KelpDAO تتعرض لهزة بسبب الاختراق: كيف قامت Aave بقفل 80% من ديون بقيمة 200 مليون دولار

في 18 أبريل 2026، الساعة 17:35 بالتوقيت العالمي، استغل المهاجمون ثغرة في جسر rsETH المبني على LayerZero الخاص بـ KelpDAO، وسرقوا خلال حوالي 46 دقيقة 116,500 من rsETH، بقيمة تقارب 292 مليون دولار. وكانت نقطة الضعف في الهجوم أن القراصنة لم يبيعوا هذه الأصول الموزعة مباشرة في السوق الثانوية — حيث سيولة rsETH غير كافية لبيع كميات كبيرة — بل استخدموها كضمانات في بروتوكولات الإقراض الرائدة مثل Aave V3 وCompound V3 وEuler، واقترضوا حوالي 236 مليون دولار من WETH/ETH الحقيقي.

لم تكن أصل المشكلة في ثغرة في كود العقود الذكية التقليدية، بل كانت خطأ في إعدادات معلمات النشر. اعتمدت KelpDAO في خطة LayerZero V2 على تكوين DVN (شبكة التحقق اللامركزية) بنسبة 1/1 — أي أن رسالة عبر السلسلة تُعتمد فقط بعد تأكيد من عقد تحقق واحد. بعد اختراق عقد التحقق هذا، تمكن المهاجمون من تزوير رسائل عبر السلسلة، مما سمح لهم بـ"توليد عملة من لا شيء". والأكثر إثارة للقلق، وفقًا لبيانات Dune Analytics، أن 47% من تطبيقات LayerZero على الشبكة لا تزال تستخدم نفس تكوين DVN بنسبة 1/1، وتصل قيمة الأصول المعنية إلى أكثر من 4.5 مليار دولار. هذا يعني أن مشكلة حادثة KelpDAO ليست مشكلة مشروع واحد معزول، بل خلل هيكلي يمتد عبر البنية التحتية للربط بين السلاسل.

كيف تعمل سلسلة الانتقال من الرهن إلى تراكم الديون المعدومة

بعد أن قام المهاجمون بتزوير rsETH وتخزينها في عدة بروتوكولات إقراض، كانت أكبر مخاطرة على الإطلاق من قبل Aave V3. تظهر البيانات على السلسلة أن حوالي 89,567 من rsETH (بقيمة حوالي 221 مليون دولار) وُضعت كضمانات في Aave، وتم اقتراض حوالي 82,650 من WETH (بقيمة حوالي 191 مليون دولار). وبما أن rsETH المزورة تم توليدها من لا شيء في المصدر، فإنها تعتبر أصولًا زائفة، وعند استخدامها كضمانات للقروض، فإن عملية التسوية القانونية تصبح غير ممكنة، مما يهدد استقرار القروض الممنوحة.

ومع ذلك، من الناحية التقنية، لم تتعرض شفرة Aave للاختراق. لا تزال آلية الإقراض تعمل بشكل طبيعي، لكن المشكلة تكمن في قيمة الضمانات — حيث أن الأصول الأساسية لـ rsETH أصبحت غير موثوقة بعد سرقتها عبر الجسر. على الفور، أوقف Aave جميع الأسواق المتعلقة بـ rsETH، وأعاد تعيين نسبة قيمة القرض إلى الضمان (LTV) إلى الصفر، وأجرى تعديلات عاجلة على نموذج الفائدة. لكن، كانت الديون المعدومة قد أصبحت حقيقة واقعة. وفقًا لتقرير الحادث الصادر عن مزود الخدمة ووكالة إدارة المخاطر LlamaRisk، فإن حجم الديون المعدومة يتراوح بين 124 مليون و230 مليون دولار، اعتمادًا على خطة توزيع الخسائر. الرقم الشائع الذي يُذكر هو 200 مليون دولار، وهو يمثل الخسارة الصافية الأساسية الناتجة عن الحادث.

لماذا أصبح ثغرة التحقق من نقطة واحدة ثغرة هيكلية في أمان الصناعة

الفرق الأكبر بين حادثة KelpDAO وغيرها من ثغرات أمان DeFi هو أن الكود المصدري لا يحتوي على ثغرات قابلة للمراجعة. المشكلة ليست في ملف .sol أو في الكود نفسه، بل في معلمة التكوين عند نشر البروتوكول — وهي قيمة عتبة DVN. هذه المعلمة غير مرئية في أدوات التحليل الثابت مثل Slither وMythril، التي تكتشف الثغرات المعروفة في الكود (مثل هجمات إعادة الدخول)، لكنها لا تغطي مخاطر التكوين بشكل يذكر. عندما يركز تدقيق العقود الذكية على صحة الكود، تصبح معلمات النشر مثل تكوين DVN منطقة عمياء حمراء.

تصميم LayerZero V2 يمنح صلاحية اتخاذ القرارات الأمنية إلى مستوى التطبيق، وهو في نظر البعض احترام للمرونة، لكن الواقع أن المطورين اختاروا نمط 1/1 الأكثر تطرفًا. بمجرد أن يمكن تعطيل آلية الأمان عبر التكوين، فإن حدود التدقيق تصبح غير واضحة. تكشف حادثة KelpDAO عن تناقض جوهري: بروتوكولات الربط بين السلاسل توفر قدرات تحقق متعددة، لكن المطورين غالبًا يختارون التنازل عن هذه الحماية الزائدة لأسباب تتعلق بالسهولة، وغياب عملية مراجعة أمنية موحدة لمعايير التكوين.

