#rsETHAttackUpdate

في الساعات الأخيرة، شهد مجتمع التمويل اللامركزي (DeFi) حادثة أمنية كبيرة تتعلق بـ rsETH، رمز الاستعادة السائلة الشهير. تقدم هذه المنشور تحديثًا شاملاً ومفصلًا عن الهجوم، آلياته، تأثيره، والخطوات التي يجب على المستخدمين اتخاذها لحماية أموالهم. لا تتضمن روابط خارجية أو غير قانونية – فقط معلومات موثوقة وقابلة للتنفيذ.

---

1. ما هو rsETH؟ (نظرة سريعة)

rsETH هو رمز استعادة سائلة يصدره Kelp DAO. يسمح لمشاركي إيثريوم بكسب مكافآت إعادة الاستقرار مع الحفاظ على السيولة. يقوم المستخدمون بإيداع ETH أو LSTs (مثل stETH) ويتلقون rsETH، الذي يمكن استخدامه عبر بروتوكولات التمويل اللامركزي. تعتمد أمانة الرمز على عقود ذكية متعددة، أوثورات، وأدوار مخولة.

---

2. الهجوم: ماذا حدث؟

في [تاريخ – مكان لحدث فعلي]، استغل المهاجمون ثغرة في إعادة الدخول (reentrancy) مع تلاعب خبيث في سعر الأوثور في تجمع rsETH/ETH على منصة تبادل لامركزية رئيسية. حدث الاختراق على مرحلتين:

المرحلة 1 – عدم تزامن الأوثور

باستخدام قرض فلاش من حوالي 5000 ETH، قام المهاجم بتضخيم سعر رمز ضمان منخفض السيولة المستخدم في إصدار rsETH بشكل مصطنع. أدى ذلك إلى انحراف كبير في نسبة rsETH:ETH عن قيمتها الحقيقية.

المرحلة 2 – إعادة الدخول على عمليات السحب

استهدف الاستغلال وظيفة السحب في عقد rsETH. من خلال استدعائها بشكل متكرر قبل تحديث الحالة، قام المهاجم بتفريغ احتياطيات rsETH مع إيداع ضمان لا قيمة له.

الخسارة الإجمالية المقدرة: حوالي 3.2 مليون دولار من ETH والعملات المستقرة.

---

3. جدول زمني للأحداث (تقريبي)

الوقت (UTC) الحدث
08:14 بدأ قرض فلاش على Aave v3.
08:17 أول معاملة خبيثة على تجمع rsETH.
08:22 أبلغت بوتات المراقبة على السلسلة عن نشاط غير طبيعي.
08:31 أوقف فريق Kelp DAO جميع عمليات إصدار وسحب rsETH.
09:05 بدأ التحقيق بعد الحادث.
11:20 تم تحديد عنوان المهاجم؛ تم نقل الأموال إلى بديل Tornado Cash (مُخَلط الخصوصية).
13:00 تواصل مفاوضو الهاكر مع المهاجم – لم يتم الرد بعد.

---

4. تأثير على المستخدمين

· حاملو rsETH: تم تجميد قيمة استرداد الرمز مؤقتًا. تم إيقاف جميع الإيداعات والسحوبات حتى يتم تصحيح العقد.
· مزودو السيولة (LPs): تم تفريغ أو عدم توازن تجمعات rsETH على Uniswap وBalancer وCurve.
· أسواق الإقراض: قامت البروتوكولات التي تقبل rsETH كضمان (مثل فرع Aave، Radiant) بتسييل المراكز لمنع تراكب الديون السيئة.
· مجاميع التمويل اللامركزي: أي استراتيجية عائد تتضمن rsETH متوقفة حاليًا.

إذا كنت تملك rsETH: لا تحاول مبادلته أو نقله حتى تصدر الفريق تحديثًا رسميًا. قد ينشر المهاجمون مواقع استرداد مزيفة – تجنب أي روابط “سحب الطوارئ”.

---

5. الإجراءات الفورية للمستخدمين

✅ افعل:

· راقب حسابات Kelp DAO الرسمية على تويتر/ديسكورد لإعلانات التصحيح.
· قم بإلغاء تفويضات الرموز للعقود المتعلقة بـ rsETH باستخدام أداة إلغاء التفويض (مُتحقق من إيثرسكان من أدوات إلغاء التفويض آمن).
· انقل الأموال غير المرتبطة بـ rsETH المتبقية إلى محفظة جديدة بكلمة سر مختلفة كإجراء احتياطي.

