كيف ينظر خبراء التقنية إلى حادثة اختراق Kelp DAO

المؤلف: Grvt معهد البحث العميق

في فجر 19 أبريل، تم اختراق جسر rsETH عبر LayerZero الذي يعتمد على Kelp DAO، حيث خرج 116,500 من rsETH بدون أي سجل حرق مقابل من شبكة رئيسية، وبحسب السعر في ذلك الوقت، تقدر قيمتها بحوالي 292 مليون دولار. خلال ساعة واحدة، نفذت Kelp بشكل عاجل إيقاف جميع العمليات، لكن المهاجمين هاجموا مرتين لاحقًا، ولو لم يتم إيقاف العقد، لكان الخسائر تقترب من 391 مليون دولار.

لم يمضِ يوم على الحدث، قامت Aave بتجميد سوق rsETH و wrsETH، وبلغت نسبة استخدام البركة الرئيسية 100%، وصعب على المستخدمين سحب ETH و WETH وحتى USDT و USDC. على الأقل، أطلقت 9 بروتوكولات استجابة طارئة واحدة تلو الأخرى. هذا هو أعلى خسارة فردية في DeFi حتى عام 2026، قبل ثلاثة أسابيع، تعرض بروتوكول Drift لهجوم بقيمة 285 مليون دولار. مع هذين الحدثين، برزت مشكلة متزايدة في الصناعة: هل لا تزال أطر إدارة الأمان الحالية في DeFi كافية لمواجهة التهديدات الحالية؟

كيف حدث الهجوم

لفهم هذا الحدث، يجب أولاً فهم بنية التداخل العابر للطبقات في Kelp.

يعتمد Kelp على معيار OFT الخاص بـ LayerZero. تمتلك الشبكة الرئيسية صلاحيات إصدار واسترداد rsETH عبر عقد OFTAdapter، وتربط أكثر من 20 شبكة Layer2 عبر عقد OFT القياسي. لا يتم إنشاء نسخ مغلفة عند التداخل، بل يتم الاعتماد على آلية تسوية ديبت-كريدت 1:1 — حيث يتم حرق rsETH على Layer2 وإطلاقه من الشبكة الرئيسية، أو قفل الشبكة الرئيسية وإصدار على Layer2.

المحور الرئيسي لهذه الآلية هو lzReceive، الذي من الناحية النظرية يقبل فقط رسائل التداخل العابر التي تم التحقق منها عبر LayerZero. لكن المهاجمين تجاوزوا هذا التحقق، وخلقوا رسالة بدون سجل حرق من المصدر، مما أدى مباشرة إلى إطلاق احتياطي الشبكة الرئيسية عبر عقد الـ Adapter. بدون ديبت من المصدر، حدثت عملية كريدت على الطرف الهدف. ويُعد هذا انتهاكًا لقانون الحفاظ على العرض في omnichain، حيث تم كسره في هذه اللحظة.

مدير تقنية Cyvers، ميير دوليف، شبه هذا الهجوم بـ: «الخزنة ليست مشكلة، والحراس أمناء، وقفل الباب يعمل بشكل صحيح. الكذبة هي أن يتم التحدث إليها مباشرة من قبل الشخص الوحيد الذي يمكنه فتح الباب.» هذا التشبيه يعبر بدقة عن المشكلة — ليست خللاً في تصميم النظام، بل وجود نقطة ثقة واحدة يمكن اختراقها على سلسلة التحقق.

كيف يرى الخبراء: فشل هيكلي متوقع

اختارت Kelp أقل إعداد أمني مسموح به من LayerZero: 1/1 DVN، أي أن رسائل التداخل العابر تحتاج فقط إلى توقيع واحد من المدقق.

قال شاليف كيرين، أحد مؤسسي شركة Sodot للأمن التشفيري، في مقابلة مباشرة، إن هذا «نقطة فشل واحدة، بغض النظر عن كيفية تغليفها في التسويق». وأضاف أن اختراق نقطة تحقق واحدة يكفي لسرقة الأموال من الجسر، وأن هذا العيب في الهيكل لا يمكن إصلاحه عبر أي تدقيق أو مراجعة أمنية، والحل الوحيد هو «إزالة الثقة الأحادية من الهيكل نفسه».

الأهم من ذلك، أن هذه ليست مشكلة يمكن اكتشافها بعد فوات الأوان. في يناير 2025، حذر فريق تطوير في منتدى حوكمة Aave بوضوح من ضرورة توسيع التحقق ليشمل أكثر من مدقق واحد. بعد 15 شهرًا، لم يُضفَ المدقق الثاني بعد.