كيف يُسرع الذعر السوقي وسحب السيولة من تفاقم الأزمة

بعد انتشار الخبر، تحولت حالة الذعر إلى هروب فعلي للأموال. وفقًا لبيانات Gate حتى 27 أبريل 2026، شهدت أسعار الرموز المعنية تقلبات ملحوظة، وضغطًا على قطاع DeFi ككل. خلال 48 ساعة من الحادث، خرج حوالي 8.45 مليار دولار من ودائع Aave، وانخفض إجمالي القيمة المقفلة (TVL) من حوالي 264 مليار دولار إلى 179 مليار دولار. كما انخفض إجمالي القيمة المقفلة في نظام DeFi بأكمله بمقدار 132.1 مليار دولار، من 995 مليار دولار إلى 863 مليار دولار.

لكن، من المهم أن نلاحظ أن انخفاض TVL لا يعني خسارة نفس المبلغ من الأصول بشكل مباشر. بعض التدفقات الخارجة ناتجة عن تصفية مراكز عالية الرافعة المالية، أو من قبل المؤسسات التي تتجنب المخاطر، وليس كلها أصولًا “مُفقودة”. ومع ذلك، فإن الصدمة تكشف عن مشكلة أعمق: عندما يتم استنزاف بركة أحد أكبر بروتوكولات الإقراض، ويقترب معدل الاستخدام من 100%، فإن الطلبات العادية للسحب من قبل المستخدمين العاديين قد لا تُلبى. لم تكن Aave مصدر الخطر في هذه الحالة، لكنها أصبحت جزءًا من الأزمة لأنها تحتوي على نسبة عالية من rsETH، مما أدخلها في دوامة الأزمة.

تتبع مسار غسيل الأموال للمهاجم وإجراءات تجميد Arb

بعد سرقة الأموال، بدأ المهاجمون في عمليات تعتيم متعددة. بدأوا من خلال Tornado Cash، حيث تلقوا قبل الحادث حوالي 1 ETH من خلال بروتوكول التمويه قبل حوالي 10 ساعات. بعد النجاح في السرقة، قاموا بنقل الأموال بين عدة بروتوكولات إقراض، ثم عبر قنوات الربط بين السلاسل.

في 20 أبريل، استخدم مجلس أمن شبكة Arbitrum صلاحياته الطارئة، وحدد أن المهاجم يمتلك حوالي 30,765 من ETH (بقيمة حوالي 71.5 مليون دولار)، ونجح في نقلها إلى عنوان آمن. يُعد هذا خطوة مهمة في تتبع الأصول على السلسلة، حيث يُظهر أن لجان أمن الشبكات Layer 2 لديها القدرة على التدخل في حركة الأموال تحت ظروف معينة. لكن، رد المهاجم كان سريعًا — خلال ساعات من التجميد، تم نقل حوالي 75,700 من ETH (حوالي 175 مليون دولار) إلى محافظ جديدة بشكل متفرق. كما اكتشف المحققون على السلسلة أن حوالي 1.5 مليون دولار من الأموال المسروقة عبرت عبر Thorchain من إيثريوم إلى شبكة البيتكوين، وأُخفت بعض الأموال باستخدام أدوات خصوصية مثل Umbra. هذا يدل على أن المهاجمين يسعون إلى نقل الأموال بشكل كامل خارج نظام إيثريوم القابل للتتبع.

جهود المجتمع لتعويض خسائر 2 مليار دولار

لمواجهة فجوة الخسائر التي تقدر بـ 200 مليون دولار، قاد مؤسسو Aave إنشاء صندوق استعادة صناعي باسم DeFi United. حتى 26 أبريل، وفقًا لبيانات Arkham، جمعت أكثر من 160 مليون دولار، تغطي حوالي 80% من الفجوة. أكبر المساهمين كانوا مجتمع Mantle وAave، حيث تبرع كل منهما بـ 55,000 من ETH، بقيمة تقريبية تبلغ 127 مليون دولار بأسعار السوق وقتها.

كما تبرع مؤسس Aave، ستاني كوليشوف، بـ 5,000 من ETH؛ وقدم كل من Golem Foundation وEther.fi وLido DAO وكيانات أخرى وعودًا بتقديم تمويلات مختلفة. والأهم، أن فريق Aave Labs، بالتعاون مع Kelp DAO وLayerZero وEther.fi وCompound وخمسة بروتوكولات أخرى، قدموا مقترحًا دستوريًا إلى DAO الخاص بـ Arbitrum، يطالب بإعادة تفعيل الـ ETH المجمد البالغ 30,765، والذي كان قد تم تجميده من قبل لجنة أمن Arbitrum، ودمجه في صندوق استعادة DeFi United. إذا تم الموافقة على جميع الخطوات، فسيصل حجم الصندوق إلى أكثر من 236 مليون دولار، مما يغطي كامل فجوة الخسائر الحالية.

لكن، يتطلب هذا الإجراء حوالي 49 يومًا من عمليات التصويت، ولا تزال العديد من الالتزامات التمويلية الكبيرة في انتظار التصويت النهائي من DAO الخاص بها، مما يعني أن الأمر ليس محسومًا بعد.

