حوار مع مان مو: حدث Kelp DAO rsETH × LayerZero هو انفجار مركزي للمخاطر النظامية في نظام هيكل ليغو الخاص بـ DeFi

المحاور: Techub News

المُحاور: فريق أمن慢雾

⼆، بداية النقاش

سؤال مقابلة Techub News 1: رجاءً عرّف في جملة واحدة حدث Kelp DAO rsETH × LayerZero، هل هو حادث فردي أم علامة على مخاطر منهجية في نظام التمويل اللامركزي 2026؟

هو واحد من أخطر حوادث الأمان في DeFi حتى الآن، وهو أيضًا انفجار مركزي للمخاطر المنهجية. ليس مجرد سرقة عقد معين، بل هو اختراق متزامن لمخاطر متسلسلة في ثلاث طبقات من بنية LRT (رمز إعادة الرهن الميسر)، والجسور عبر السلسلة، واتفاقيات الإقراض — حيث تم اختراق تكوين DVN (شبكة التحقق اللامركزية) المفرد، مما أدى إلى انتشار الخسائر من Kelp إلى Aave، وإلى العديد من البروتوكولات التي تمتلك rsETH.

سؤال متابعة: إذا كان لا بد من تصنيف واحد فقط

فهو “مشكلة الهيكل الهرمي الكامل لـ DeFi”. مشكلة الجسور عبر السلسلة هي الشرارة، لكن rsETH كضمان يُقبل بدون قيد من قبل Aave وغيرها من البروتوكولات،

وعدم وجود تدابير ضد “مصدر التزوير” في عمليات الإقراض، هو نتيجة لفشل فرضيات الثقة متعددة الطبقات.

⼆، تمهيد الخلفية

سؤال مقابلة Techub News 2: هل الحادث هو ثغرة برمجية، أم مشكلة أعمق في تكوين الثقة؟

المشكلة الأساسية ليست خطأ في البرمجة. بروتوكول LayerZero نفسه ليس به ثغرة، وعقدة rsETH ليست مخترقة مباشرة.

ما تم اختراقه فعلاً هو تكوين الثقة في آلية التحقق عبر السلسلة — حيث أن تطبيق rsETH على LayerZero يستخدم تكوين DVN 1/1، أي أن أمان مسار التحقق عبر السلسلة يعتمد كليًا على عقدة DVN واحدة تديرها LayerZero Labs. وإذا تم خداع هذه العقدة (وليس كسرها)، يمكن تمرير رسائل مزورة بلا عوائق.

وهذا في الواقع مشكلة “ثقة نقطة واحدة”، وليست مشكلة “ثغرة برمجية نقطة واحدة”.

سؤال متابعة من Techub News: هل الاعتماد على تدقيق الأمان المستقبلي يقتصر على فحص العقود فقط، أم أنه غير كافٍ؟

غير كافٍ على الإطلاق. الحادث يوضح أن التدقيق يجب أن يمتد من “كود العقد نفسه” إلى “تكوين معلمات عبر السلسلة، واستراتيجية اختيار DVN، وسلسلة الثقة”. تقرير تدقيق يركز فقط على كود Solidity لا يمكنه إظهار مدى هشاشة البروتوكول على مستوى التحقق عبر السلسلة.

⼀، استعراض الجدول الزمني: قبل 10 ساعات من الهجوم

سؤال مقابلة Techub News 3: متى بدأ المهاجمون في إظهار علامات، وما الذي حدث تقريبًا قبل 10 ساعات من الهجوم؟

من سلوك السلسلة، يتضح أن المهاجم قام بتحضيرات مسبقة قبل تنفيذ الهجوم الرئيسي — بما في ذلك تجهيز أموال الغاز عبر مُعقم العملات، والتخطيط المسبق لمسارات الأهداف. هذا النمط من التحضير المدروس هو سمة من سمات فرق الهجمات المهنية، وليس مجرد اكتشاف ثغرة عشوائي بعدي.

إعلان LayerZero الرسمي ذكر أن المهاجم حصل مسبقًا على قائمة عقد RPC التي تعتمد عليها DVN، ونجح في اختراق عقدتين على مجموعتين مستقلة، واستبدل الملف الثنائي الذي يشغل op-geth. كل هذه التحضيرات تمت قبل تنفيذ الهجوم بشكل سري.

