من هجوم KelpDAO إلى مخاطر الديون المعدومة في Aave: تحليل أزمة الضمانات rsETH وآلية تغطية الاحتياطيات

في 18 أبريل 2026، هجوم لم يلمس أي رمز لعقد ذكي، تسبب في أكبر خسارة ائتمانية في تاريخ بروتوكول الإقراض الرائد Aave، الذي لم يشهد من قبل حوادث أمنية. قام المهاجم من خلال جسر rsETH عبر KelpDAO بإنشاء 116,500 عملة rsETH بدون دعم أصول حقيقية، ثم وضعها كضمان في Aave، واستعان بكميات كبيرة من WETH قبل أن يختفي. وفقًا لبيانات Gate Market، في 22 أبريل 2026، كان سعر رمز AAVE هو 92.51 دولارًا، وانخفض خلال 7 أيام بنسبة 7.72%، والمشاعر السوقية كانت محايدة. ومع ذلك، فإن اهتمام السوق لا يقتصر على سعر الرمز — هل يمكن لاحتياطي الأمان Umbrella في Aave تغطية هذه الخسارة التي قد تصل إلى 230.1 مليون دولار؟ وهل ستؤدي هذه الأزمة إلى عدوى نظامية أوسع في نظام DeFi؟

هجوم دقيق خلال أربع وأربعين دقيقة

في 18 أبريل 2026، الساعة 17:35 بالتوقيت العالمي، تعرض جسر rsETH المبني باستخدام تقنية LayerZero الخاص بـ KelpDAO للهجوم. خلال 46 دقيقة، قام المهاجم بإطلاق 116,500 عملة rsETH من شبكة إيثريوم الرئيسية، بقيمة تقريبية تبلغ 292 مليون دولار وفقًا لسعر السوق في ذلك الوقت، وهو ما يمثل حوالي 18% من إجمالي عرض rsETH المتداول. قامت مجموعة التوقيع المتعدد الطارئة في KelpDAO بتجميد مكونات البروتوكول الأساسية بعد حوالي 46 دقيقة، بما في ذلك تجمع السيولة LRT، وعقد السحب، والبيانات الحاسوبية، ورمز rsETH، ونجحت في اعتراض محاولتين لاحقتين لسحب 40,000 rsETH (حوالي 100 مليون دولار). لكن، في ذلك الوقت، تم نقل الـ 116,500 rsETH التي أُطلقت إلى عناوين استرداد مسبقة، وتم حقنها بسرعة في أسواق Aave V3 وV4.

هذا المبلغ من الهجوم جعل حادثة KelpDAO أكبر هجوم على بروتوكول DeFi حتى الآن في عام 2026.

جدول تطور الحدث

• حجم الخسارة: 116,500 rsETH، بقيمة حوالي 292 مليون دولار
• الأسواق المتأثرة في Aave: إيثريوم الأساسية، Arbitrum، Mantle، Base، Linea، وغيرها من 11 سوقًا
• تدفق TVL في Aave: حوالي 8.3 مليار دولار خلال يومين
• خسائر قطاع DeFi بأكمله: حوالي 10 مليار دولار

تحليل عميق لمسار الهجوم

الهجوم لم يكن استغلالًا لثغرة في عقد ذكي تقليدي، بل كان هجومًا مركبًا من نوع “خلل في تكوين الجسر” و”هجوم على البنية التحتية الوطنية”. يمكن تفكيك سلسلة الهجوم إلى الخطوات التالية:

الخطوة الأولى: الحصول على قائمة عقد RPC. حصل المهاجم على قائمة عقد RPC الخاصة بشبكة DVN (شبكة المدققين اللامركزية) التي تستخدمها LayerZero Labs.

الخطوة الثانية: تسميم عقد RPC. اخترق المهاجم عقدي RPC، واستبدل ملف التشغيل الخاص بـ op-geth بنسخة خبيثة. ستقوم هذه العقد الخبيثة بتقديم بيانات مزورة إلى عنوان IP الخاص بـ DVN، مع الحفاظ على مظهر “صادق” للمراقبين الآخرين.

