بعد استبدال 200 ألف عملة بما يقارب 100 مليون، تواجه العملات المستقرة في مجال التمويل اللامركزي هجومًا آخر
بقلم: إريك، فورسايت نيوز
في حوالي الساعة 10:21 بتوقيت بكين اليوم، تعرضت شركة Resolv Labs، التي تصدر العملة المستقرة USR باستخدام استراتيجية دلتا المحايدة، للاختراق. قام عنوان يبدأ بـ 0x04A2 بسك 50 مليون USR من بروتوكول Resolv Labs باستخدام 100,000 USDC.
مع انكشاف الحادث، انخفض سعر USR إلى حوالي 0.25 دولار، وحتى وقت كتابة هذا التقرير، فقد انتعش إلى حوالي 0.8 دولار. كما شهد سعر رمز RESOLV انخفاضاً مؤقتاً بنسبة تقارب 10%.
بعد ذلك، قام المخترق بتكرار الطريقة وسك 30 مليون USR مرة أخرى باستخدام 100000 USDC. مع الانفصال الكبير لـ USR، تحرك تجار المراجحة بسرعة، وتم إفراغ العديد من أسواق الإقراض على Morpho التي تدعم USR و wstUSR وأنواع الضمانات الأخرى تقريبًا، في حين قامت Lista DAO على سلسلة BNB أيضًا بتعليق طلبات القروض الجديدة.
ولا يقتصر التأثير على بروتوكولات الإقراض هذه. في تصميم بروتوكول Resolv Labs، يمكن للمستخدمين أيضًا سك رمز RLP أكثر تقلبًا وأعلى عائدًا، لكنهم بحاجة إلى تحمل مسؤوليات التعويض عندما يتكبد البروتوكول خسائر. يبلغ حجم التداول الحالي لرموز RLP ما يقرب من 30 مليون رمز، حيث تمتلك شركة Stream Finance، وهي أكبر مالك، أكثر من 13 مليون رمز RLP، مما ينتج عنه تعرض صافي للمخاطر يبلغ حوالي 17 مليون دولار.
في الواقع، قد تتعرض شركة ستريم فاينانس، التي عانت سابقاً بسبب حادثة xUSD، لضربة أخرى.
حتى وقت كتابة هذا التقرير، قام المخترق بتحويل عملة USR إلى USDC وUSDT ويواصل شراء الإيثيريوم، حيث اشترى بالفعل أكثر من 10000. بفضل 200,000 USDC، تمكنوا من استخراج أكثر من 20 مليون دولار من الأصول، ليجدوا "عملتهم ذات المئة ضعف" خلال السوق الهابطة.
استغلال آخر بسبب "انعدام الدقة"
تسبب الانخفاض الحاد في 11 أكتوبر من العام الماضي في تكبد العديد من العملات المستقرة التي تم إصدارها باستخدام استراتيجيات دلتا المحايدة خسائر في الضمانات بسبب ADL (التخفيض التلقائي للرافعة المالية). بعض المشاريع التي نفذت استراتيجيات باستخدام العملات البديلة عانت من خسائر أكبر أو أفلست بشكل مباشر.
أصدرت شركة Resolv Labs التي تعرضت للهجوم أيضًا USR باستخدام آلية مماثلة. أعلن المشروع في أبريل 2025 أنه أكمل جولة تمويل أولية بقيمة 10 ملايين دولار بقيادة Cyber.Fund و Maven11، بمشاركة من Coinbase Ventures، وأطلق رمز RESOLV في أواخر مايو إلى أوائل يونيو.
ومع ذلك، فإن سبب تعرض شركة Resolv Labs للهجوم لم يكن بسبب ظروف السوق المتطرفة، بل بسبب "عدم الدقة" في تصميم آلية سك العملات USR.
حالياً، لم تقم أي شركة أمنية أو مسؤول بتحليل أسباب حادثة القرصنة هذه. خلص مجتمع التمويل اللامركزي YAM مبدئيًا من خلال التحليل إلى أن الهجوم كان على الأرجح بسبب تحكم المتسلل في SERVICE_ROLE الذي يستخدمه النظام الخلفي للبروتوكول لتوفير معلمات لعقد سك العملة.
وفقًا لتحليل Grok، عندما يقوم المستخدمون بسك عملة USR، فإنهم يبدأون طلبًا على سلسلة الكتل ويستدعون وظيفة requestMint الخاصة بالعقد، مع معلمات تتضمن ما يلي:
_depositTokenAddress: عنوان الرمز المميز المودع؛
المبلغ: المبلغ المودع؛
_minMintAmount: الحد الأدنى المتوقع من مبلغ USR الذي سيتم استلامه (لمنع الانزلاق).
بعد ذلك، يقوم المستخدمون بإيداع USDC أو USDT في العقد، ويقوم دور الخدمة الخلفي للمشروع بمراقبة الطلب، باستخدام أوراكل بايث للتحقق من قيمة الأصول المودعة، ثم يستدعي وظيفة completeMint أو completeSwap لتحديد المبلغ الفعلي من USR الذي تم سكه.
تكمن المشكلة في حقيقة أن عقد سك العملة يثق تمامًا في _mintAmount المقدم من SERVICE_ROLE، معتقدًا أن هذا الرقم قد تم التحقق منه خارج السلسلة بواسطة Pyth، وبالتالي لم يتم تحديد حد أعلى، ولم يكن هناك أي تحقق من أوراكل على السلسلة، حيث يتم تنفيذ mint(_mintAmount) مباشرة.
وبناءً على ذلك، يشتبه YAM في أن المتسلل قد سيطر على SERVICE_ROLE الذي كان ينبغي أن يتحكم فيه فريق المشروع (ربما بسبب فشل داخلي في أوراكل، أو تواطؤ، أو سرقة مفتاح)، وقام بتعيين _mintAmount مباشرة إلى 50 مليون أثناء عملية السك، مما أدى إلى تحقيق حدث الهجوم المتمثل في سك 50 مليون USR مع 100000 USDC.
في النهاية، خلص غروك إلى أن ريزولف لم يأخذ في الاعتبار إمكانية تحكم المتسللين في العنوان (أو العقد) المستخدم لتلقي طلبات سك العملات من قبل المستخدمين عند تصميم البروتوكول. عندما تم تقديم طلب سك USR إلى العقد الذي يقوم في النهاية بسك USR، لم يتم تحديد حد أقصى لمبلغ السك، ولم يكن هناك تحقق ثانوي باستخدام وسيط على السلسلة، مع الاعتماد مباشرة على جميع المعلمات التي يوفرها SERVICE_ROLE.
كما كانت تدابير الوقاية غير كافية.
بالإضافة إلى التكهن بأسباب الاختراق، أشار YAM أيضًا إلى عدم كفاية استعداد المشروع للاستجابة للأزمات.
صرح YAM على X أن Resolv Labs أوقفت البروتوكول لمدة ثلاث ساعات فقط بعد الهجوم الأول للمخترق، وجاءت ساعة واحدة تقريبًا من هذا التأخير بسبب الحاجة إلى جمع أربعة توقيعات للمعاملة متعددة التوقيعات. يعتقد YAM أن الإيقاف الطارئ يجب أن يتطلب توقيعًا واحدًا فقط، وأن السلطة يجب توزيعها قدر الإمكان على أعضاء الفريق أو المشغلين الخارجيين الموثوق بهم، مما سيزيد من الوعي بالشذوذات على السلسلة، ويحسن احتمالية الإيقاف السريع، ويغطي المناطق الزمنية المختلفة بشكل أفضل.
في حين أن الاقتراح القائل بأن توقيعًا واحدًا يمكن أن يوقف البروتوكول هو اقتراح جذري إلى حد ما، فإن اشتراط توقيعات متعددة عبر مناطق زمنية مختلفة لإيقاف البروتوكول يمكن أن يؤدي بالفعل إلى تأخير أمور مهمة في حالات الطوارئ. إن إدخال أطراف ثالثة موثوقة تراقب باستمرار السلوك على السلسلة أو استخدام أدوات مراقبة تتمتع بسلطة بروتوكول الإيقاف الطارئ هي دروس مستفادة من هذا الحادث.
لم تعد هجمات المتسللين على بروتوكولات التمويل اللامركزي تقتصر على ثغرات العقود. إن الحادثة التي تورطت فيها شركة Resolv Labs بمثابة تحذير لفرق المشاريع: يجب ألا تثق الافتراضات المتعلقة بأمان البروتوكول في أي رابط واحد، ويجب أن تخضع جميع العمليات المتعلقة بالمعلمات على الأقل للتحقق الثانوي، بما في ذلك تلك التي يديرها فريق المشروع نفسه.
قد يعجبك أيضاً

