في سوق العملات المشفرة، تُعتبر العملات المستقرة "جسرًا" يربط بين النظام المالي التقليدي وعالم الويب 3، حيث تُعد استقرارها وأمانها أمرين بالغين الأهمية. ومع ذلك، أعادت هجوم حديث استهدف العملة المستقرة USR الخاصة بشركة Resolv تذكير العالم بأهمية أمان DeFi. في 22 مارس 2025، استغل المهاجمون ثغرة في عقد إصدار USR الخاص بـ Resolv، وأصدروا حوالي 80 مليون وحدة من الرموز غير المضمونة، وسرقوا حوالي 25 مليون دولار من ETH. أدى هذا الهجوم إلى انخفاض سعر USR في بورصة Curve إلى 0.025 دولار، ثم ارتفع السعر لاحقًا إلى حوالي 0.85 دولار، لكن ربطه بالدولار لم يُستعاد بعد. لم يُبعد هذا الهجوم العملة المستقرة USR فقط عن ربطها الذهبي، بل كشف أيضًا عن نقاط الضعف المحتملة في بروتوكولات DeFi المعقدة، وكذلك المخاطر الهائلة التي قد تنطوي عليها العملات المستقرة ذات العوائد المرتفعة في ظل فراغ تنظيمي.
أولاً: انفصال عملة Resolv المستقرة USR: قام المهاجمون بطباعة 80 مليون وحدة من الرموز غير المضمونة وسرقوا 25 مليون دولار أمريكي من ETH
وفقًا لعدة شركات أمنية بلوكشين، استغل مهاجم يوم الأحد ثغرة في عقد صك العملة المستقرة USR الخاص بـ Resolv، وأنشأ حوالي 80 مليون رمز غير مضمون، وسرق حوالي 25 مليون دولار أمريكي.
أسلوب الهجوم: بدأ الهجوم تقريبًا في الساعة 2:21 صباحًا بتوقيت عالمي منسق. اكتشف حساب X YieldsAndMore الحدث أولًا، ونشر بيانات المعاملات على Etherscan، والتي أظهرت أن المهاجم أودع 100,000 USDC في عقد USR Counter الخاص بـ Resolv، وحصل على 50 مليون USR كمقابل، أي حوالي 500 ضعف الكمية المتوقعة. بعد ذلك، قام المهاجم بطباعة 30 مليون USR إضافية من خلال معاملة ثانية.
USR ينفصل عن ربطه وينخفض بشدة: USR هي عملة مستقرة مرتبطة بالدولار، وتستخدم استراتيجية تحوط محايدة دلتا، وتدعمها ETH وBTC بدلاً من الاحتياطيات النقدية. وفقًا لبيانات DEX Screener، انخفض رمزها إلى 0.025 دولار خلال 17 دقيقة بعد أول عملية صك لها في حوض Curve Finance الأكثر سيولة. ثم ارتفع السعر مرة أخرى إلى حوالي 0.85 دولار، لكنه لم يُعِد ربطه بالدولار حتى صباح الأحد.
الأصول المسروقة: استخدم المهاجم عنوانًا يبدأ بـ 0x04A2 لتحويل الـ USR المُستَنْتَجة إلى USDC وUSDT في بورصة لامركزية، ثم حوّل العائدات إلى ETH. وفقًا لبيانات البلوكشين، حتى وقت إعداد هذا التقرير، يحتفظ عنوان محفظة المهاجم بـ 11,409 ETH، بقيمة تقارب 23.7 مليون دولار أمريكي. كما تمت معرفة عنوان محفظة آخر ينتمي إلى المهاجم ويحتوي على رموز wstUSR بقيمة حوالي 1.1 مليون دولار أمريكي.
رد Resolv Labs: أفادت Resolv Labs في بيانها حول X أن جميع وظائف البروتوكول تم تعليقها، وأن صندوق الرهن "سليم تمامًا" و"لا توجد خسائر في الأصول الأساسية". ووصف الفريق المشكلة بأنها "محدودة بآلية إصدار USR".
ثانيًا: تحليل سبب الثغرة: دور طباعة العملة ذو الصلاحيات العالية وتحكم وصول ضعيف
وجد المحللون أن العيب نشأ عن دور طباعة مميز يُتحكم فيه من قبل حسابات خارجية، ولا يخضع لأي قيود على الطباعة أو فحوصات أجهزة التنبؤ.
ضعف في التحكم في الوصول: أرجع محلل السلسلة أندرو هونغ هذه الثغرة الأمنية إلى دور SERVICE_ROLE في البروتوكول، وهو حساب مميز يستخدم لإكمال طلبات التبادل. يتم التحكم في هذا الدور بواسطة حساب خارجي قياسي (EOA)، وليس حساب متعدد التوقيع. بالإضافة إلى ذلك، يفتقر عقد السك إلى فحص المُنبئ، والتحقق من الكمية، وحدود السك القصوى.
