وفقاً لتتبّع شركات الأمن BlockAid وPeckShield، ووفقاً لمؤسسة تحليل بيانات على السلسلة Lookonchain، فقد وقعت خلال ساعات في 23 يوليو أربع هجمات متتالية تستهدف بروتوكولات تشفير، تشمل بيئة Bitcoin وEthereum، بإجمالي خسائر يتجاوز 35.00 مليون دولار. كانت أكبر الخسائر من بروتوكول المشتقات AFX Trade الخاص بـ Arbitrum؛ إذ أدى تسرب مفاتيح جسر عبر السلاسل إلى تحويل 24.00 مليون دولار.
تسرب مفتاح جسر AFX Trade عبر السلاسل
تُعد AFX Trade المبنية على Arbitrum أسوأ حالة خسائر ضمن الهجمات الأربع. ووفقاً لاكتشافات شركة الأمن BlockAid، حصل المهاجمون على المفتاح الخاص لجسر البروتوكول عبر السلاسل، ما مكنهم من تحويل أصول بقيمة نحو 24.00 مليون دولار.
بمجرد سرقة المفتاح الخاص، يصبح المهاجمون بحكم من يمسكون بمفاتيح الخزنة مباشرة، بحيث لا يمكن للمستخدمين اعتراض تحويل الأموال في الوقت الفعلي تقريباً. ولا يُعد تسرب المفتاح الخاص لجسر عبر السلاسل أمراً جديداً: ففي شهر مايو من هذا العام، تعرضت Stake DAO لهجوم بعد تسرب المفتاح الخاص للمُنشئ، حيث قام المهاجمون على Arbitrum بإصدار 5.4 تريليون قطعة vsdCRV، وهو ما كشف كذلك هشاشة إدارة مفاتيح “الخزنة” ضمن البنية الأساسية للجسور عبر السلاسل.
ثغرة منطق الربط في Verus استُغلت مجدداً
سجل بروتوكول جسر عبر السلاسل لـ Ethereum Verus خسارة بنحو 7.54 مليون دولار، حيث استغل المهاجمون ثغرة منطقية في مسار إدخال الربط عبر الجسر، ما أدى إلى قيام النظام بدفع أصول غير مدعومة فعلياً برهونات؛ وشملت الرموز المسروقة ETH وtBTC وUSDC وUSDT وEURC وMKR وscrvUSD.
هذه هي المرة الثانية التي يتم فيها استغلال النوع نفسه من الثغرة: في شهر مايو أيضاً، خسرت Verus نحو 11.50 مليون دولار بسبب عيب تعاقدي مماثل. وبعد إعادة إيداع الأموال في 8 يوليو، تعرضت بعد نحو أسبوعين مرة أخرى لعمليات سحب حتى الفراغ في 23 يوليو، ما يشير إلى أن الثغرة الأصلية لم تُعالج أبداً.
هجوم في نفس اليوم على B² Network وBalance
تتلخص الهجمات الأربع في 23 يوليو فيما يلي:
AFX Trade（Arbitrum）：خسارة تقارب 24.00 مليون دولار؛ تسرب مفتاح جسر عبر السلاسل الخاص؛ كشف BlockAid
Verus（Ethereum）：خسارة تقارب 7.54 مليون دولار؛ ثغرة منطقية في الربط (نفس ثغرة مايو)؛ سرقة ETH وtBTC وUSDC وUSDT وغيرها
B² Network（طبقة ثانية على Bitcoin）：خسارة تقارب 3.86 مليون دولار؛ تعرض صلاحية ترقية العقود للهجوم؛ تم تحويل رموز B2 إلى ETH والـعملات المستقرة؛ أوقف البروتوكول ميزة “الاستيكينغ” وتعهد بتعويض كامل؛ تتبع Lookonchain
Balance：خسارة تقارب 1.00 مليون دولار؛ تم سحب “خزنة Bitcoin” بالكامل؛ انهيار سعر العملة المستقرة التي يصدرها البروتوكول بنحو 99%
الأسئلة الشائعة
ما هي بروتوكولات/بروتوكولات التشفير المستهدفة في هجمات 23 يوليو، وما مقدار الخسائر لكل منها؟
وفقاً لتتبّع BlockAid وPeckShield وLookonchain، اشتملت الهجمات الأربع على: AFX Trade (خسارة تقارب 24.00 مليون دولار، تسرب مفتاح جسر عبر السلاسل)، وVerus (خسارة تقارب 7.54 مليون دولار، ثغرة منطقية في الربط)، وB² Network (خسارة تقارب 3.86 مليون دولار، الهجوم على صلاحية ترقية العقود)، وBalance (خسارة تقارب 1.00 مليون دولار، سحب خزنة Bitcoin بالكامل)؛ وبذلك تجاوز إجمالي الخسائر 35.00 مليون دولار.
لماذا تم استغلال نفس الثغرة في Verus مرتين؟
في شهر مايو من هذا العام، خسرت Verus نحو 11.50 مليون دولار بسبب ثغرة منطقية في مسار إدخال الربط عبر الجسر؛ وبعد إعادة إيداع الأموال في 8 يوليو، لم تتم معالجة الثغرة الأصلية، ما أدى إلى إعادة استهدافها بعد نحو أسبوعين في 23 يوليو، بخسارة تقارب 7.54 مليون دولار.
ما التعهدات التي قدمتها B² Network للمستخدمين المتضررين؟
وفقاً للتقرير، أوقفت B² Network ميزة الاستيكينغ بعد وقوع الهجوم، وتعهدت بتعويض كامل للمستخدمين المتأثرين؛ وتُعد تفاصيل خطة التعويض خاضعة للإعلان الرسمي من B² Network.