الخطوة الثالثة: هجوم DDoS يسبب انتقال الفشل. شن المهاجم هجوم رفض خدمة موزع على باقي عقد RPC غير المخترقة، مما يجبر نظام DVN على تحويل كل الحركة إلى العقد المخترقة.

الخطوة الرابعة: إرسال رسالة مزورة عبر الجسر. قدم المهاجم رسالة مزورة تدعي أنها من KelpDAO عبر Unichain، والتي تم تصديقها من قبل DVN استنادًا إلى البيانات المزورة المقدمة من العقد المخترقة. بعد موافقة 2/3 من التوقيعات، تم اعتماد الرسالة المزورة على أنها شرعية.

الخطوة الخامسة: إطلاق rsETH على شبكة إيثريوم الرئيسية. استدعى المهاجم دوال commitVerification( و lzReceive)، مما أدى إلى إصدار 116,500 rsETH إلى عنوان المهاجم عبر موصل rsETH على إيثريوم.

الخطوة السادسة: البيع والفرار. وزع المهاجم rsETH على 8 عناوين مسبقة، وأكمل خلال حوالي 6 دقائق عمليات إيداع rsETH كضمان في Aave، واقتراض WETH، ثم نقل الأصول.

الدليل القابل للتحقق من هذا الهجوم موجود في بيانات السلسلة: توقف outboundNonce الخاص بـ Unichain عند 307، وال nonce المزعوم 308 لم يُسجل أبدًا، ولم تصدر Unichain أي حدث PacketSent مرتبط بال nonce 308؛ كما أن إجمالي عرض rsETH على Unichain هو 49.26 عملة فقط، وهو غير كافٍ لإحراق 116,500 rsETH عبر الجسر.

تحليل حجم المخاطر في Aave

وفقًا لتقرير أعدته شركة LlamaRisk، مزود خدمات المخاطر في Aave، في 21 أبريل، قام المهاجم بوضع 89,567 rsETH المسروقة كضمان في عدة أسواق في Aave V3، واقترض حوالي 82,650 WETH (حوالي 191 مليون دولار) و821 wstETH. نظرًا لأن هذه rsETH تم إنشاؤها من لا شيء، وليس لها دعم أصولي حقيقي، فإن قيمتها كضمان في نظام Aave تساوي تقريبًا صفر، مما يخلق خسارة ائتمانية.

هناك سينارانيوهات للخسارة، ويعتمد الحل النهائي على قرار توزيع الخسائر من قبل KelpDAO:

المصدر: تقرير حدث LlamaRisk

تقييم قدرة الاحتياط على التغطية

حتى إصدار التقرير، كانت الحالة المالية لمجمعات أموال Aave على النحو التالي:

• خزانة DAO في Aave: تمتلك أصولًا بقيمة حوالي 180 مليون دولار
• احتياطي Umbrella الأمني: حوالي 80 مليون إلى 100 مليون دولار
• وحدة الأمان القديمة (OG): لا تزال تمتلك حوالي 300 مليون دولار من رموز AAVE، وإذا تم تقليلها بنسبة 20%، يمكن أن توفر حوالي 60 مليون دولار إضافية للتغطية.

تقدير فجوة التغطية:

في أسوأ سيناريو (خسارة 230.1 مليون دولار)، حتى مع استخدام احتياطي Umbrella (حوالي 55 مليون دولار قابل للاستخدام)، وخزانة DAO (حوالي 85 مليون دولار)، وتقليل وحدة الأمان OG (حوالي 60 مليون دولار)، لا يزال هناك فجوة تقدر بحوالي 76 مليون دولار، والتي قد تتطلب اقتراض أو بيع رموز AAVE لملئها.

وجهات نظر الصناعة حول الحدث

أثار هذا الحدث تباينات في التفسير والتحميل المسؤول، مع اختلافات رئيسية في ثلاثة مستويات:

( جدل حول المسؤولية

من جانب LayerZero، ألقى اللوم على اختيار KelpDAO للبنية، مؤكدًا أن KelpDAO استخدم تكوين “DVN واحد/واحد”، حيث يمكن لمحقق واحد فقط الموافقة على الرسائل عبر الجسر، بينما الممارسة الأفضل هي استخدام تكوين متعدد لـ DVN. أشار LayerZero إلى أنه نصح مرارًا وتكرارًا بترقية إلى تكوين DVN متعدد، لكن لم يتم الاعتماد، وأعلن أنه لن يوقع على رسائل لأي تطبيق يستخدم تكوين DVN واحد/واحد مستقبلًا.

