاذ Aave لن يكون إلا تأجيل الأزمة، وليس حلها بشكل جذري، حيث لا تزال الفجوة الأساسية تتطلب تحقيق أرباح من البروتوكول أو إصدار رموز إضافية لتعويض الخسائر، وسيتم مناقشة الحلول بشكل أوسع من قبل المجتمع.

الاستعانة بحصن عازل + فرض التأمين + إعادة تقييم المخاطر، الأمان لم يعد “وجبة مجانية”

حادثة KelpDAO أعلنت نهاية موجة LRT رسميًا، وسيدخل سوق DeFi في ثلاث تغييرات لا رجعة فيها في أنظمة الرقابة.

عزل سوق الإقراض: انتهى نموذج الإقراض غير المعزول في Aave، حيث ستُقيد الأصول في “برك معزولة” مستقلة تمامًا. حتى لو حدثت مشكلة في أصل واحد، فلن تؤثر على الأصول في برك أخرى.

مؤسس Curve، مايكل إيغوروف، ذكر أن نموذج الإقراض غير المعزول يمتلك قابلية توسع جيدة، لكنه يحمل مخاطر أعلى، ويقترح أن يتبنى السوق أنماطًا إما معزولة تمامًا أو مختلطة.

على الرغم من أن الهيكل المعزول تمامًا قد يقلل من كفاءة رأس المال، إلا أنه يعزز بشكل كبير مقاومة النظام للمخاطر.

إلزامية وحدات التأمين: ستدفع وحدة Umbrella البروتوكولات إلى جعل التأمين جزءًا أساسيًا من النظام، بدلاً من خيار اختياري.

وفي المستقبل، قد يُطلب من الأصول الجديدة التي تريد الإدراج في منصات إقراض رئيسية مثل Aave أن تودع نسبة معينة من الضمانات في صندوق التأمين، كمصدر أول لتعويض حالات التخلف أو السرقة.

إعادة تقييم مخاطر أصول DeFi: قال مؤسس OneKey، يي شي، إن عوائد ومخاطر DeFi الآن غير متناسبة، والأمان يتطلب تكاليف ثابتة.

السوق ستعيد تقييم المخاطر، وسترتفع رسوم البروتوكولات وتكاليف البنية التحتية، وإلا فلن يكون بالإمكان دعم استثمارات الأمان.

وبالتالي، يجب أن يُعاد تسعير أصول DeFi استنادًا إلى أمانها الأساسي. فالأصول المغلفة مثل LRT تحمل مخاطر أعلى بكثير من الأصول الأصلية، ويجب على منصات الإقراض أن تضع في اعتبارها خصمًا لمخاطر الأصول المغلفة ضمن نماذج إدارة المخاطر.

سرقة KelpDAO تُعد مرآة قاسية، تعكس إهمال المجتمع لمبدأ الأمان في سعيه لتحقيق أقصى عائد وتوسع عبر السلاسل.

الخسارة التي تقترب من 3 مليارات دولار مكلفة، لكنها قد تدفع قطاع DeFi إلى التحول من السعي الأعمى نحو التداخل إلى التركيز على الاستقرار، وهو الثمن الذي يجب دفعه لبلوغ النضج.

وفي أعقاب حادثة KelpDAO، بدأ السوق يدرك أن القيمة الحقيقية لـ DeFi تكمن في توفير بنية تحتية مالية أكثر شفافية وأمانًا ومقاومة للمخاطر.

وعندما تتراجع الأمواج، ستبقى الأسس أكثر صلابة.