بروتوكولات مرتبطة ببيتكوين وإيثريوم تخسر أكثر من 35 مليون دولار في هجمات متتابعة خلال ساعات

تعرّضت الجسور وبروتوكولات "الكروس-تشين" في سوق العملات المشفّرة ليوم قاسٍ، إذ أظهرت بيانات على السلسلة قيّمها CoinDesk ونقلتها شركتا الأمن BlockAid وPeckShield أن ثلاثة بروتوكولات على الأقل تعرّضت لاستنزاف متتالٍ خلال 6 ساعات، بخسائر مجمّعة تجاوزت 35 مليون دولار. القاسم المشترك بين الهجمات أن أياً منها لم يكسر التشفير الأساسي. الخلل كان إمّا عيباً منطقياً يسمح للكود بتنفيذ قواعده كما كُتبت لكن على نحو يتيح خروج الأموال، أو استيلاءً على مفتاح/صلاحية إدارية منحت المهاجم تحكماً لا ينبغي أن يمتلكه. الأكثر لفتاً للنظر كان ما أصاب شبكة Verus. فقد رصدت BlockAid في وقت مبكر من صباح الخميس استغلالاً لجسر Verus–Ethereum أدى إلى سحب نحو 7.54 مليون دولار من أصول تشمل الإيثر وبيتكوين المُرمّز ومجموعة من العملات المستقرة. وبحسب الشركة، استخدم المهاجم مسار "الاستيراد" في الجسر لإطلاق مدفوعات على جانب إيثريوم دون وجود تغطية مقابلة، ما استنزف احتياطيات الجسر من ETH وtBTC وUSDC وUSDT وEURC وMKR وscrvUSD. وأشارت BlockAid إلى أن الهجوم أعاد استخدام العقد نفسه ومسار الدخول ذاته كما في اختراق سابق، مستغلاً الفئة نفسها من الثغرات. وكانت CoinDesk قد أفادت عن حادثة سابقة في مايو بخسارة بلغت 11.5 مليون دولار. ويُعد "الجسر" أداة تسمح بنقل الأصول بين شبكتين لا تتواصلان مباشرة. فهو يحتجز التوكنات الحقيقية على شبكة ويُصدر مقابلاً لها مطالبات على شبكة أخرى. وتعتمد سلامته على التحقق الدقيق من أن كل عملية سحب مدعومة فعلاً بأصول مقفلة على السلسلة المقابلة. وفي حالة Verus، سمح الخلل بإطلاق مدفوعات على جانب إيثريوم لم تكن مغطاة بشكل صحيح على جانب Verus، فخرجت أموال حقيقية مقابل مطالبة شبه عديمة القيمة. وكان المهاجم قد أعاد معظم الأموال مقابل مكافأة بعد اختراق مايو. ثم أعادت Verus إيداع الأموال المستردة في الجسر نفسه بتاريخ 8 يوليو، وفق سجلات على السلسلة جمعها باحثون أمنيون، قبل أن يُستنزف الجسر مجدداً بعد أسبوعين. أثر تكرار الحوادث يظهر في أرقام البروتوكول. فوفق DefiLlama، بلغت القيمة الإجمالية المقفلة في Verus قرابة 100 مليون دولار في بداية 2025، لكنها تراجعت إلى نحو 9 ملايين دولار حتى يوم الخميس، في نزيف بطيء تفاقم هذا الأسبوع مع الهجوم الأخير. ولا تقتصر كلفة الإخفاقات المتكررة على المبالغ المسروقة في كل حادثة، بل تمتد إلى تقويض الثقة التي تُبقي الأصول داخل المنصة من الأساس. هجوم آخر مؤكد طال B² Network، وهي شبكة توسّع تهدف إلى جعل معاملات بيتكوين أسرع وأقل كلفة. وقالت B² صباح الخميس بتوقيت آسيا إن مهاجماً حصل على وصول غير مصرح به إلى صلاحية الترقية لعقد "ستيكينغ" التوكن، وهي صلاحية إدارية تحدد كيفية عمل العقد. وتتبعَت شركة Lookonchain بيعَ نحو 3.86 مليون دولار من توكنات B2، ثم تحويل العائدات إلى إيثر وعملات مستقرة ونقلها. وأكدت B² أنها احتوت الحادثة، وأوقفت الستيكينغ، وستعوّض المستخدمين المتضررين بالكامل. تعتمد سلامة العقود الذكية بقدر كبير على المفاتيح والصلاحيات التي تتحكم بها. فإذا استولى مهاجم على سلطة تعديل كيفية عمل العقد، فلن يحتاج إلى ثغرة في الكود؛ إذ يمكنه تغيير القواعد أو سحب الأموال مباشرة. هذا النمط كان وراء أكبر سرقات الكريبتو في التاريخ، من اختراقي جسري Wormhole وNomad في 2022 إلى خسارة KelpDAO التي قاربت 290 مليون دولار في وقت سابق من هذا العام. ومن المتوقع أن تزداد صعوبة الدفاع. ففي تحليل نُشر هذا الأسبوع، كشفت OpenAI أنه خلال تقييم داخلي تمكنت نماذجها للذكاء الاصطناعي من الخروج من بيئة الاختبار ومهاجمة خوادم Hugging Face عبر ربط بيانات اعتماد مسروقة بثغرات برمجية غير معروفة سابقاً. وتم خفض حدود السلامة للنماذج ضمن الاختبار، ما يعني أنه لم يكن نظاماً يعمل ذاتياً، لكنه قدّم دليلاً عملياً على أن الذكاء الاصطناعي بات قادراً على تنفيذ عمليات اختراق متعددة الخطوات تتطلب عادة فريقاً بشرياً ماهراً. في معظم القطاعات، يعني الاختراق استجابة للحادث ثم تعافياً لاحقاً. أما في عالم الكريبتو، حيث يكون استنزاف العقد نهائياً ولا توجد آلية "استرجاع"، فإن امتلاك هذه القدرة يشير إلى تهديد بلا زر تراجع. وخلال 24 ساعة، تعرّضت أربعة فرق — Verus وB² وAFX وBalance — للاستنزاف للسبب الجوهري نفسه: لم يسقط أيٌ منها بسبب كسر في التشفير، بل بسبب فقدان سيطرة موثوقة. ومع تطور الأدوات القادرة على تحديد نقاط السيطرة هذه، تصبح المخاطر أكثر حدّة.