قالت LayerZero لاحقًا إنها حثت Kelp مرارًا على الترقية إلى إعداد متعدد المدققين، وأعلنت أنها ستوقف اعتماد الرسائل للتطبيقات التي لا تزال تستخدم مدققًا واحدًا. لكن هذا الإعلان أثار تساؤلات: إذا كانت المخاطر معروفة، لماذا لم تتخذ البروتوكولات إجراءات صارمة في وقت مبكر، وترك الخيار بالكامل لتطبيقات المستخدمين؟

لا تزال هناك مناقشة مفتوحة حول «مسؤولية البروتوكول» مقابل «مسؤولية التطبيق». قال Haoze Qiu، قائد فريق Blockchain في Grvt، في مقابلة، إن: «Kelp DAO قبلت إعداد جسر منخفض التكرار على أصول بهذا الحجم، وهذا الاختيار أدى إلى نقطة فشل واحدة في مسار التحقق. وفي الوقت نفسه، تتحمل LayerZero مسؤولية أيضًا، لأن الهجوم استهدف البنية التحتية المرتبطة بعنصر التحقق الخاص بها، حتى وإن لم يُصنف كثغرة في البروتوكول الأساسي. في عالم DeFi المترابط، لا يهتم المستخدمون بأي طبقة حدث فيها خلل، بل يهمهم مدى قوة النظام في حماية أصولهم في اللحظات الحرجة.»

كيف انتشر العدوى

الفشل التقني هو فقط الجزء العلوي من هرم المشكلة. أما الخطر الهيكلي الحقيقي، فهو يتكشف في النصف الثاني من الهجوم.

قام المهاجمون بتخزين rsETH المسروق في منصات إقراض مثل Aave V3، V4، وCompound V3، وEuler، واستخدمواها كضمانات غير ذات قيمة تقريبًا لاقتراض أصول حقيقية، حيث اقترضوا حوالي 196 مليون دولار من منصة واحدة، وبلغ إجمالي الديون أكثر من 236 مليون دولار. عند إدخال هذه الضمانات، كانت احتياطيات الشبكة الرئيسية قد تم مسحها، ولم يعد بالإمكان تصفيتها عبر آليات التسوية العادية.

لاحقًا، قامت Aave بتجميد الأسواق ذات الصلة، مما أدى إلى تقلص السيولة بشكل حاد، واندفعت عمليات سحب بأكثر من 10 مليارات دولار. كما قامت Fluid بتجميد سوق rsETH، وأوقفت Upshift اثنين من خزائنها، وعلقت Lido Earn عمليات الإيداع بسبب تعرضها لـ earnETH على rsETH، وعلقت Ethena عملياتها على جسر LayerZero OFT لمدة حوالي ست ساعات.

انتشرت سلسلة العدوى خلال ساعات قليلة إلى العديد من العقد، وليس بسبب خطأ في إدارة المخاطر في بروتوكول واحد فقط. بل هو نتيجة مباشرة لتراكم الأصول المدعومة بـ LRT — حيث أن التكديس، وإعادة التكديس، والنشر عبر السلسلة، والإقراض، كلها تعتمد على افتراضات ثقة مفرطة. وعندما يتم مسح الاحتياطيات الأساسية، تتعطل السلسلة بأكملها.

ومن الجدير بالمقارنة أن SparkLend كانت قد أزالت rsETH من قائمة الأصول المرهونة منذ يناير 2026. وباختلاف البروتوكولات، اتخذت قرارات مختلفة بشأن إدارة مخاطر LRT. هذا التباين يعكس عدم وجود توافق صناعي حول المخاطر النظامية للأصول المشابهة لـ LRT.

الجدل حول الأسباب: ما نعرفه وما لا نعرفه

في تحليلها بعد الحادث، نسبت LayerZero الهجوم إلى مجموعة لازاروس الكورية الشمالية، وتحديدًا الوحدة الفرعية TraderTraitor، وأشارت إلى أن هجمات سابقة على جسر Ronin الخاص بـ Axie Infinity و WazirX كانت مرتبطة بهذه المنظمة.

لكن شركة Cyvers، في تحليل مستقل، أوضحت أنها لم تتبع نفس استنتاجات النسب. قال دوليف إن بعض أنماط الهجوم تشبه إلى حد كبير عمليات DPRK المعروفة من حيث التعقيد، والحجم، والتنفيذ المنسق، لكن لم يتم تأكيد ارتباط أي محافظ معينة بهذه المنظمة حتى الآن.