التحديات الأمنية في الربط بين السلاسل وحوكمة التمويل اللامركزي

أثارت حادثة KelpDAO تساؤلات أعمق حول أمان جسور الربط بين السلاسل. قبل الحادث، كانت 47% من تطبيقات LayerZero تستخدم تكوين DVN بنسبة 1/1، وهو اختيار ليس خاصًا بـ KelpDAO، بل يعكس توجهًا منهجيًا في الصناعة لتسهيل العمليات على حساب الأمان. في سيناريو الربط بين السلاسل، لم يعد الثقة تعتمد فقط على كود العقود، بل على معلمات التحقق من الشبكة وموثوقيتها. وغالبًا، تتجاوز هذه المعلمات نطاق التدقيق التقليدي.

تصميم LayerZero V2 يمنح صلاحية اتخاذ القرارات الأمنية إلى مستوى التطبيق، وهو في نظر البعض احترام للمرونة، لكن الواقع أن المطورين اختاروا نمط 1/1 الأكثر تطرفًا. بمجرد أن يمكن تعطيل آلية الأمان عبر التكوين، فإن حدود التدقيق تصبح غير واضحة. تكشف حادثة KelpDAO عن تناقض جوهري: بروتوكولات الربط بين السلاسل توفر قدرات تحقق متعددة، لكن المطورين غالبًا يختارون التنازل عن هذه الحماية الزائدة لأسباب تتعلق بالسهولة، وغياب عملية مراجعة أمنية موحدة لمعايير التكوين.

كيف يُسرع الذعر السوقي وسحب السيولة من تفاقم الأزمة

انتشرت أخبار الحادث بسرعة، وتحول الذعر إلى هروب فعلي للأموال. وفقًا لبيانات Gate حتى 27 أبريل 2026، شهدت أسعار الرموز المعنية تقلبات حادة، وضغطًا على قطاع DeFi ككل. خلال 48 ساعة، خرج حوالي 8.45 مليار دولار من ودائع Aave، وانخفض إجمالي القيمة المقفلة (TVL) من 264 مليار دولار إلى 179 مليار دولار. كما انخفض إجمالي القيمة المقفلة في نظام DeFi بأكمله بمقدار 132.1 مليار دولار، من 995 مليار دولار إلى 863 مليار دولار.

لكن، من المهم أن نلاحظ أن انخفاض TVL لا يعني خسارة نفس المبلغ من الأصول بشكل مباشر. بعض التدفقات الخارجة ناتجة عن تصفية مراكز عالية الرافعة، أو من قبل مؤسسات تتجنب المخاطر، وليس كلها أصولًا “مُفقودة”. ومع ذلك، فإن الصدمة تكشف عن مشكلة أعمق: عندما يتم استنزاف بركة أحد أكبر بروتوكولات الإقراض، ويقترب معدل الاستخدام من 100%، فإن الطلبات العادية للسحب من قبل المستخدمين العاديين قد لا تُلبى. لم تكن Aave مصدر الخطر، لكنها أصبحت جزءًا من الأزمة لأنها تحتوي على نسبة عالية من rsETH، مما أدخلها في دوامة الأزمة.

تتبع مسار غسيل الأموال للمهاجم وإجراءات تجميد Arb

بعد سرقة الأموال، بدأ المهاجمون في عمليات تعتيم متعددة. بدأوا من خلال Tornado Cash، حيث تلقوا قبل الحادث حوالي 1 ETH من خلال بروتوكول التمويه قبل حوالي 10 ساعات. بعد نجاح السرقة، قاموا بنقل الأموال بين عدة بروتوكولات إقراض، ثم عبر قنوات الربط بين السلاسل.

في 20 أبريل، استخدم مجلس أمن شبكة Arbitrum صلاحياته الطارئة، وحدد أن المهاجم يمتلك حوالي 30,765 من ETH (بقيمة حوالي 71.5 مليون دولار)، ونجح في نقلها إلى عنوان آمن. يُعد هذا خطوة مهمة في تتبع الأصول على السلسلة، حيث يُظهر أن لجان أمن الشبكات Layer 2 لديها القدرة على التدخل في حركة الأموال تحت ظروف معينة. لكن، رد المهاجم كان سريعًا — خلال ساعات من التجميد، تم نقل حوالي 75,700 من ETH (حوالي 175 مليون دولار) إلى محافظ جديدة بشكل متفرق. كما اكتشف المحققون على السلسلة أن حوالي 1.5 مليون دولار من الأموال المسروقة عبرت عبر Thorchain من إيثريوم إلى شبكة البيتكوين، وأُخفت بعض الأموال باستخدام أدوات خصوصية مثل Umbra. هذا يدل على أن المهاجمين يسعون إلى نقل الأموال بشكل كامل خارج نظام إيثريوم القابل للتتبع.

جهود المجتمع لتعويض خسائر 2 مليار دولار

لمواجهة فجوة الخسائر التي تقدر بـ 200 مليون دولار، قاد مؤسسو Aave إنشاء صندوق استعادة صناعي باسم DeFi United. حتى 26 أبريل، وفقًا لبيانات Arkham، جمعت أكثر من 160 مليون دولار، تغطي حوالي 80% من الفجوة. أكبر المساهمين كانوا مجتمع Mantle وAave، حيث تبرع كل منهما بـ 55,000 من ETH، بقيمة تقريبية تبلغ 127 مليون دولار بأسعار السوق وقتها.

