تعرض بروتوكول دريفت لهجوم من قِبل قراصنة، مع خسارة قدرها 285 مليون دولار

في 1 أبريل 2026، تعرضت بورصة عقود دائمة لامركزية في نظام سولانا البيئي تُدعى Drift Protocol لهجوم من قِبل قراصنة، حيث بلغ إجمالي الأصول المسروقة نحو 285 مليون دولار. حصل المهاجمون على صلاحيات المسؤول في محفظة متعددة التوقيعات الخاصة بالبروتوكول، ثم قاموا خلال ساعة واحدة بتفريغ الأصول في عدة مجمعات تشمل USDC وSOL وcbBTC وWETH وغيرها، ونقلها عبر السلاسل إلى شبكة الإيثيريوم لتحويلها إلى حوالي 129,000 ETH (بقيمة تقارب 278 مليون دولار). وحتى 2 أبريل 2026، كانت الأموال المسروقة قد تم تخزينها بشكل متفرق عبر 4 عناوين على شبكة الإيثيريوم، حيث انخفض إجمالي القيمة المقفلة في البروتوكول (TVL) من 550 مليون دولار بسرعة إلى حوالي 255 مليون دولار، وأصبح هذا الحادث أكبر حدث أمني خسارةً منفردًا في قطاع DeFi لعام 2026.

خط زمني للهجوم والمسار التقني

لم يكن الهجوم مفاجئًا، بل مرّ بفترة تحضير استمرت قرابة ثمانية أيام. تُظهر بيانات السلسلة أن عنوان محفظة المهاجم HkGz4K… تم إنشاؤه في 24 مارس 2026، وحصل على التمويل الأولي عبر نظام NEAR Intents عبر السلاسل، ثم أرسل معاملة اختبار صغيرة إلى Drift Vault (حوالي 2.52 دولار) للتحقق من صلاحية التحكم في العقد. انطلق نافذة الهجوم رسميًا في 1 أبريل عند 16:00 UTC:

• تم سحب أول معاملة من خزنة Drift حوالي 41.7 مليون رمز JLP (بقيمة حوالي 155.6 مليون دولار).
• في وقت لاحق، تم سحب أصول مثل USDC وSOL وcbBTC وwBTC وWETH وغيرها من خلال حوالي 11 معاملة منسقة تباعًا خلال 60 دقيقة، بإجمالي بلغ 285 مليون دولار.

في المسار التقني، لم يستغل المهاجمون ثغرة في كود العقد الذكي، بل اعتمدوا على الحصول على صلاحيات مسؤول في محفظة متعددة التوقيعات، وقاموا تباعًا بتنفيذ العمليات التالية: إصدار رموز مزيفة CVT → التلاعب بسعر المُعرّف/المرشد (oracle) → تعطيل الوحدة الأمنية → سحب الأصول عالية القيمة.

الثغرة الجوهرية في آلية متعددة التوقيعات وغياب القفل الزمني

السبب المباشر لهذا الهجوم هو العيب الأمني في إعدادات إدارة متعددة التوقيعات لدى بروتوكول Drift. يشير تقرير إعادة التقييم الصادر عن جهة أمنية بطيئة/SlowMist إلى أنه قبل حدوث الهجوم بنحو أسبوع، قام Drift بتعديل آلية متعددة التوقيعات إلى وضع «2/5» (موقع توقيع قديم واحد مع 4 موقعين جدد)، ولم يضع أي قفل زمني (Timelock).

القفل الزمني هو آلية تأخير إلزامية، تتطلب أنه بعد إجراء تغييرات على إعدادات ذات صلاحيات عالية يجب أن ينتظر تنفيذها فترة 24–48 ساعة حتى تصبح سارية، مما يمنح المجتمع وجهات الأمن نافذةً للكشف عن الحالات الشاذة. يعني غياب القفل الزمني أنه بمجرد سرقة مفاتيح التوقيع للموقعين الجدد أو إخضاعها لسيطرة خبيثة، يمكن للمهاجمين تنفيذ عمليات على مستوى المسؤول فورًا. استخدم المهاجمون الموقع القديم الوحيد ضمن متعدد التوقيعات، بالتعاون مع موقع توقيع مُضاف/جديد آخر لتوقيع مشترك، ثم نقلوا صلاحيات المسؤول إلى عنوان تحت سيطرتهم، وبذلك تجاوزوا جميع وسائل الحماية على مستوى المستخدمين.