استخدم المهاجمون برامج خبيثة على العقد، وقاموا تلقائيًا بمسح الملفات الثنائية والسجلات بعد الانتهاء من الهجوم، مما يصعب عملية التحقيق لاحقًا.

اختلاف التقييم بين شركتين أمنيتين حول نفس الحادث يكشف عن مشكلة أساسية: نقص التعاون المنهجي في صناعة DeFi فيما يخص تتبع الهجمات ومشاركة المعلومات. من المهم معرفة من شن الهجوم، لكن الأهم هو كيف تم التخطيط والتنفيذ، وكيف يمكن للصناعة أن تعزز قدراتها على التعرف على التهديدات المشابهة.

كيف ينبغي أن تتطور إدارة الأمان

بعد هذا الحدث، ظهرت مناقشات على عدة مستويات، وتستحق الاهتمام الجدي.

على مستوى تصميم البروتوكول، فإن إعداد مدقق واحد فقط كإعداد افتراضي يمثل مخاطرة كبيرة. أعلنت LayerZero عن إيقاف اعتماد تطبيقات تستخدم مدققًا واحدًا، وهو خطوة متأخرة لكنها ضرورية. السؤال الأعمق هو: ما المعايير التي يجب أن يضعها البروتوكول عند السماح للتطبيقات بتخفيض مستوى الأمان، وما الآليات التي يجب أن تُفرض؟

على مستوى إدارة المخاطر للضمانات، يتطلب قرار قوائم الأصول البيضاء لـ LRT أن يكون هناك معايير تدقيق أكثر صرامة. أمن إعدادات الجسور، وشفافية احتياطيات الأصول، وإمكانية التسوية في الحالات القصوى — كانت هذه الأمور تعتمد سابقًا على تصريحات البروتوكول، وليس على تدقيق مستقل. أزالت SparkLend rsETH من قوائم الأصول قبل ثلاثة أشهر، مما يدل على أن التقييم الحذر ممكن، فقط يتطلب استعدادًا لتحمل خسارة جزء من TVL على المدى القصير. بالنسبة للمنصات التي تربط أموال المستخدمين بـ DeFi، فإن المراقبة المستمرة، واتخاذ القرارات السريعة، وتعديل التعرض قبل أن يتحول عدم اليقين إلى خسارة، هي الفجوة الأساسية بين إدارة المخاطر النشطة والاعتماد السلبي. في هذه الحالة، اتخذت Grvt إجراءً مماثلاً، حيث عدلت بسرعة تعرضها لـ DeFi بعد ملاحظة ضغط السوق، لضمان عدم تأثر أموال المستخدمين بأزمة السيولة.

على مستوى التشغيل الآمن، فإن اختراق سلسلة التوريد في Drift، وتخطيط هجوم Kelp مسبقًا، يوضح أن الهجمات عالية المخاطر لا تقتصر على الجانب التقني فقط. إدارة المفاتيح، العمليات الداخلية، والتدقيق الأمني للمصادر الخارجية يجب أن تُدرج ضمن إطار إدارة الأمان الرسمي، وليس في منطقة الممارسات الهندسية المثلى فقط.

على مستوى التعاون الصناعي، الاختلاف في نسب الهجمات حتى الآن يبرز نقصًا في مشاركة المعلومات والمعايير. يتطلب الأمر آليات أكثر نظامية لمشاركة المعلومات بين شركات الأمن، وفِرق البروتوكول، والبنية التحتية، بدلاً من إصدار تحليلات بشكل منفرد بعد كل حادث.

الخاتمة

في الأشهر الأربعة الأولى من 2026، بلغت خسائر هجمات DeFi قرابة مليار دولار. وقدم بروتوكولا Drift وKelp حادثتين تجاوزت كل منهما 280 مليون دولار، خلال أقل من ثلاثة أسابيع.

هذه ليست أحداثًا نادرة، بل إشارة واضحة لصناعة DeFi: نماذج التهديدات التي تفترضها الأطر الأمنية الحالية لم تعد كافية لمواجهة أنماط الهجمات الفعلية اليوم.

تطور إدارة أمان DeFi لا يمكن أن ينجزه بروتوكول واحد بمفرده. بل يتطلب من مصممي البروتوكولات، والبنية التحتية، ومنصات الإقراض، والباحثين الأمنيين، إعادة معايرة افتراضات المخاطر في مواقعهم، ثم العمل معًا لتعزيز مرونة النظام البيئي بأكمله.

هذه الحوارات، الآن، فقط بدأت.