سؤال متابعة من Techub News: هل يمكن ملاحظة خصائص هجمات APT من خلال هذا الأسلوب التحضيري المسبق؟

في بيان LayerZero، عُزي الهجوم إلى مجموعة Lazarus (فرع TraderTraitor)، المدعومة من كوريا الشمالية، وهي منظمة APT مدعومة من الدولة. التحضيرات المسبقة لمصدر الغاز، واستخدام أدوات التمويه لتجنب تتبع السلسلة، وتصميم مسار الهجوم بحيث يرد على عنوان IP الخاص بـ DVN برسائل مزورة، ويعيد البيانات الصحيحة لبقية العناوين، ثم تدمير الملف الثنائي الخبيث بعد الانتهاء — كل ذلك أنماط عمليات عالية التخصص، تتجاوز قدرات القراصنة العاديين بكثير.

⼀، استعراض الجدول الزمني: عند الساعة T-0، وقوع الهجوم

سؤال مقابلة Techub News 4: رجاءً فصّل الخطوة الأهم في الهجوم: ماذا فعل القراصنة، ولماذا مرّت الرسالة المزورة؟

مسار الهجوم يتلخص في الخطوات التالية:

اختراق بنية RPC الأساسية: المهاجم استبدل الملف الثنائي لعقدة RPC التي تعتمد عليها DVN على Unichain، ليتمكن من إرسال بيانات مزورة لحالة السلسلة إلى DVN.

تعطيل RPC الطبيعي عبر DDoS: شن هجوم DDoS على عقد RPC غير المسيطر عليها، لإجبار طلبات DVN على الفشل والانتقال إلى عقدة مخترقة.

تأكيد DVN للصفقة المزورة: استنادًا إلى البيانات المزورة التي أعادها RPC المخترق، “أكد” DVN عملية تزييف لعملية إنشاء rsETH أو إرسالها، لم تحدث على السلسلة.

تنفيذ نقطة النهاية: بعد اعتماد DVN، يقوم LayerZero Endpoint بتفعيل rsETH عبر OFTAdapter على السلسلة المستهدفة، ليتم إصدار أو إنشاء rsETH.

الخروج بعد الاستفادة: المهاجم يستخدم جزءًا من rsETH الذي حصل عليه في إقراضات على Aave وغيرها من بروتوكولات الإقراض، ليحقق أرباحًا ويخرج.

سؤال متابعة من Techub News 1: هل المشكلة الأساسية تتعلق بإطار عمل LayerZero، أم بتكوين Kelp؟

وفقًا لبيان LayerZero الرسمي، البروتوكول يعمل وفق التصميم المتوقع تمامًا. المشكلة أن Kelp اختارت تكوين DVN 1/1 ——

LayerZero حددت بوضوح في وثائق التكامل أن هذا يُعد “لا يُنصح به”، وتواصلت مع Kelp قبل الحادث بنصائح لأفضل الممارسات. من حيث المسؤولية، فهي قرار تكوين من جانب التكامل، وليس ثغرة في البروتوكول.

سؤال متابعة من Techub News: هل يمكن أن يمنع استخدام أكثر من DVN متعدد المستويات هذا الهجوم؟

بإضافة DVN مستقل ثانٍ للتحقق، يتطلب الأمر من المهاجم السيطرة على أو خداع اثنين من عقد التحقق المستقلة، وهو ما يزيد بشكل كبير من التكاليف التقنية والموارد. ولهذا أعلنت LayerZero لاحقًا أنها سترفض توقيع أي تطبيق لا يستخدم تكوين DVN متعدد، أي 1/1.

⼀، استعراض الجدول الزمني: بعد 46 دقيقة من الهجوم

سؤال مقابلة Techub News 5: من أول محاولة حتى تفعيل آلية التوقف في Kelp، استغرقت حوالي 46 دقيقة. هل تعتبر سرعة الاستجابة سريعة أم بطيئة؟

مقارنةً بالعديد من الحوادث الأمنية التي تستغرق ساعات للرد، فإن 46 دقيقة ليست بطيئة جدًا في الصناعة. لكن بالنسبة للهجمات على السلسلة، هذا الوقت لا يزال كافيًا لنقل أصول كبيرة، ورهنها، وإقراضها. المشكلة في DeFi أن جميع العمليات تتم خلال فواصل زمنية بين الكتل، والسرعة البشرية في التدخل لا يمكن أن تتفوق على السكريبتات الآلية.

سؤال متابعة من Techub News: هل ستصبح آلية التوقف التلقائي على السلسلة هي الحل الحقيقي في المستقبل؟

نعم. رد الفعل البشري بعد الحادث هو مجرد تقليل للخسائر، أما الحماية الحقيقية فهي آليات دفاع تلقائية على السلسلة — مثل إنذارات التزوير في عمليات التكوين، وتحديد حدود المعاملات عبر الجسور، والتوقف التلقائي عند انحرافات Oracle. يجب أن يكون هذا الحدث نقطة انطلاق لتعزيز “الأتمتة في إدارة المخاطر على السلسلة”.