منطق غسل الأموال عبر التحويل بين السلاسل وتحويل ETH

بعد نجاح الهجوم، بدأ المهاجمون عملية التصرف في الأموال:

1. التحويل عبر السلاسل: نقل أصول متعددة الأنواع على سلسلة سولانا إلى شبكة الإيثيريوم عبر بروتوكولات عبر السلاسل مثل Wormhole.
2. تحويل موحّد: في بورصة لامركزية على الإيثيريوم، تم تحويل جميع الأصول مثل USDC وSOL وwBTC إلى ETH.
3. توزيع العناوين: تم تخزين حوالي 129,000 ETH (بقيمة حوالي 278 مليون دولار) بشكل متفرق في 4 عناوين على شبكة الإيثيريوم.

يشمل منطق اختيار ETH كأصل نهائي ما يلي: شبكة الإيثيريوم تتمتع بأعلى سيولة، ما يسهل التسييل السريع؛ توحيد الأموال المسروقة متعددة العملات في أصل واحد يقطع مسار تتبع التمويل الأصلي على السلسلة؛ وتوزيع العناوين يقلل من خطر تجميد عنوان واحد بالكامل. تم تجميد جزء من USDC على شبكة الإيثيريوم من قِبل المُصدر Circle، لكن نسبته من إجمالي الأموال المسروقة منخفضة جدًا.

أثر الحادث على TVL لبروتوكول Drift وعلى نظام سولانا البيئي

يظهر الأثر المالي المباشر للحادث على TVL في البيانات. ووفقًا لإحصاءات DeFiLlama:

نقطة زمنية (UTC)

TVL (دولار)

1 أبريل 00:00

حوالي 550 مليون

1 أبريل 22:41

حوالي 255 مليون

يعني انقسام TVL إلى النصف أن حجم مجمعات السيولة يتقلص، ما يؤدي إلى ارتفاع الانزلاق السعري (slippage)، وانخفاض كفاءة استخدام الأموال، وبالتالي تقليص حجم تداول البروتوكول وإيرادات الرسوم. ومن منظور أوسع للنظام البيئي لسولانا، يُعد هذا الحادث أكبر حدث أمني DeFi على نطاق النظام منذ هجوم جسر Wormhole في 2022 (بقيمة 326 مليون دولار). في الفترة من يناير إلى مارس 2026، بلغت الخسائر المتراكمة لـ 15 بروتوكول DeFi حوالي 137 مليون دولار، بينما بلغت خسارة حادث Drift منفردًا نحو ضعف هذا المبلغ، كما أنها تتجاوز بكثير الرقم القياسي السابق لأكبر خسارة منفردة البالغ 27.3 مليون دولار.

دور التدخل لدى مُصدري العملات المستقرة والمنطقة الرمادية التنظيمية

أثارت سرعة استجابة مُصدر العملات المستقرة Circle نقاشًا في الصناعة. بعد وقوع الهجوم، تم تجميد جزء من USDC على شبكة الإيثيريوم بواسطة Circle، لكن كمية كبيرة من USDC المنقولة عبر الجسور بين السلاسل لم يتم اعتراضها في الوقت المناسب لأنها لم تمر عبر عنوان احتجاز مباشر تابع لـ Circle. انتقد محققون على السلسلة بقيادة ZachXBT هذا، معتبرًا أن Circle لديها تأخر في الاستجابة لآلية تجميد USDC عبر السلاسل.

يكشف هذا الجدل عن منطقة رمادية تنظيمية في أحداث أمن DeFi: إذ لا توجد أطر قانونية واضحة وإجماع صناعي حول واجب التدخل الاستباقي لمُصدري العملات المستقرة في بيئة عبر السلاسل. حاليًا، لا يمكن لمُصدري مثل Circle سوى تجميد USDC الموجود على سلاسلهم الأصلية (إيثيريوم) والذي يتم التحكم به من عناوين محجوزة مباشرة من قِبل Circle. أما «USDC المُقنطر/المُجسر» المُنشأ عبر جسور طرف ثالث مثل Wormhole أو الأصول المُغلّفة بعد التحويل عبر السلاسل، فلا يملك المُصدر صلاحية تجميد مباشرة لها. قد يدفع هذا السيناريو الجهات التنظيمية إلى تقديم متطلبات أكثر تحديدًا لالتزامات مُصدري العملات المستقرة في الاستجابة للمخاطر.