من جانب KelpDAO، قالوا إنهم يعملون على بنية تحتية تعتمد على LayerZero منذ يناير 2024، ويحافظون على تواصل مفتوح مع فريق LayerZero. أشاروا إلى أن مناقشات حول مشكلة تكوين DVN حدثت خلال توسعة الشبكة الثانية، وأن الإعداد الافتراضي تم تأكيده على أنه مناسب، مما يلمح إلى أن وثائق وتوجيهات LayerZero نفسها تتحمل مسؤولية.

المراقبون في الصناعة، أشاروا إلى أن المهاجم أظهر قدرة على ربط “نقاط الضعف في البنية التحتية، والتطبيقات، وعلاقات الثقة”، وأن هذا ليس هجومًا انتهازيًا عابرًا، بل اختراق دقيق يستهدف أنظمة معقدة.

) تقييم إجراءات Aave

المؤيدون، يعترفون بسرعة استجابة فريق Aave — حيث قاموا خلال ساعات بتجميد جميع أسواق rsETH/wrsETH، وإعادة تعيين نسبة LTV إلى الصفر، وخفض معدلات الفائدة على WETH عبر الشبكات، وتجميد الإقراض. وأوضح مؤسس Aave، Stani، في جلسة أسئلة وأجوبة أن العقود الأساسية للبروتوكول لم تتعرض للاختراق، وأن التدفق الشهري للإيرادات البالغ حوالي 12 مليون دولار يكفي لتغطية الخسائر المحتملة.

المنتقدون، يركزون على أنه إذا اضطروا لاستخدام رموز AAVE المرهونة في وحدة الأمان لتغطية الخسائر، فسيكون ذلك بمثابة تحميل تكلفة الثغرة على حاملي رموز AAVE. بالإضافة إلى ذلك، فإن آلية Umbrella لم تُختبر بشكل كافٍ بعد أقل من شهرين على إطلاقها، ويُشكك في فعاليتها.

تطور صناعة DeFi

قال مؤسس DefiLlama، 0xngmi، إن حتى البروتوكولات غير المتأثرة مباشرة لم تنجُ من عمليات السحب الذعرية، حيث خرجت أصول بقيمة 6.2 مليار دولار من النظام (انخفاض بنسبة 23%)، وخسرت صناعة DeFi بأكملها حوالي 10 مليارات دولار، وقال بصراحة: “لا أحد رابح في مثل هذه الأحداث، فقط ستتقلص ‘الكيكة’ الكلية للصناعة”.

وفي المقابل، هناك من يرى أن، على الرغم من أن “قائمة القراصنة لعام 2026” زادت من التشاؤم، إلا أن الاقتصاد على السلسلة لا يزال يتوسع — حيث تبلغ القيمة السوقية الإجمالية لـ USDT وUSDC حوالي 263 مليار دولار، وبلغت قيمة السندات الأمريكية المرمزة أكثر من 10.9 مليار دولار، ورأس المال يتجه نحو منتجات أبسط وأكثر شفافية في الضمانات.

تأثيرات هيكلية على الصناعة

تأثير على نموذج أمان DeFi

كشف حادث KelpDAO عن ثغرة هيكلية في أمان DeFi: أن التدقيق الأمني الحالي يركز بشكل رئيسي على مستوى الكود للعقود الذكية، لكن المهاجمين يمكنهم تجاوز ذلك من خلال استهداف البنية التحتية الأساسية مباشرة. لم يستخدم المهاجم ثغرة في الكود، بل قام بتسميم RPC وهجوم DDoS لتعطيل الثقة في التحقق عبر السلسلة. هذا يوسع نطاق التهديدات من “صحة الكود” إلى “موثوقية التحقق” و”سلامة البنية التحتية”.