⼀، استعراض الجدول الزمني: محاولة ثانية فاشلة

سؤال مقابلة Techub News 6: هناك محاولات أخرى من القراصنة بعد ذلك، لكنها لم تنجح. ماذا يعني ذلك؟

يعني أن هدف المهاجم ليس فقط سرقة 2.9 مليار دولار، بل تفريغ كامل كمية rsETH عبر السلسلة قدر المستطاع. العمليات اللاحقة التي تم إلغاؤها تشير إلى أن آلية التوقف في النهاية كانت فعالة، ومنعت خسائر أكبر محتملة.

سؤال متابعة: إذا تأخر المشروع 10-20 دقيقة أخرى، هل كانت الخسائر ستتضاعف بشكل كبير؟

على الأرجح نعم. المهاجم لا يزال لديه نافذة عمليات قبل إصلاح DVN، ووقت تفعيل آلية التوقف يحدد الحد الأقصى للخسائر. الـ2.9 مليار دولار كانت بالفعل خسارة هائلة، لكن من نمط سلوك المهاجم، لو لم يتم إيقافه، لكانت الأرقام أكبر بكثير.

⼋، استعراض الجدول الزمني: تأثير على Aave

سؤال مقابلة Techub News 7: بعد سرقة المهاجم، لماذا استغل “Aave” أيضًا؟ كيف حدث ذلك؟

اتفاقيات الإقراض لا تستطيع التمييز بين “rsETH المُصدر بشكل طبيعي” و"rsETH المُصدر عبر رسائل عبر السلسلة مزورة" — بالنسبة لـ Aave، هو يرى فقط رمز ERC-20 قياسي وبيانات سعر على السلسلة. المهاجم وضع rsETH غير الطبيعي كضمان، واقترض عملات ذات سيولة عالية مثل ETH، وغادر، تاركًا ديونًا غير مغطاة.

سؤال متابعة من Techub News 1: هل هذا يكشف عن مشكلة في إدارة المخاطر في Aave، أم أن الثقة المفرطة في “صحة الأصول الخارجية” هي المشكلة الأساسية في DeFi؟

كلاهما، لكن المشكلة الأعمق هي الأخيرة. معايير إدارة المخاطر في الإقراض تعتمد عادة على تقلبات الأصول وتعمق السوق، ولا يمكنها اكتشاف مصدر إصدار الأصول إذا كان ملوثًا. هذه مشكلة ثقة تتجاوز البروتوكول، وتتطلب حلولًا على مستوى الصناعة، وليس مجرد تعديل في إعدادات بروتوكول واحد.

سؤال متابعة من Techub News 2: هل يجب أن تعيد اتفاقيات الإقراض تعريف “الضمانات عالية الجودة”؟ نعم، على الأقل في فئة الأصول المركبة عبر السلسلة، هناك فجوة جوهرية بين “السعر على السلسلة” و"جودة الضمانات".

مستقبلاً، قد نحتاج إلى آليات للتحقق من مصدر الأصول عبر السلسلة، ورصد حالات التلاعب، كشرط مسبق لقبول أصول LRT كضمانات في اتفاقيات الإقراض.

⼀، تقييم هيكلي: مخاطر النظام في DeFi

سؤال مقابلة Techub News 8: هل كانت هذه المرة الأولى التي يتم فيها كشف مخاطر “LRT + الجسور عبر السلسلة + اتفاقيات الإقراض” بشكل كامل؟

نعم، هذه أول مرة تظهر بشكل مباشر مخاطر التداخل في نظام DeFi. سابقًا، كنا نناقش “ثغرة في بروتوكول معين”، لكن هذه المرة أظهرت أن عندما تتشكل مجموعة من البروتوكولات تعتمد على بعضها، فإن فشل أي حلقة يمكن أن ينتقل عبر مسار تدفق القيمة، مسببًا انهيارًا متسلسلًا.

سؤال متابعة من Techub: هل يمكن القول إن “DeFi يبدو غير مركزي من الظاهر، لكن الاعتماد على نقاط تحقق مركزية عالية في الأسفل”؟

هذا تقييم دقيق جدًا. المشكلة الأساسية هنا أن Kelp وضعت أمان مسار التحقق عبر السلسلة كله على عقدة DVN واحدة تديرها LayerZero Labs، والتي تعتمد على عدد قليل من عقد RPC — وهو سلسلة ثقة قصيرة جدًا. في بعض الجوانب، البروتوكولات “غير مركزية” فعليًا تعتمد على افتراضات ثقة مركزة، وغالبًا ما تكون هذه الافتراضات مخفية في الوثائق، وليست واضحة للمستخدمين.

