مراجعة مشهد الظلام في DeFi في أبريل الماضي لا تزال تثير بعض القلق. خلال 18 يومًا فقط، خسرت البيئة أكثر من 600 مليون دولار، والقصة وراء الأرقام تستحق الحذر أكثر.

بدأت القصة مع Drift Protocol. في الأول من أبريل، اعتقد الكثيرون أنها مزحة في يوم كذبة أبريل، لكن خلال 12 دقيقة، اختفى 285 مليون دولار. ثم تبين أن مجموعة Lazarus الكورية الشمالية قضت نصف سنة في التسلل، من الهندسة الاجتماعية، والتواصل غير المباشر، إلى زرع البرمجيات الخبيثة، وأخيرًا حصلت على صلاحيات الإدارة ومسحت عدة خزائن دفعة واحدة. ماذا يدل ذلك؟ أن أمان السلسلة على الإنترنت مهما كان صارمًا، لا فائدة منه إذا انهارت عمليات الإدارة غير المتصلة، فمحفظة التوقيع المتعدد تصبح مجرد ديكور.

ثم تعرض جسر Hyperbridge العابر للسلسلة للهجوم، حيث استغل المهاجم ثغرة في إثبات Merkle وصنع 1 مليار عملة DOT افتراضية من لا شيء. لكن هذا لم يكن الأسوأ. في 18 أبريل، تعرض rsETH الخاص بـ Kelp DAO لضرر كبير، حيث عبر المهاجمون من خلال اختراق RPC وهجمات DDoS، وزوروا 116,500 عملة rsETH (حوالي 292 مليون دولار)، ثم وُضعت هذه العملات المزورة كضمان في Aave وCompound، واستُعير منها 236 مليون دولار من WETH.

الكارثة الحقيقية كانت في ردود الفعل المتسلسلة. كأكبر سوق إقراض، استخدم مستخدمو Aave rsETH في عمليات اقتراض مفرطة — يودعون LRT، ويقترضون إيثريوم، ويحولونه إلى المزيد من LRT. عندما هز السوق، انهارت كل هذه العمليات في لحظة. خلال 48 ساعة، هرب أكثر من 6 مليارات دولار من الأموال من Aave، وتبخرت القيمة الإجمالية المقفلة في DeFi بمقدار 13 مليار دولار.

لاحظت ظاهرة مثيرة: عندما انخفض العائد السنوي على USDC في Aave إلى 2.61%، وهو أدنى من 3.14% التي تقدمها شركة الوساطة التقليدية Interactive Brokers، تلاشى دافع المستخدمين لتحمل مخاطر العقود الذكية. أي شكوك أمنية كانت كافية لتفكيك رأس المال الميسر في لحظة. هذا يعكس أن بيئة العوائد في DeFi تتغير، ويجب إعادة التفكير في آلية تسعير المخاطر.

ومن المثير أن الأزمة كشفت أيضًا عن بعض التنازلات. قام مجلس أمن Arbitrum بتجميد 30,700 عملة إيثريوم للمهاجم، وتعاونت Tether مع السلطات القضائية لتجميد 344 مليون USDT. على الرغم من أن هذه الإجراءات لاقت استحسانًا، إلا أنها أثارت تساؤلات حول الواقع في عالم اللامركزية — عندما تتعرض البقاء للخطر، يتم تفعيل السيطرة على التوقيع المتعدد.

يتم الآن إعادة البناء بعد الكارثة. جمعت Aave حوالي 243 مليون دولار لتعويض الديون المعدومة، وبدأ المطورون في التوجه نحو محافظ MPC، والجسور عبر ZK، وأنظمة التحقق الأكثر دفاعية.

الدروس المستفادة من أزمة أبريل واضحة جدًا: عند السعي وراء العوائد، يجب مراعاة المخاطر المتنوعة، ويجب أن تتطور الأمان، واللامركزية، وسهولة الاستخدام بشكل متزامن. وإلا، فإن أي ابتكار تقني لن يصمد.