كما تبرع مؤسس Aave، ستاني كوليشوف، بـ 5,000 من ETH؛ وقدم كل من Golem Foundation وEther.fi وLido DAO وكيانات أخرى وعودًا بتقديم تمويلات مختلفة. والأهم، أن فريق Aave Labs، بالتعاون مع Kelp DAO وLayerZero وEther.fi وCompound وخمسة بروتوكولات أخرى، قدموا مقترحًا دستوريًا إلى DAO الخاص بـ Arbitrum، يطالب بإعادة تفعيل الـ ETH المجمد البالغ 30,765، والذي كان قد تم تجميده من قبل لجنة أمن Arbitrum، ودمجه في صندوق استعادة DeFi United. إذا تم الموافقة على جميع الخطوات، فسيصل حجم الصندوق إلى أكثر من 236 مليون دولار، مما يغطي كامل فجوة الخسائر الحالية.

لكن، يتطلب هذا الإجراء حوالي 49 يومًا من عمليات التصويت، ولا تزال العديد من الالتزامات التمويلية الكبيرة في انتظار التصويت النهائي من DAO الخاص بها، مما يعني أن الأمر ليس محسومًا بعد.

التحديات الأمنية في الربط بين السلاسل وحوكمة التمويل اللامركزي

أثارت حادثة KelpDAO تساؤلات أعمق حول أمان جسور الربط بين السلاسل. قبل الحادث، كانت 47% من تطبيقات LayerZero تستخدم تكوين DVN بنسبة 1/1، وهو اختيار ليس خاصًا بـ KelpDAO، بل يعكس توجهًا منهجيًا في الصناعة لتسهيل العمليات على حساب الأمان. في سيناريو الربط بين السلاسل، لم يعد الثقة تعتمد فقط على كود العقود، بل على معلمات التحقق من الشبكة وموثوقيتها. وغالبًا، تتجاوز هذه المعلمات نطاق التدقيق التقليدي.

تصميم LayerZero V2 يمنح صلاحية اتخاذ القرارات الأمنية إلى مستوى التطبيق، وهو في نظر البعض احترام للمرونة، لكن الواقع أن المطورين اختاروا نمط 1/1 الأكثر تطرفًا. بمجرد أن يمكن تعطيل آلية الأمان عبر التكوين، فإن حدود التدقيق تصبح غير واضحة. تكشف حادثة KelpDAO عن تناقض جوهري: بروتوكولات الربط بين السلاسل توفر قدرات تحقق متعددة، لكن المطورين غالبًا يختارون التنازل عن هذه الحماية الزائدة لأسباب تتعلق بالسهولة، وغياب عملية مراجعة أمنية موحدة لمعايير التكوين.

كيف يُسرع الذعر السوقي وسحب السيولة من تفاقم الأزمة

انتشرت أخبار الحادث بسرعة، وتحول الذعر إلى هروب فعلي للأموال. وفقًا لبيانات Gate حتى 27 أبريل 2026، شهدت أسعار الرموز المعنية تقلبات حادة، وضغطًا على قطاع DeFi ككل. خلال 48 ساعة، خرج حوالي 8.45 مليار دولار من ودائع Aave، وانخفض إجمالي القيمة المقفلة (TVL) من 264 مليار دولار إلى 179 مليار دولار. كما انخفض إجمالي القيمة المقفلة في نظام DeFi بأكمله بمقدار 132.1 مليار دولار، من 995 مليار دولار إلى 863 مليار دولار.

لكن، من المهم أن نلاحظ أن انخفاض TVL لا يعني خسارة نفس المبلغ من الأصول بشكل مباشر. بعض التدفقات الخارجة ناتجة عن تصفية مراكز عالية الرافعة، أو من قبل مؤسسات تتجنب المخاطر، وليس كلها أصولًا “مُفقودة”. ومع ذلك، فإن الصدمة تكشف عن مشكلة أعمق: عندما يتم استنزاف بركة أحد أكبر بروتوكولات الإقراض، ويقترب معدل الاستخدام من 100%، فإن الطلبات العادية للسحب من قبل المستخدمين العاديين قد لا تُلبى. لم تكن Aave مصدر الخطر، لكنها أصبحت جزءًا من الأزمة لأنها تحتوي على نسبة عالية من rsETH، مما أدخلها في دوامة الأزمة.

تتبع مسار غسيل الأموال للمهاجم وإجراءات تجميد Arb

بعد سرقة الأموال، بدأ المهاجمون في عمليات تعتيم متعددة. بدأوا من خلال Tornado Cash، حيث تلقوا قبل الحادث حوالي 1 ETH من خلال بروتوكول التمويه قبل حوالي 10 ساعات. بعد نجاح السرقة، قاموا بنقل الأموال بين عدة بروتوكولات إقراض، ثم عبر قنوات الربط بين السلاسل.