قالت مؤسسات أبحاث الأمان إن هذا الهجوم، إلى جانب سرقة Drift في أوائل أبريل بقيمة 285 مليون دولار (التي شملت سوء استخدام الصلاحيات وعيوب في العمليات المسبقة التوقيع)، يشير إلى اتجاه: أن صلاحيات الحوكمة، وعمليات التوقيع، وآليات الجسر، والبيانات الحاسوبية، وتكوين المعلمات، أصبحت بنفس أهمية أو أكثر من الكود نفسه.

تأثير على سوق رموز الرافعة المالية المجمعة

يُعتبر rsETH أحد أكبر رموز الرافعة المالية المجمعة (LRT) في نظام EigenLayer، وأزمة الثقة به ستنتقل حتمًا إلى جميع فئة LRT. قبل الحادث، كانت القيمة الإجمالية المقفلة لـ rsETH تتجاوز 1.5 مليار دولار. بعد الهجوم، تم تجميد جميع أسواق rsETH ذات الصلة. والأهم، أن هذا الحدث أكد على المخاطر الأساسية لرموز LRT عبر السلاسل: عندما تعتمد رموز LRT على جسور عبر السلاسل للحفاظ على السيولة، فإن أي ثغرة في جسر على أي سلسلة قد تعرض جميع حاملي الرموز على جميع السلاسل للخسارة.

تقييم الثقة طويلة الأمد في Aave

على الرغم من أن العقود الأساسية لـ Aave لم تتعرض للاختراق، فإن “التحقق من صحة أصالة الضمانات” سيظل قضية طويلة الأمد في حوكمة Aave. هناك رأي بأن الحاجة الملحة هي لإنشاء آلية للتحقق من مصدر الضمانات، بحيث يُطلب من أصول عبر السلاسل مثل rsETH تقديم إثباتات من نوع Merkle Tree في الوقت الحقيقي، بحيث لا يقتصر التحقق على السعر، بل يشمل “صحة الأصل”. بعد هذا الحدث، سيكون من المهم مراقبة ما إذا كانت النسخة V4 من Aave ستتبنى آليات تحقق أكثر صرامة للضمانات.

تسريع اتجاه انتقال رأس المال

تسبب الحدث في خروج أموال، لكن التدفق ليس متساويًا. تظهر البيانات أن إجمالي TVL في بروتوكولات DeFi انخفض، بينما تظل قيمة العملات المستقرة والسندات الأمريكية المرمزة في ارتفاع — حيث تصل قيمة USDT إلى 185 مليار دولار، وUSDC إلى 78 مليار دولار، وبلغت قيمة السندات الأمريكية المرمزة أكثر من 10.9 مليار دولار. هذا التباين يشير إلى أن رأس المال يتجه من منتجات DeFi الأصلية المعقدة إلى منتجات أبسط وشفافة أكثر في الضمانات. وأشار وثيقة استراتيجية Stablecoin لعام 2026 من Visa إلى أن عرض العملات المستقرة زاد بنسبة تزيد عن 50% في 2025، وأن 2026 تعتبر سنة التحول للمشاركة المؤسسية.

الخاتمة

يكشف هجوم KelpDAO عن مشكلة هيكلية طويلة الأمد في صناعة DeFi: أن أمان الكود لا يساوي أمان النظام. عندما يستطيع المهاجمون، دون لمس أي كود عقد، تعطيل الثقة في البنية التحتية الأساسية وسرقة أموال بقيمة 292 مليون دولار، فإن نموذج الأمان في الصناعة يجب أن يتغير. ستعتمد نتائج تغطية الخسائر النهائية في Aave على جهود متعددة الأطراف وقرارات توزيع الخسائر من قبل KelpDAO. والأهم، أن هذا الحدث سيعمل كمحفز لتطوير معايير أمان DeFi — حيث لن تكون التحقق من صحة الجسور، وإثباتات أصالة الضمانات، وآليات عزل انتقال المخاطر بين البروتوكولات، مجرد ميزات اختيارية، بل ستكون “حدود بقاء”. كما قال مؤسس DefiLlama، لا رابح في مثل هذه الأحداث، لكنها على الأقل ستجعل الصناعة أكثر مرونة خلال فترة الألم.