الخاتمة

يكمن التناقض البنيوي الأساسي في حادث هجوم Drift في النقاط التالية: من ناحية، تُسوّق بروتوكولات DeFi نفسها للمستخدمين من خلال كونها غير وصيّة (non-custodial) ولا تتطلب الثقة، لكن من ناحية الإدارة، غالبًا ما تحتفظ بصلاحيات مسؤول مركّزة للغاية (يُشار إليها عادةً بـ «مفتاح الإله»). بعد حصول المهاجمين على صلاحيات المسؤول، يمكنهم تنفيذ ثلاث عمليات خطرة في معاملة واحدة: إنشاء سوق مزيف، والتلاعب بسعر المُعرّف (oracle)، وإلغاء قيود السحب. ويُظهر ذلك أن البروتوكول يفتقر إلى آليات تحقق متعددة، وحدود زمنية للتأخير في الإجراءات، وظروف تفعيل مراقبة مخاطر في الوقت الفعلي.

تجدر الإشارة إلى أنه في نسخة v1 من بروتوكول Drift في 2022، فقد الفريق 14.5 مليون دولار بسبب مشكلات مماثلة تتعلق بصلاحيات الإدارة، وقدّم الفريق تعويضًا كاملاً بعد ذلك ونشر إعادة تقييم تقنية. بعد أربع سنوات، أعيد ظهور المشكلة ذات النمط نفسه على نطاق أكبر، ما يبين أن مخاطر تركز الصلاحيات في البنية الأمنية الأساسية لم يتم حلها جذريًا حتى بعد عمليات المراجعة والتحسينات.

الأسئلة الشائعة (FAQ)

س: هل من الممكن استرداد 285 مليون دولار التي تم سرقتها من Drift Protocol؟

حتى 2 أبريل 2026، تم تحويل الأموال المسروقة عبر السلاسل إلى شبكة الإيثيريوم، ثم تم تحويلها إلى ETH وتخزينها بشكل متفرق في 4 عناوين. يبلغ معدل الاسترداد الإجمالي لمبالغ الأحداث الأمنية لـ DeFi في 2026 أقل من 7% (تم استرداد 9 ملايين دولار فقط من 137 مليون دولار). وبسبب أن المهاجمين استخدموا مسارات ناضجة لتجزئة العناوين وغسل الأموال عبر السلاسل، فإن جدوى الاسترداد التقني منخفضة جدًا.

س: هل تؤثر هذه العملية على أمن بروتوكولات DeFi الأخرى في نظام سولانا البيئي؟

تنشأ هذه الهجمة من ثغرة محددة في بروتوكول Drift نفسه ضمن إعدادات متعددة التوقيعات وآلية القفل الزمني، وليست عيبًا منهجيًا في الطبقة الأساسية لسلسلة سولانا أو في معايير العقود الذكية العامة. ومع ذلك، فإن الحادث سيؤدي إلى تضخيم كبير لمدى تدقيق جهات التدقيق والمستخدمين في تكوين صلاحيات الإدارة لدى بروتوكولات DeFi الأخرى داخل نظام سولانا البيئي، وقد يؤدي إلى إعادة توزيع عبر البروتوكولات في TVL خلال فترة قصيرة.

س: كيف يجب على مطوري البروتوكول منع هجمات صلاحيات الإدارة المماثلة؟

توصي معايير أمان الصناعة بإجراءات أساسية تشمل ثلاثة عناصر: أولاً، تعيين قفل زمني لا يقل عن 24 ساعة لجميع التغييرات على الإعدادات ذات الصلاحيات العالية، مع توفير مراقبة وأوامر إنذار آلية؛ ثانيًا، استخدام مخطط متعدد توقيعات بحد أدنى 4/7 أو أعلى، وأن تكون مفاتيح توقيع الموقعين مخزنة في وحدات نمطية أمنية للأجهزة (HSM) مع عزلها ماديًا؛ ثالثًا، نشر وحدة لمراقبة مخاطر في السلسلة (on-chain) في الوقت الفعلي، بحيث يتم تفعيل تنفيذ متأخر والتحقق من المجتمع تلقائيًا عندما تتضمن معاملة واحدة عملية على مستوى المسؤول وكان المبلغ يتجاوز حدًا محددًا مسبقًا.