⼗، تعمق تقني: ما هو DVN بالضبط

سؤال مقابلة Techub News 9: رجاءً اشرح بشكل بسيط ما هو DVN، ولماذا تكوين 1/1 يمكن أن يكون ثغرة قاتلة؟

يمكن تشبيهه بـ “شاهد على صحة الرسائل عبر السلسلة”. عندما يريد المستخدم نقل أصول من سلسلة A إلى سلسلة B، لا يثق LayerZero مباشرة في حالة سلسلة A، بل يطلب من DVN (شبكة التحقق اللامركزية) أن يتحقق بشكل مستقل من أن “هذه المعاملة حدثت على سلسلة A”، ثم يوافق على تنفيذها على سلسلة B.

تكوين 1/1 يعني توظيف شاهد واحد فقط، وهو الذي يُعتمد عليه في الحكم النهائي. وإذا تم خداع هذا الشاهد، أو تم شراؤه، أو تم تزويده بمعلومات مزورة، فإن التحقق يصبح بلا قيمة — لا يوجد صوت مستقل آخر يقول “انتظر، ما أراه هو نفسه”. هذه هي مشكلة نقطة الفشل الوحيدة.

سؤال متابعة من Techub: لماذا التدقيق لا يكفي بعد الآن؟

لأن التدقيق التقليدي يركز على التحقق من منطق الكود، وما إذا كانت هناك ثغرات معروفة، لكنه لا يراقب إعدادات التكوين بعد النشر. المشكلة أن التحقق من صحة التكوين، مثل إعدادات DVN، وأعدادات المنفذين، يعتمد على الثقة في طرف واحد أو طرفين، وهو ما يمثل نقطة ضعف كبيرة.

⼗، نظرة من فريق SlowMist: تتبع، إيقاف الخسائر، والتعاون الصناعي

سؤال مقابلة Techub News 11: بعد وقوع الهجوم، ما هي الخطوات التي ستتخذها SlowMist في البداية؟

عادةً، ستبدأ في:

• تتبع الأموال ورسم صورة للمهاجم: تتبع تدفق الأموال، وتحديد هوية المهاجم على السلسلة، وسلوكياته السابقة، ومصدر أمواله (هل استخدم أدوات تمويه، وما نوعها)، لبناء ملف شخصي للمهاجم.

• التعاون مع البورصات: إرسال تنبيهات للأصول المشتبه فيها، ومراقبة عناوين المهاجم، وفرض حظر على التحويلات، لمنع خروج الأموال عبر قنوات KYC.

• تنبيهات المخاطر: إرسال قوائم عناوين عالية الخطورة إلى بروتوكولات DeFi والمحافظ، للمساعدة في قطع مسارات العمليات المستقبلية للمهاجم.

• قنوات التفاوض مع “القبعات البيضاء”: في بعض الحالات، التواصل مع المهاجمين، وتقديم عروض مكافآت لاسترداد جزء من الأموال.

سؤال متابعة: هل من المحتمل استرداد الأموال التي تم تمويهها عبر أدوات التمويه بشكل كامل؟

بصراحة، إذا كان المهاجم من نوع Lazarus Group، فاحتمالية استرداد الأموال على السلسلة منخفضة جدًا. لديهم عمليات تقسيم وتمويه متقدمة جدًا. وأهم جهد في الصناعة الآن هو بناء آليات أسرع لتجميد الأصول عبر البورصات، وتعزيز التعاون القضائي مع الجهات المختصة، وهو الحلقة الأضعف حاليًا، والقدرات التقنية ليست المشكلة.

⼗، من وجهة نظر المستخدم العادي: هل لا يزال بإمكان DeFi أن يستمر؟

سؤال مقابلة Techub: هل يظل من الممكن للمستخدم العادي المشاركة في DeFi بعد هذا الحادث؟

لا تزال المشاركة ممكنة، لكن مع وعي أكبر بالمخاطر وتعديلات في أساليب المشاركة. النصائح الأساسية:

• إدارة الحصص: لا تضع كل أصولك في منتجات عالية التعقيد مثل “الجسور عبر السلسلة + إعادة الرهن + الإقراض” — فكل طبقة تزيد من المخاطر، وليس تقللها.