في 20 أبريل، استخدم مجلس أمن شبكة Arbitrum صلاحياته الطارئة، وحدد أن المهاجم يمتلك حوالي 30,765 من ETH (بقيمة حوالي 71.5 مليون دولار)، ونجح في نقلها إلى عنوان آمن. يُعد هذا خطوة مهمة في تتبع الأصول على السلسلة، حيث يُظهر أن لجان أمن الشبكات Layer 2 لديها القدرة على التدخل في حركة الأموال تحت ظروف معينة. لكن، رد المهاجم كان سريعًا — خلال ساعات من التجميد، تم نقل حوالي 75,700 من ETH (حوالي 175 مليون دولار) إلى محافظ جديدة بشكل متفرق. كما اكتشف المحققون على السلسلة أن حوالي 1.5 مليون دولار من الأموال المسروقة عبرت عبر Thorchain من إيثريوم إلى شبكة البيتكوين، وأُخفت بعض الأموال باستخدام أدوات خصوصية مثل Umbra. هذا يدل على أن المهاجمين يسعون إلى نقل الأموال بشكل كامل خارج نظام إيثريوم القابل للتتبع.

جهود المجتمع لتعويض خسائر 2 مليار دولار

لمواجهة فجوة الخسائر التي تقدر بـ 200 مليون دولار، قاد مؤسسو Aave إنشاء صندوق استعادة صناعي باسم DeFi United. حتى 26 أبريل، وفقًا لبيانات Arkham، جمعت أكثر من 160 مليون دولار، تغطي حوالي 80% من الفجوة. أكبر المساهمين كانوا مجتمع Mantle وAave، حيث تبرع كل منهما بـ 55,000 من ETH، بقيمة تقريبية تبلغ 127 مليون دولار بأسعار السوق وقتها.

كما تبرع مؤسس Aave، ستاني كوليشوف، بـ 5,000 من ETH؛ وقدم كل من Golem Foundation وEther.fi وLido DAO وكيانات أخرى وعودًا بتقديم تمويلات مختلفة. والأهم، أن فريق Aave Labs، بالتعاون مع Kelp DAO وLayerZero وEther.fi وCompound وخمسة بروتوكولات أخرى، قدموا مقترحًا دستوريًا إلى DAO الخاص بـ Arbitrum، يطالب بإعادة تفعيل الـ ETH المجمد البالغ 30,765، والذي كان قد تم تجميده من قبل لجنة أمن Arbitrum، ودمجه في صندوق استعادة DeFi United. إذا تم الموافقة على جميع الخطوات، فسيصل حجم الصندوق إلى أكثر من 236 مليون دولار، مما يغطي كامل فجوة الخسائر الحالية.

لكن، يتطلب هذا الإجراء حوالي 49 يومًا من عمليات التصويت، ولا تزال العديد من الالتزامات التمويلية الكبيرة في انتظار التصويت النهائي من DAO الخاص بها، مما يعني أن الأمر ليس محسومًا بعد.

التحديات الأمنية في الربط بين السلاسل وحوكمة التمويل اللامركزي

أثارت حادثة KelpDAO تساؤلات أعمق حول أمان جسور الربط بين السلاسل. قبل الحادث، كانت 47% من تطبيقات LayerZero تستخدم تكوين DVN بنسبة 1/1، وهو اختيار ليس خاصًا بـ KelpDAO، بل يعكس توجهًا منهجيًا في الصناعة لتسهيل العمليات على حساب الأمان. في سيناريو الربط بين السلاسل، لم يعد الثقة تعتمد فقط على كود العقود، بل على معلمات التحقق من الشبكة وموثوقيتها. وغالبًا، تتجاوز هذه المعلمات نطاق التدقيق التقليدي.

تصميم LayerZero V2 يمنح صلاحية اتخاذ القرارات الأمنية إلى مستوى التطبيق، وهو في نظر البعض احترام للمرونة، لكن الواقع أن المطورين اختاروا نمط 1/1 الأكثر تطرفًا. بمجرد أن يمكن تعطيل آلية الأمان عبر التكوين، فإن حدود التدقيق تصبح غير واضحة. تكشف حادثة KelpDAO عن تناقض جوهري: بروتوكولات الربط بين السلاسل توفر قدرات تحقق متعددة، لكن المطورين غالبًا يختارون التنازل عن هذه الحماية الزائدة لأسباب تتعلق بالسهولة، وغياب عملية مراجعة أمنية موحدة لمعايير التكوين.

كيف يُسرع الذعر السوقي وسحب السيولة من تفاقم الأزمة

انتشرت أخبار الحادث بسرعة، وتحول الذعر إلى هروب فعلي للأموال. وفقًا لبيانات Gate حتى 27 أبريل 2026، شهدت أسعار الرموز المعنية تقلبات حادة، وضغطًا على قطاع DeFi ككل. خلال 48 ساعة، خرج حوالي 8.45 مليار دولار من ودائع Aave، وانخفض إجمالي القيمة المقفلة (TVL) من 264 مليار دولار إلى 179 مليار دولار. كما انخفض إجمالي القيمة المقفلة في نظام DeFi بأكمله بمقدار 132.1 مليار دولار، من 995 مليار دولار إلى 863 مليار دولار.

لكن، من المهم أن نلاحظ أن انخفاض TVL لا يعني خسارة نفس المبلغ من الأصول بشكل مباشر. بعض التدفقات الخارجة ناتجة عن تصفية مراكز عالية الرافعة، أو من قبل مؤسسات تتجنب المخاطر، وليس كلها أصولًا “مُفقودة”. ومع ذلك، فإن الصدمة تكشف عن مشكلة أعمق: عندما يتم استنزاف بركة أحد أكبر بروتوكولات الإقراض، ويقترب معدل الاستخدام من 100%، فإن الطلبات العادية للسحب من قبل المستخدمين العاديين قد لا تُلبى. لم تكن Aave مصدر الخطر، لكنها أصبحت جزءًا من الأزمة لأنها تحتوي على نسبة عالية من rsETH، مما أدخلها في دوامة الأزمة.

