اختراقات العملات المشفرة واستغلالات التمويل اللامركزي في الربع الثاني في طريقها لمضاهاة أرقام الربع الأول

بحسب البيانات التي جمعتها شركة أمن العقود الذكية CertiK، خسر قطاع العملات المشفرة أكثر من 320 مليون دولار بسبب أنشطة إجرامية في الربع الأول من 2023. وهذا أقل كثيرًا من الربع الرابع من 2022 والفترة نفسها من العام السابق. وربطت الشركة الانخفاض بالأزمات التي هزت الصناعة خلال تلك الأشهر الثلاثة.

ومن أبرزها اضطراب أسواق العملات المستقرة وأزمة البنوك التي امتدت إلى الأصول الرقمية. دفعت هذه الأحداث المستثمرين إلى إبقاء أموالهم جانبًا وثبّطت دخول مستثمرين جدد وتدفقات رأس المال. وقبل منتصف الربع الثاني، كانت خسائر الهجمات الجديدة متوقعة أن تقترب من رقم الربع الأول. كان هذا تقديرًا في ذلك الوقت، لا نتيجة نهائية للربع الثاني كاملًا.

خسارة 103 ملايين دولار بسبب الاختراقات والاستغلالات والاحتيالات في أبريل

في مارس، سُرقت أصول مشفرة بنحو 211 مليون دولار، كان أكبرها اختراق Euler Finance بقيمة 197 مليون دولار. وكانت خسائر أبريل أقل قليلًا من نصف هذا المبلغ؛ إذ قدّرتها CertiK بنحو 103.7 ملايين دولار من الاختراقات واستغلال الثغرات والاحتيال.
وفق الأرقام التي يوردها المقال، بلغ إجمالي خسائر الأشهر الأربعة الأولى 429.7 مليون دولار. ومن حوادث أبريل الكبيرة هجوم استهدف روبوتات تداول MEV على إيثيريوم، استغل فيه مدقّق خبيث معاملات الروبوتات وتسبب بخسارة نحو 25.4 مليون دولار. وأُبلغ أيضًا عن سحب 23 مليون دولار من الإيثر وأصول أخرى من إحدى المحافظ الساخنة لبورصة Bitrue.

هجمات تستعين بالقروض الفورية

كانت حادثة Yearn Finance من أبرز هجمات القروض الفورية في أبريل؛ فقد استُهدفت النسخة القديمة من بروتوكول iEarn ومجمعاتها، ولم تكن Yearn هي المهاجم. وبحسب PeckShield في 13 أبريل، استُغلت ثغرة في عقد yUSDT لسك نحو 1.3 كوادريليون رمز، أي نحو 1,300 تريليون، انطلاقًا من 10,000 USDT. هذا عدد الرموز وليس قيمتها بالدولار. وقُدّرت حصيلة المبادلات اللاحقة بنحو 11.6 مليون دولار، وشملت قرابة 61,000 USDP و1.5 مليون TUSD و1.79 مليون BUSD و1.2 مليون USDT و2.58 مليون USDC و3 ملايين DAI.
تعرّض Hundred Finance لهجوم في 15 أبريل على Optimism، شبكة الطبقة الثانية لإيثيريوم، وخسر نحو 7.4 ملايين دولار وفق التقدير المستخدم في المقال. شمل الهجوم قرضًا فوريًا من WBTC والتلاعب بسعر تحويل hWBTC. وبعد تعثر المفاوضات، عرض المشروع 500,000 USDC مقابل معلومات تؤدي إلى القبض على المهاجم واستعادة جميع الأموال. وكان قد خسر نحو 6.5 ملايين دولار في هجوم إعادة دخول في مارس 2022. ويذكر المقال أن خسائر احتيال الخروج في أبريل بلغت 9.4 ملايين دولار، وشملت Merlin.

CertiK تقول إن مطورين محتالين أخذوا 1.8 مليون دولار من Merlin

خسرت بورصة Merlin اللامركزية على zkSync نحو 1.82 مليون دولار في سياق البيع العام لرمز MAGE على مدى ثلاثة أيام أواخر أبريل. وكانت تروّج لعوائد الإيداع وتدقيق CertiK. وأكدت الحادثة وطلبت من المستخدمين إلغاء أذونات محافظهم. ووصفت CertiK المشكلة بأنها مرتبطة بإدارة المفاتيح الخاصة.
شددت CertiK لاحقًا على أنها أشارت إلى مخاطر المركزية في قسم جهود اللامركزية بتقرير تدقيق Merlin. لكن جودة عملها ظلت محل تساؤل. وحددت eZKalibur، وهي بورصة ومنصة لإطلاق المشاريع على zkSync أيضًا، الشيفرة التي يُزعم أنها أتاحت أخذ الأموال. وقالت إن دالة initialize أنشأت بابًا خلفيًا يسمح بنقل عدد غير محدود من الرموز من عنوان العقد إلى عنوان feeTo.