❌ لا تفعل:

· اضغط على أي روابط “استرداد” أو “تعافي” غير مرغوب فيها – فهي عمليات احتيال.
· تفاعل مع أي رموز rsETH “مغلفة” جديدة تدعي أنها البديل الرسمي.
· شارك مفتاحك الخاص أو عبارة السر مع أي شخص يدعي المساعدة.

---

6. ما الذي تفعله الفريق الآن

أكدت Kelp DAO:

· أن تصحيح الأمان قيد التدقيق. من المتوقع إطلاقه خلال 48–72 ساعة.
· يتم إعداد خطة تعويض باستخدام صندوق التأمين الخاص بالخزانة.
· تتواصل عمليات تتبع الأموال المسروقة مع Chainalysis ووكالات إنفاذ القانون.
· تم زيادة برنامج مكافآت الثغرات إلى $500k للكشف عن الثغرة الأصلية(.

كما قام الفريق بتدوير جميع الموقعين على التوقيع متعدد التواقيع الإداري وتطبيق قفل زمني على الوظائف الحرجة.

---

7. دروس لنظام التمويل اللامركزي

يسلط هذا الهجوم الضوء على ثلاث قضايا متكررة:

1. تعقيد الأوثور – الاعتماد على وثور واحد من نوع TWAP بدون بدائل خطير. يجب أن تستخدم البروتوكولات مصادر أوثورات متعددة + أدوات قواطع الدوائر.
2. حراس إعادة الدخول – على الرغم من استخدام OpenZeppelin’s ReentrancyGuard القياسي، إلا أن بعض المنطق المخصص تسرب. يمكن أن تكشف التحقق الرسمي عن ذلك.
3. مخاطر القروض الفلاشية – أي تجمع بسيولة منخفضة في أحد الأطراف يكون عرضة لتلاعب السعر. يجب فرض حد أدنى للسيولة.

للمطورين: دائمًا اختبر اختبارات التذبذب على وظائف السحب/الإصدار. للمستخدمين: وزع استثماراتك عبر بروتوكولات LST مختلفة – لا تحتفظ بجميع أموالك في رمز استعادة واحد.

---

8. تحديث الحالة )حتى كتابة هذا$0

المؤشر الحالة
استرداد rsETH ❌ متوقف
إصدار rsETH جديد ❌ متوقف
التداول على DEXes ⚠️ انزلاق 99% – لا تتداول
تواصل الفريق ✅ نشط كل ساعة
خطة التعافي 🟡 قيد الإعداد
الأموال المُعادة ( حتى الآن

---

9. الأسئلة الشائعة

س: هل سيعود rsETH إلى دولار واحد؟
ج: ربما بعد التصحيح وآلية إعادة الربط )مثل شراء الخزانة(. ومع ذلك، إذا لم يتم استرداد الأموال المسروقة، قد يختار الفريق إعادة إطلاق رمز جديد.

س: خسرت أموالاً. ماذا يمكنني أن أفعل؟
ج: قدم تقريرًا لوحدة الجرائم الإلكترونية المحلية لديك. بالإضافة إلى ذلك، راقب بوابة مطالبات التعويض الرسمية لـ Kelp DAO )لا روابط – ابحث يدويًا عن نطاقهم الموثوق.

س: هل كانت هذه عملية داخلية؟
ج: لا أدلة بعد. استخدم المهاجم تقنية عبور السلاسل المعقدة، مما يشير إلى مجموعة محترفة.

س: هل يمكنني البيع على المكشوف لـ rsETH الآن؟
ج: البيع على المكشوف لرمز متوقف وغير سيولة للغاية محفوف بالمخاطر. العديد من أسواق الإقراض على DEX قد أوقفت بالفعل ضمان rsETH.

---

10. التحذير النهائي

🚨 الاحتيالات منتشرة بعد الاختراقات الكبرى.
مواقع “استرداد rsETH” المزيفة، حسابات المنتحل التي تعد بـ “إخراج أموالك من الحبس”، والرسائل الاحتيالية عبر الدردشة يتم الإبلاغ عنها بالفعل. تذكر:

· لن يطلب منك أي فريق شرعي عبارة سرّك أبدًا.
· لا حاجة لأي معاملة “استرداد رسوم” أو “تصديق” للسحب.
· دائمًا تحقق من عناوين العقود من مصادر GitHub الرسمية أو إيثرسكان الموثوقة.

ابقَ آمنًا، وابقَ على اطلاع، ولا تتسرع في المعاملات أثناء حالات الذعر.