تتبع مسار غسيل الأموال للمهاجم وإجراءات تجميد Arb

بعد سرقة الأموال، بدأ المهاجمون في عمليات تعتيم متعددة. بدأوا من خلال Tornado Cash، حيث تلقوا قبل الحادث حوالي 1 ETH من خلال بروتوكول التمويه قبل حوالي 10 ساعات. بعد نجاح السرقة، قاموا بنقل الأموال بين عدة بروتوكولات إقراض، ثم عبر قنوات الربط بين السلاسل.

في 20 أبريل، استخدم مجلس أمن شبكة Arbitrum صلاحياته الطارئة، وحدد أن المهاجم يمتلك حوالي 30,765 من ETH (بقيمة حوالي 71.5 مليون دولار)، ونجح في نقلها إلى عنوان آمن. يُعد هذا خطوة مهمة في تتبع الأصول على السلسلة، حيث يُظهر أن لجان أمن الشبكات Layer 2 لديها القدرة على التدخل في حركة الأموال تحت ظروف معينة. لكن، رد المهاجم كان سريعًا — خلال ساعات من التجميد، تم نقل حوالي 75,700 من ETH (حوالي 175 مليون دولار) إلى محافظ جديدة بشكل متفرق. كما اكتشف المحققون على السلسلة أن حوالي 1.5 مليون دولار من الأموال المسروقة عبرت عبر Thorchain من إيثريوم إلى شبكة البيتكوين، وأُخفت بعض الأموال باستخدام أدوات خصوصية مثل Umbra. هذا يدل على أن المهاجمين يسعون إلى نقل الأموال بشكل كامل خارج نظام إيثريوم القابل للتتبع.

جهود المجتمع لتعويض خسائر 2 مليار دولار

لمواجهة فجوة الخسائر التي تقدر بـ 200 مليون دولار، قاد مؤسسو Aave إنشاء صندوق استعادة صناعي باسم DeFi United. حتى 26 أبريل، وفقًا لبيانات Arkham، جمعت أكثر من 160 مليون دولار، تغطي حوالي 80% من الفجوة. أكبر المساهمين كانوا مجتمع Mantle وAave، حيث تبرع كل منهما بـ 55,000 من ETH، بقيمة تقريبية تبلغ 127 مليون دولار بأسعار السوق وقتها.

كما تبرع مؤسس Aave، ستاني كوليشوف، بـ 5,000 من ETH؛ وقدم كل من Golem Foundation وEther.fi وLido DAO وكيانات أخرى وعودًا بتقديم تمويلات مختلفة. والأهم، أن فريق Aave Labs، بالتعاون مع Kelp DAO وLayerZero وEther.fi وCompound وخمسة بروتوكولات أخرى، قدموا مقترحًا دستوريًا إلى DAO الخاص بـ Arbitrum، يطالب بإعادة تفعيل الـ ETH المجمد البالغ 30,765، والذي كان قد تم تجميده من قبل لجنة أمن Arbitrum، ودمجه في صندوق استعادة DeFi United. إذا تم الموافقة على جميع الخطوات، فسيصل حجم الصندوق إلى أكثر من 236 مليون دولار، مما يغطي كامل فجوة الخسائر الحالية.

لكن، يتطلب هذا الإجراء حوالي 49 يومًا من عمليات التصويت، ولا تزال العديد من الالتزامات التمويلية الكبيرة في انتظار التصويت النهائي من DAO الخاص بها، مما يعني أن الأمر ليس محسومًا بعد.

التحديات الأمنية في الربط بين السلاسل وحوكمة التمويل اللامركزي

أثارت حادثة KelpDAO تساؤلات أعمق حول أمان جسور الربط بين السلاسل. قبل الحادث، كانت 47% من تطبيقات LayerZero تستخدم تكوين DVN بنسبة 1/1، وهو اختيار ليس خاصًا بـ KelpDAO، بل يعكس توجهًا منهجيًا في الصناعة لتسهيل العمليات على حساب الأمان. في سيناريو الربط بين السلاسل، لم يعد الثقة تعتمد فقط على كود العقود، بل على معلمات التحقق من الشبكة وموثوقيتها. وغالبًا، تتجاوز هذه المعلمات نطاق التدقيق التقليدي.

تصميم LayerZero V2 يمنح صلاحية اتخاذ القرارات الأمنية إلى مستوى التطبيق، وهو في نظر البعض احترام للمرونة، لكن الواقع أن المطورين اختاروا نمط 1/1 الأكثر تطرفًا. بمجرد أن يمكن تعطيل آلية الأمان عبر التكوين، فإن حدود التدقيق تصبح غير واضحة. تكشف حادثة KelpDAO عن تناقض جوهري: بروتوكولات الربط بين السلاسل توفر قدرات تحقق متعددة، لكن المطورين غالبًا يختارون التنازل عن هذه الحماية الزائدة لأسباب تتعلق بالسهولة، وغياب عملية مراجعة أمنية موحدة لمعايير التكوين.