• الشفافية: اختر بروتوكولات تنشر تقارير أمنية دورية، وتوضح صلاحيات الحوكمة، بدلاً من الاعتماد فقط على معدلات العائد السنوية.

• فهم الأصول: rsETH ليس ETH، هو أصل مركب عبر السلسلة، وقيمته تعتمد على عمل سلسلة الثقة بشكل سليم.

سؤال متابعة من Techub: هل يجب أن يتجنب المستخدمون البروتوكولات ذات الهياكل المعقدة التي يصعب فهمها؟

نعم، هذه قاعدة حماية جيدة. إذا لم تستطع شرح “أين أصولي، من يديرها، وماذا يحدث إذا حدث خطأ”، بجملة واحدة، فخطرها لا ينبغي أن يكون كبيرًا في حصتك.

سؤال متابعة من Techub: هل يجب أن يتحول سؤال “هل خضع البروتوكول لتدقيق” إلى سؤال أكثر تحديدًا في المستقبل؟

نعم، “هل شمل التدقيق تكوينات عبر السلسلة؟” و"كم عدد المدققين في DVN؟" و"هل هناك توقيعات متعددة للحوكمة، ومن يملكها؟" — هذه معلومات يجب أن تكون من أساسيات الإفصاح في البروتوكول، وليست معلومات مخفية على المستخدمين في الوثائق.

⼗، في عصر الذكاء الاصطناعي: هل يمكن أن يستمر DeFi في المستقبل؟

سؤال مقابلة Techub: هل لا يزال هناك مستقبل لـ DeFi في عصر الذكاء الاصطناعي؟

نعم، مستقبل DeFi موجود، وربما يشهد ترقية حقيقية للبنية التحتية للأمان بفضل AI. لكن هذا المستقبل لا ينتمي إلى البروتوكولات التي تعتمد على “هياكل عوائد معقدة” لجذب المستخدمين، بل إلى تلك التي تتبنى مبكرًا القدرات التالية:

• إدارة مخاطر فورية مدعومة بالذكاء الاصطناعي: التعرف التلقائي على التزوير، التدفقات غير الطبيعية للأموال، والإشارات المتسلسلة للمخاطر بين البروتوكولات.

• التأمين عبر السلسلة وآليات التعويض التلقائي: نقل الحماية من “المساءلة بعد الحادث” إلى “الوقاية أثناء الحادث”.

• وكلاء المخاطر الذكيون: يراقبون باستمرار مخاطر المستخدم، ويقومون بتعديل المراكز أو الخروج تلقائيًا عند الوصول إلى حدود معينة.

سؤال متابعة من Techub: هل سيجعل الذكاء الاصطناعي الهجمات أسرع؟

نعم. يمكن للذكاء الاصطناعي أن يُستخدم في مسح الثغرات في التكوينات على السلسلة، وتوليد مسارات هجوم مثالية، وتسريع عمليات الاستطلاع للبنية التحتية الخارجية. مع تسريع الذكاء الاصطناعي، لن يعتمد الدفاع على “اكتشاف الإنسان” فقط، بل على أدوات دفاع تلقائية.

سؤال متابعة من Techub: هل سيجعل الذكاء الاصطناعي الصناعة تتجه من “تكاليف أمنية” إلى “قدرات أمنية أساسية في المنتج”؟

هذا هو التغيير الهيكلي الأكثر توقعًا. في الماضي، كانت استثمارات الأمان ضرورية للامتثال، لكن مع بدء المستخدمين في اعتبار “الشفافية الأمنية” و"قدرات إدارة المخاطر بالذكاء الاصطناعي" معايير أساسية لاختيار البروتوكول، ستتحول الأمان إلى ميزة تنافسية. هذا الحادث سرّع من هذا التحول.

⼗، خاتمة الكلمات

سؤال مقابلة Techub: رجاءً، بجملة واحدة، أرسل رسالة للمستخدم العادي، وأخرى للمبتكرين، وثالثة للصناعة بأكملها.

للمستخدم العادي: لا تعتبر الأصول المركبة عبر السلسلة خالية من المخاطر — كل عائد إضافي بنسبة نقطة مئوية واحدة وراءه افتراضات ثقة لا تراها.

للمبتكرين: ميزانية الأمان ليست خيارًا إضافيًا بعد إطلاق المنتج، بل شرط أساسي لبقاء منتجك في السوق الحقيقي.

للصناعة: لم يمت نظام DeFi، نحن بحاجة إلى شفافية أكبر في المخاطر، وليس إلى آليات عوائد أكثر تعقيدًا.