خطة تعويض قيد الإعداد

قالت CertiK في 26 أبريل إنها تدرس خطة تعويض للمتضررين، وحثت المسؤولين على رد 80٪ من الأموال والاحتفاظ بالباقي كمكافأة للقبعات البيضاء. وبحسب تفسيرها، كانت الحادثة فعل مطورين محتالين لا مهاجم خارجي، مما يفسر سهولة سحب السيولة. ورجحت وجود المسؤولين في أوروبا، وقالت إنها تتعاون مع جهات إنفاذ القانون إذا فشلت المفاوضات المباشرة.
في تحديث لاحق، وصفت CertiK الواقعة بأنها احتيال سحب سيولة من داخل Merlin باستغلال صلاحيات المحافظ. وقالت إن رفض بعض أعضاء الفريق المتبقين التحقق من هوياتهم عرقل التحقيق ومساعدة الضحايا. وأعلنت تجميد 160,000 دولار من الأموال المسروقة ومراقبة الباقي، والتعاون مع السلطات الأمريكية والبريطانية. كما تعهدت بمليوني دولار لمساعدة الضحايا ومكافحة احتيال الخروج.

القراصنة تلاعبوا بأوراكل السعر لسرقة 2 مليون دولار من بروتوكول الإقراض Polygon 0VIX

تعرّض بروتوكول الإقراض 0VIX أواخر أبريل للتلاعب بمصدر الأسعار، بخسائر قُدّرت أوليًا بأكثر من مليوني دولار. وتعلقت الحادثة برمز vGHST الذي يمثل حصة في GHST داخل GotchiVault لمشروع Aavegotchi، اللعبة المستوحاة من Tamagotchi. وبحسب تقدير PeckShield الذي نقله المقال، استُخدم قرض فوري من العملات المستقرة بنحو 6.12 ملايين دولار لفتح مراكز اقتراض vGHST.

تلاعب المهاجم بحساب قيمة vGHST ومركز الاقتراض. وأدى إرسال GHST إلى العقد إلى رفع سعر تحويل رموز الخزنة، ثم أتاحت تصفية المركز أخذ الأموال وخلّفت ديونًا متعثرة. لم يكن الأمر مجرد ارتفاع سعر GHST في السوق بأكملها. وأوقف الفريق أسواق الإقراض على Polygon PoS وzkEVM وبدأ التحقيق.

أعلنت 0VIX Protocol Association لاحقًا استئناف سوق zkEVM، بما يسمح للمستخدمين بالوصول إلى أموالهم دون قيود. وطلبت مراجعة المراكز ومؤشر سلامتها وسداد الديون القائمة. وكان إيقاف zkEVM احترازيًا فقط، إذ لم تتأثر بالهجوم. وامتنعت الجمعية عن كشف تفاصيل إضافية لحماية التحقيق، مع استمرار العمل مع شركاء الأمن لاستعادة الأموال المسروقة.

خطأ في آلية مكافأة Level Finance سمح للمهاجم بسحب مليون دولار من رموز LVL

في أوائل مايو، سُرقت رموز LVL بنحو مليون دولار من Level Finance. وأكدت بورصة التداول الفوري والعقود الدائمة غير الوصائية على BNB Chain في 1 مايو أن عقد الإحالة LevelReferralControllerV2 هو المستهدف. وأتاحت ثغرة المطالبات المتكررة أخذ نحو 214,000 LVL واستبدالها بـ3,345 BNB.
قالت PeckShield إن الخطأ أتاح المطالبة بمكافآت الإحالة مرارًا في فترة المكافآت نفسها. وربطت Level Finance ذلك بتحديث حديث لآلية الحوافز. وأوقفت برنامج الإحالة مؤقتًا لإنهاء الهجوم؛ ولم تتأثر مجمعات السيولة أو خزينة المنظمة اللامركزية.

Deus Finance توقف العقود وتحرق DEI بعد هجوم بخسائر تقارب 6 ملايين دولار

أعلنت Deus Finance أوائل مايو هجومًا على عملة DEI المستقرة في BNB Smart Chain وArbitrum، بخسائر أولية مقدرة بأكثر من 6 ملايين دولار. وأتاح خطأ الصلاحيات في دالة burnFrom تحويلات غير مأذونة، وسبقت معاملات أخرى بعض معاملات الاستغلال. ويذكر المقال 1,337,375 BUSD من مجمع DEI/BUSD، وخسارة نحو 5 ملايين دولار على Arbitrum؛ الرقم الأخير لا يشير إلى مجمع تداول ARB/ETH. وأوقفت Deus العقود وحرقت رموز DEI على السلسلة للحد من الخسائر. وقيّم الفريق ضمانات DEI وخطط للاسترداد والتعويض وفق الأرصدة قبل الحرق.

قالت Deus إنها تدرس إمكانية عكس معاملات أشخاص علقت أموالهم في مراجحة بعد الحادث. وبحسبها، كان Deus v3 منفصلًا عن DEI ولم يتأثر. وحثت على رد 80٪ من الأموال المسحوبة والاحتفاظ بالباقي كمكافأة للقبعات البيضاء. وفي منشور آنذاك، أعلنت إعادة 2,023 ETH إلى عنوان محفظة استعادة متعددة التوقيع يديرها أعضاء موثوقون مرتبطون بـYearn Finance.