كيف يُسرع الذعر السوقي وسحب السيولة من تفاقم الأزمة

انتشرت أخبار الحادث بسرعة، وتحول الذعر إلى هروب فعلي للأموال. وفقًا لبيانات Gate حتى 27 أبريل 2026، شهدت أسعار الرموز المعنية تقلبات حادة، وضغطًا على قطاع DeFi ككل. خلال 48 ساعة، خرج حوالي 8.45 مليار دولار من ودائع Aave، وانخفض إجمالي القيمة المقفلة (TVL) من 264 مليار دولار إلى 179 مليار دولار. كما انخفض إجمالي القيمة المقفلة في نظام DeFi بأكمله بمقدار 132.1 مليار دولار، من 995 مليار دولار إلى 863 مليار دولار.

لكن، من المهم أن نلاحظ أن انخفاض TVL لا يعني خسارة نفس المبلغ من الأصول بشكل مباشر. بعض التدفقات الخارجة ناتجة عن تصفية مراكز عالية الرافعة، أو من قبل مؤسسات تتجنب المخاطر، وليس كلها أصولًا “مُفقودة”. ومع ذلك، فإن الصدمة تكشف عن مشكلة أعمق: عندما يتم استنزاف بركة أحد أكبر بروتوكولات الإقراض، ويقترب معدل الاستخدام من 100%، فإن الطلبات العادية للسحب من قبل المستخدمين العاديين قد لا تُلبى. لم تكن Aave مصدر الخطر، لكنها أصبحت جزءًا من الأزمة لأنها تحتوي على نسبة عالية من rsETH، مما أدخلها في دوامة الأزمة.

تتبع مسار غسيل الأموال للمهاجم وإجراءات تجميد Arb

بعد سرقة الأموال، بدأ المهاجمون في عمليات تعتيم متعددة. بدأوا من خلال Tornado Cash، حيث تلقوا قبل الحادث حوالي 1 ETH من خلال بروتوكول التمويه قبل حوالي 10 ساعات. بعد نجاح السرقة، قاموا بنقل الأموال بين عدة بروتوكولات إقراض، ثم عبر قنوات الربط بين السلاسل.

في 20 أبريل، استخدم مجلس أمن شبكة Arbitrum صلاحياته الطارئة، وحدد أن المهاجم يمتلك حوالي 30,765 من ETH (بقيمة حوالي 71.5 مليون دولار)، ونجح في نقلها إلى عنوان آمن. يُعد هذا خطوة مهمة في تتبع الأصول على السلسلة، حيث يُظهر أن لجان أمن الشبكات Layer 2 لديها القدرة على التدخل في حركة الأموال تحت ظروف معينة. لكن، رد المهاجم كان سريعًا — خلال ساعات من التجميد، تم نقل حوالي 75,700 من ETH (حوالي 175 مليون دولار) إلى محافظ جديدة بشكل متفرق. كما اكتشف المحققون على السلسلة أن حوالي 1.5 مليون دولار من الأموال المسروقة عبرت عبر Thorchain من إيثريوم إلى شبكة البيتكوين، وأُخفت بعض الأموال باستخدام أدوات خصوصية مثل Umbra. هذا يدل على أن المهاجمين يسعون إلى نقل الأموال بشكل كامل خارج نظام إيثريوم القابل للتتبع.

جهود المجتمع لتعويض خسائر 2 مليار دولار

لمواجهة فجوة الخسائر التي تقدر بـ 200 مليون دولار، قاد مؤسسو Aave إنشاء صندوق استعادة صناعي باسم DeFi United. حتى 26 أبريل، وفقًا لبيانات Arkham، جمعت أكثر من 160 مليون دولار، تغطي حوالي 80% من الفجوة. أكبر المساهمين كانوا مجتمع Mantle وAave، حيث تبرع كل منهما بـ 55,000 من ETH، بقيمة تقريبية تبلغ 127 مليون دولار بأسعار السوق وقتها.

كما تبرع مؤسس Aave، ستاني كوليشوف، بـ 5,000 من ETH؛ وقدم كل من Golem Foundation وEther.fi وLido DAO وكيانات أخرى وعودًا بتقديم تمويلات مختلفة. والأهم، أن فريق Aave Labs، بالتعاون مع Kelp DAO وLayerZero وEther.fi وCompound وخمسة بروتوكولات أخرى، قدموا مقترحًا دستوريًا إلى DAO الخاص بـ Arbitrum، يطالب بإعادة تفعيل الـ ETH المجمد البالغ 30,765، والذي كان قد تم تجميده من قبل لجنة أمن Arbitrum، ودمجه في صندوق استعادة DeFi United. إذا تم الموافقة على جميع الخطوات، فسيصل حجم الصندوق إلى أكثر من 236 مليون دولار، مما يغطي كامل فجوة الخسائر الحالية.

لكن، يتطلب هذا الإجراء حوالي 49 يومًا من عمليات التصويت، ولا تزال العديد من الالتزامات التمويلية الكبيرة في انتظار التصويت النهائي من DAO الخاص بها، مما يعني أن الأمر ليس محسومًا بعد.

