تم سرقة حوالي 815,000 دولار من TokenBridge الخاص بـ Alephium (ALPH) بعد أن استغل المهاجم ثغرة سمحت للرسائل المزورة بالمرور عبر شبكة الحارس الخاصة بالبروتوكول وتأشيرة تحويلات رموز احتيالية.
أكد فريق Alephium أن شركة أمن البلوكشين Blockaid كانت أول من اكتشف الاستغلال. كما قدمت وحدة الاستجابة للطوارئ SEAL_911 التابعة للتحالف الأمني المساعدة والاستجابة طوال التحقيق اللاحق.
استغلال يسرق 815,000 دولار في أقل من 7 دقائق
نقل المهاجم الأموال من جسر رموز Alephium على كل من Ethereum وBNB Chain في حوالي سبع دقائق. على Ethereum، شملت الخسائر 200,967 تيثر (USDT)، و17,594 عملة USD Coin (USDC)، و5.18 إيثريوم مغلفة (WETH)، و0.335 بيتكوين مغلفة (WBTC).
تم إزالة 36,750 USDT إضافية و24.386 Wrapped BNB من جانب سلسلة BNB للجسر. كما قام المهاجم بطباعة 13.76 مليون من Wrapped ALPH غير المدعومة ونقلها مباشرة إلى محفظته.
أوقفت Alephium الجسر وأعلنت أنها تستكشف جميع الخيارات لتعويض المستخدمين المتأثرين.
يُضيف الحادث إلى صورة متفاقمة للبنية التحتية عبر السلاسل في عام 2026. خسائر الاختراقات في أبريل وصلت إلى 606 ملايين دولار، واستمرت خسائر اختراقات DeFi في مايو في الارتفاع باتجاه يونيو.
ساهم استغلال جسر CrossCurve واستغلال Hyperbridge، كلاهما مُعدّل إلى 2.5 مليون دولار، في المجموع الكلي للسنة.
رسائل مزورة، وليس مفاتيح مسروقة
قام المطورون ببناء Alephium TokenBridge على فرع من بروتوكول Wormhole، الذي يعتمد على شبكة حراس للتحقق من الرسائل عبر السلاسل. يجب أن يوافق أغلبية من الحراس على أي تحويل، مما يجعل القدرة على إدخال رسائل احتيالية ثغرة ذات تأثير كبير.
أشارت التقارير الأولية إلى أن الاختراق نتج عن اختراق مفاتيح الحارس الخاصة، مما أثار مقارنات مع اختراق مفتاح Gravity Bridge الذي تسبب في خسارة 5.4 مليون دولار في وقت سابق من عام 2026. وتنقض تحديث أليفيوم بعد الحادث هذا التفسير.
لا يبدو أن الاستغلال تضمن اختراق المفاتيح الخاصة للحراس. بدلاً من ذلك، يبدو أنه تضمن استغلالًا سمح بمشاهدة وتوقيع أحداث/رسائل ضارة مزورة من قبل الحراس،" يقول Alephium
الفرق مهم. نقطة تنازل رئيسية تؤدي إلى فشل تشغيلي، بينما يشير هجوم رسالة مزورة إلى عيب في كيفية التحقق من البيانات الواردة قبل عرضها على الحراس.
ظهر ديناميكية مشابهة في استغلال جسر Polkadot، حيث قام المهاجم بتأكيد المعاملات بشكل احتيالي وطباعة رموز غير مدعومة. وقالت Alephium إن تقريرًا تقنيًا شاملاً من فريقها سيُنشر قريبًا.