المتداولون المتشائمون يواصلون بيع البيتكوين على المكشوف | تحديث صباحي من Rewire News

هل سيصل مؤشر ناسداك إلى مستوى قياسي جديد، وهل عاد السوق الصاعد؟

«جولدمان ساكس» تتقدم بطلب لإصدار صندوق استثمار متداول في البيتكوين، وسقوط آخر معقل لـ«وول ستريت»

هل تعمل ساعتين فقط في اليوم؟ أنجز مهندس جوجل هذا عمله باستخدام كلود في 80% منه

تفسير تقرير ستانفورد عن الذكاء الاصطناعي المكون من 423 صفحة: تقلصت الفجوة بين الولايات المتحدة والصين إلى 2.7%، ودخلت شركة ديب سيك التابعة لجامعة تسينغهوا قائمة أفضل عشر شركات عالمية في مجال تحليل البيانات.

<div class="json-object" data-json-path="data.attributes">

كيف يمكن إعادة تشكيل منطق المعاملات على السلسلة؟ استكشاف صعود طبقات تنفيذ العملات المستقرة

أخبار الصباح | حصلت منصة كراكن على استثمار بقيمة 200 مليون دولار من بورصة دويتشه؛ وقدمت غولدمان ساكس طلبًا للحصول على ترخيص صندوق استثمار متداول للدخل المميز من البيتكوين؛ وكشف والش عن حيازاته من العملات المشفرة

لماذا تفشل عملات الميم المدعومة بالذكاء الاصطناعي في اختبار الواقع؟
من مكاسب بنسبة 90000% إلى انهيار بنسبة 98% - اكتشف لماذا تنفجر فقاعة الذكاء الاصطناعي وماذا يعني التحول إلى "منفعة الذكاء الاصطناعي" لمحفظتك الاستثمارية.

التراخيص في هونغ كونغ، والتغيرات في مشهد العملات المستقرة: من الذي يعيد تشكيل الجيل القادم من المشهد المالي؟

IOSG: تاو يشبه إيلون ماسك الذي استثمر في أوبن إيه آي، وساب نت يشبه سام ألتمان

معركة ترخيص العملات المستقرة تنتهي: هونغ كونغ المليئة بالقلق، لن تنتظر tether التالي

يمكنك استيعاب مجال جديد في نصف ساعة، فكيف يمكنك إنشاء إطار معرفي بسرعة باستخدام الذكاء الاصطناعي؟

أحدث الأبحاث الصادرة عن شركة فرانكلين تمبلتون: كيفية فهم عملية تحويل الأصول الحقيقية إلى توكنات

إسبانيول ضد برشلونة: ديربي اتسم بالحماس والجودة
شهدت مباراة الديربي بين إسبانيول وبرشلونة مباراة عالية الإثارة حيث فاز برشلونة بنتيجة 4-1، ليتقدم بفارق تسع نقاط في صدارة الدوري الإسباني. أداء لامين يامال الرائع، وثنائية فيران توريس، ومنافسة شرسة بين مدينتين في أبهى صورها. WEEX، الشريك الإقليمي الرسمي لرابطة الدوري الإسباني لكرة القدم (LALIGA) في هونغ كونغ وتايوان، يحتفل باللعبة الجميلة.

أعلنت شركة DeAgentAI عن تأسيس صندوق AIA البيئي، الذي يركز على مسار "الذكاء الاصطناعي الوكيل + الذكاء الاصطناعي المادي".

لماذا ارتفعت العملات المشفرة؟ العملات البديلة تتقدم بعد الاتفاق الكبير في الولايات المتحدة
الاتفاق الكبير في الولايات المتحدة يشكل دافعا رئيسيا لارتفاع أسعار العملات المشفرة. ارتفاع في تدفقات مؤسسة الأثير يتزامن…

مزحة “جسر بولكادوت” ليوم كذبة أبريل تتحول إلى حقيقة مع سكّ أكثر من 1 مليار رمز DOT مزيف على إيثريوم
تمت عملية اختراق لجسر “هايبر بريدج”، مما أدى إلى سك 1 مليار رمز DOT مزيف على شبكة إيثريوم.…
