جسور التشفير وبروتوكولات السلاسل المتقاطعة تمر بيوم صعب.
تم تفريغ ثلاثة على الأقل بشكل متتالٍ خلال فترة ست ساعات بمجموع إجمالي يتجاوز 35 مليون دولار، وفقًا لبيانات البلوكشين التي قيمتها CoinDesk وأبلغ عنها شركتا الأمن BlockAid وPeckshield.
سلسلة الهجمات هذه تشترك في خيط مشترك. لم تكسر أي منها التشفير الأساسي — كانت كلها إما عيبًا منطقيًا، حيث تم تشغيل الكود كما هو مكتوب لكن القواعد ما زالت تسمح بخروج الأموال، أو مفتاحًا مخترقًا منح المهاجم تحكمًا لم يكن ينبغي له أن يمتلكه أبدًا.
الأكثر إدانة كان شبكة البلوكشين Verus. كشف Blockaid عن استغلال في جسر Verus-Ethereum في وقت مبكر من يوم الخميس، مما أدى إلى سرقة حوالي 7.54 مليون دولار من الإيثير، والبيتكوين المُرمز، ومجموعة من العملات المستقرة.
🚨 كشف Blockaid عن استغلال جسر @VerusCoin على Ethereum.
استخدم المهاجم مسار استيراد الجسر لتفعيل مدفوعات على جانب Ethereum غير مدعومة، مما أدى إلى سرقة حوالي 7.54 مليون دولار من ETH وtBTC وUSDC وUSDT وEURC وMKR وscrvUSD من احتياطيات الجسر.
مزيد من التفاصيل في 🧵
أشارت الشركة إلى أن الهجوم استخدم نفس عقد الجسر ومسار الدخول كما في اختراق سابق، مستغلاً فئة نفس الثغرة. وأبلغت CoinDesk عن الحادث السابق، خسارة قدرها 11.5 مليون دولار، في مايو.
الجسر هو أداة قائمة على البلوك تشين تسمح بنقل الأصول بين شبكتين لا يمكنهما التفاعل مع بعضهما البعض بشكل طبيعي. فهو يحتفظ بالعملات المعدنية الحقيقية من جانب، ويعتمد على مطالبات ضدها من الجانب الآخر، ويعتمد أمانه بالكامل على التحقق الصحيح من أن كل سحب يتم دعمه فعليًا بأصول مغلقة على السلسلة الأخرى.
أدى الخلل في Verus إلى تمكين المهاجم من تفعيل مدفوعات على جانب Ethereum لم تُدعم بشكل صحيح على جانب Verus، لذا أطلق الجسر أموالًا حقيقية مقابل مطالبة تساوي تقريبًا شيئًا لا يُذكر.
عاد المهاجم وأعاد معظم الأموال مقابل مكافأة بعد الهجوم في مايو. ثم أعاد فيرس إيداع الأموال المستردة في نفس الجسر في 8 يوليو، وفقًا لـ سجلات على السلسلة جمعها باحثو الأمن، وتم تفريغ الجسر مرة أخرى بعد أسبوعين.
تكلفة هذا الثقة ظاهرة في أرقام البروتوكول نفسه. كان لدى فيرس ما يقارب 100 مليون دولار من إجمالي القيمة المغلقة في بداية عام 2025، وفقًا لـ DefiLlama. يحتفظ حاليًا بحوالي 9 ملايين دولار حتى يوم الخميس، مع انخفاض بطيء تخلله انخفاض جديد هذا الأسبوع مع وقوع أحدث عملية اختراق.
لا تؤدي هذه الفشلات المتكررة إلى خسارة الأموال المسروقة في أي هجوم واحد فحسب، بل تُستنزف الثقة التي تجعل الأصول موجودة على المنصة أصلاً.
تم تأكيد هجوم آخر على B² Network، وهو شبكة توسعة مصممة لجعل معاملات البيتكوين أرخص وأسرع.
قال B² في ساعات الصباح الآسيوية يوم الخميس إن مهاجمًا حصل على وصول غير مصرح به إلى سلطة الترقية لعقد رهن رمزه، وهي الصلاحية الإدارية التي تتحكم في كيفية عمل هذا العقد.
شركة الأمن Lookonchain تتبعت حوالي 3.86 مليون دولار من رموز B2 تم بيعها وتحويلها إلى إيثير وعملات مستقرة ثم نقلها. وقالت B² إنها احتوت الحادث، وعلقت التخزين، وستعوض المستخدمين المتأثرين بالكامل.
العقد الذكي آمن فقط قدر الأمان الذي توفره المفاتيح والصلاحيات التي تتحكم فيه. إذا استولى المهاجم على السلطة لتغيير طريقة عمل العقد، فلا حاجة لوجود ثغرة في الكود، لأن المهاجم يمكنه ببساطة إعادة كتابة القواعد أو سحب الأموال مباشرة.
هذه هي حالة الفشل وراء أكبر عمليات السرقة في تاريخ التشفير، من اختراقات جسر Wormhole وNomad في عام 2022 إلى خسارة KelpDAO البالغة حوالي 290 مليون دولار في وقت سابق من هذا العام.
ومن المقرر أن يصبح الدفاع أكثر صعوبة. في تحليل نُشر هذا الأسبوع، كشفت OpenAI أنه خلال تقييم داخلي، تجاوزت نماذج الذكاء الاصطناعي الخاصة بها بيئة الاختبار وقامت باختراق خوادم Hugging Face، باستخدام بيانات اعتماد مسروقة وثغرات برمجية غير معروفة سابقًا للقيام بذلك.
تم خفض حدود الأمان الخاصة بالنماذج من أجل الاختبار، لذا لم يكن هذا نظامًا يتصرف بشكل مستقل. لكنه كان تجسيدًا ملموسًا على أن الذكاء الاصطناعي يمكنه الآن تنفيذ عمل الاختراق المتعدد الخطوات والصبور الذي كان يتطلب سابقًا فريقًا بشريًا ماهرًا.
في معظم الصناعات، يعني الاختراق استجابة للحادث، وفي النهاية، الاسترداد. في عالم التشفير، حيث أن العقد المفرغ نهائي ولا توجد إمكانية لإلغاء الدفع، فإن نفس القدرة تشير إلى تهديد لا يوجد زر للعودة عنه.
في فترة زمنية مدتها 24 ساعة، تم تفريغ أربع فرق — Verus و B² و AFX و Balance — لنفس السبب الأساسي. لم يُستهدف أي منها بسبب شفرة معطوبة. فقد كل منها وسيطًا موثوقًا، والأدوات لاكتشاف هذه الوسائط تصبح أكثر دقة فقط.