التحديات الأمنية في الربط بين السلاسل وحوكمة التمويل اللامركزي

أثارت حادثة KelpDAO تساؤلات أعمق حول أمان جسور الربط بين السلاسل. قبل الحادث، كانت 47% من تطبيقات LayerZero تستخدم تكوين DVN بنسبة 1/1، وهو اختيار ليس خاصًا بـ KelpDAO، بل يعكس توجهًا منهجيًا في الصناعة لتسهيل العمليات على حساب الأمان. في سيناريو الربط بين السلاسل، لم يعد الثقة تعتمد فقط على كود العقود، بل على معلمات التحقق من الشبكة وموثوقيتها. وغالبًا، تتجاوز هذه المعلمات نطاق التدقيق التقليدي.

تصميم LayerZero V2 يمنح صلاحية اتخاذ القرارات الأمنية إلى مستوى التطبيق، وهو في نظر البعض احترام للمرونة، لكن الواقع أن المطورين اختاروا نمط 1/1 الأكثر تطرفًا. بمجرد أن يمكن تعطيل آلية الأمان عبر التكوين، فإن حدود التدقيق تصبح غير واضحة. تكشف حادثة KelpDAO عن تناقض جوهري: بروتوكولات الربط بين السلاسل توفر قدرات تحقق متعددة، لكن المطورين غالبًا يختارون التنازل عن هذه الحماية الزائدة لأسباب تتعلق بالسهولة، وغياب عملية مراجعة أمنية موحدة لمعايير التكوين.

كيف يُسرع الذعر السوقي وسحب السيولة من تفاقم الأزمة

انتشرت أخبار الحادث بسرعة، وتحول الذعر إلى هروب فعلي للأموال. وفقًا لبيانات Gate حتى 27 أبريل 2026، شهدت أسعار الرموز المعنية تقلبات حادة، وضغطًا على قطاع DeFi ككل. خلال 48 ساعة، خرج حوالي 8.45 مليار دولار من ودائع Aave، وانخفض إجمالي القيمة المقفلة (TVL) من 264 مليار دولار إلى 179 مليار دولار. كما انخفض إجمالي القيمة المقفلة في نظام DeFi بأكمله بمقدار 132.1 مليار دولار، من 995 مليار دولار إلى 863 مليار دولار.

لكن، من المهم أن نلاحظ أن انخفاض TVL لا يعني خسارة نفس المبلغ من الأصول بشكل مباشر. بعض التدفقات الخارجة ناتجة عن تصفية مراكز عالية الرافعة، أو من قبل مؤسسات تتجنب المخاطر، وليس كلها أصولًا “مُفقودة”. ومع ذلك، فإن الصدمة تكشف عن مشكلة أعمق: عندما يتم استنزاف بركة أحد أكبر بروتوكولات الإقراض، ويقترب معدل الاستخدام من 100%، فإن الطلبات العادية للسحب من قبل المستخدمين العاديين قد لا تُلبى. لم تكن Aave مصدر الخطر، لكنها أصبحت جزءًا من الأزمة لأنها تحتوي على نسبة عالية من rsETH، مما أدخلها في دوامة الأزمة.

تتبع مسار غسيل الأموال للمهاجم وإجراءات تجميد Arb

بعد سرقة الأموال، بدأ المهاجمون في عمليات تعتيم متعددة. بدأوا من خلال Tornado Cash، حيث تلقوا قبل الحادث حوالي 1 ETH من خلال بروتوكول التمويه قبل حوالي 10 ساعات. بعد نجاح السرقة، قاموا بنقل الأموال بين عدة بروتوكولات إقراض، ثم عبر قنوات الربط بين السلاسل.

في 20 أبريل، استخدم مجلس أمن شبكة Arbitrum صلاحياته الطارئة، وحدد أن المهاجم يمتلك حوالي 30,765 من ETH (بقيمة حوالي 71.5 مليون دولار)، ونجح في نقلها إلى عنوان آمن. يُعد هذا خطوة مهمة في تتبع الأصول على السلسلة، حيث يُظهر أن لجان أمن الشبكات Layer 2 لديها القدرة على التدخل في حركة الأموال تحت ظروف معينة. لكن، رد المهاجم كان سريعًا — خلال ساعات من التجميد، تم نقل حوالي 75,700 من ETH (حوالي 175 مليون دولار) إلى محافظ جديدة بشكل متفرق. كما اكتشف المحققون على السلسلة أن حوالي 1.5 مليون دولار من الأموال المسروقة عبرت عبر Thorchain من إيثريوم إلى شبكة البيتكوين، وأُخفت بعض الأموال باستخدام أدوات خصوصية مثل Umbra. هذا يدل على أن المهاجمين يسعون إلى نقل الأموال بشكل كامل خارج نظام إيثريوم القابل للتتبع.

جهود المجتمع لتعويض خسائر 2 مليار دولار

لمواجهة فجوة الخسائر التي تقدر بـ 200 مليون دولار، قاد مؤسسو Aave إنشاء صندوق استعادة صناعي باسم DeFi United. حتى 26 أبريل، وفقًا لبيانات Arkham، جمعت أكثر من 160 مليون دولار، تغطي حوالي 80% من الفجوة. أكبر المساهمين كانوا مجتمع Mantle وAave، حيث تبرع كل منهما بـ 55,000 من ETH، بقيمة تقريبية تبلغ 127 مليون دولار بأسعار السوق وقتها.

كما تبرع مؤسس Aave، ستاني كوليشوف، بـ 5,000 من ETH؛ وقدم كل من Golem Foundation وEther