ضعف المراجعة والرصد: حدد صندوق DeFi D2 Finance ثلاثة تفسيرات محتملة: تزوير منفذ البيانات، اختراق الموقعين خارج السلسلة، أو غياب التحقق من المبالغ بين طلب السك وتكملته. ووافق YieldsAndMore على هذا التحليل، مشيرًا إلى أن آلية إدارة بروتوكول Resolv تفتقر إلى ضمانات أمنية متناسبة مع حجمها. وقال ديدي لافيد، الرئيس التنفيذي لشركة Cyvers، لـ The Block: "الاعتماد فقط على المراجعة غير كافٍ؛ فإذا لم تراقب سك العملات وكميات العرض في الوقت الحقيقي، فأنت أعمى في اللحظة الأكثر حرجًا."
ثالثًا: يواجه حاملو USR خسائر ضخمة: تضخم العرض ونضوب السيولة
على الرغم من أن ادعاء Resolv بأن محفظة الرهن الخاصة بها "سليمة تمامًا" صحيح من الناحية التقنية، إلا أن هذا الادعاء يقلل من حجم الخسائر.
التضخم في العرض: كما أشار محللو السلسلة، فإن هذا الهجوم اتخذ شكل تضخم في العرض، وليس سرقة مباشرة للأصول المضمونة. لقد أدى إضافة 80 مليون عملة معدنية إلى تخفيف العرض الحالي، ودمرت عملية بيع المهاجمين السيولة تمامًا في حوض الضمان. أي شخص كان يحمل USR في ذلك الوقت تكبّد خسارة فورية.
أثر على سوق الإقراض DeFi: تأثير فقدان الارتباط امتد أيضًا إلى سوق الإقراض DeFi. تم قبول USR ومشتقات الرهن wstUSR كضمان من قبل منصات مثل Morpho وGauntlet. ربما قام بعض المتداولين المضاربين بشراء USR بسعر مخفض، ثم اقترضوا USDC بتقييم ثابت قدره 1 دولار، مما استنفد السيولة المستقرة في هذه الصناديق. أشارت D2 Finance إلى أن الصناديق التي تديرها Gauntlet على منصة Morpho تأثرت أيضًا.
الحصص الثانوية وسلسلة التأثيرات: قد تتأثر الحصص الثانوية لـ Resolv أيضًا بالخسائر. تعمل حاوية سيولة Resolv (RLP) كآلية تأمين تتحمل الخسائر لحماية حاملي USR، ويبلغ رأس المال المتداول فيها حوالي 38.6 مليون دولار قبل استغلال الثغرة. وفقًا لتقرير YieldsAndMore، يمتلك Stream مراكز RLP بقيمة 13.6 مليون سهم، مع تعرض صافي يبلغ حوالي 17 مليون دولار، مما يعني أن مودعيه قد يواجهون خسارة كبيرة أخرى.
انخفاض كبير في القيمة السوقية: وفقًا لبيانات CoinMarketCap، انخفضت القيمة السوقية لـ USR من حوالي 400 مليون دولار في مطلع فبراير إلى حوالي 100 مليون دولار قبل الهجوم. وأثر الهجوم على سعر رمز RESOLV الحاكم، حيث انخفض بنسبة حوالي 8.5% خلال الساعات الـ24 الماضية.
رابعًا: خلفية Resolv وشمولية هجمات الهاكرز على DeFi
تمكّن Resolv من إتمام جولة تمويل بذري بقيمة 10 ملايين دولار في أبريل 2025، بقيادة Cyber.Fund وMaven11، ومشاركة Coinbase Ventures وArrington Capital وAnimoca Ventures، مع تدريب من Delphi Labs.
المراجعة ومكافآت الثغرات: يدّعي موقع Resolv أنه أكمل 14 مراجعة لخمس شركات، ووضع خطة مكافآت ثغرات بقيمة 500,000 دولار عبر Immunefi، كما يوفر خدمة مراقبة مستمرة للعقود الذكية.
اتجاهات قراصنة DeFi: زادت هذه الحادثة من عدد هجمات قراصنة DeFi في عام 2026. كانت حادثة Resolv أحدث هجوم في سلسلة من الهجمات على العملات المشفرة في بداية عام 2026. في يناير من هذا العام، خسرت Truebit 26.6 مليون دولار بسبب استغلال قراصنة لثغرة في عقد ذكي تم نشره قبل خمس سنوات. وفي نفس الشهر، خسرت حاوية العملة المستقرة لـ Makina Finance حوالي 5 ملايين دولار بسبب استغلال قراصنة لقروض برقية للتأثير على وسائل إعلامية للبروتوكول. أظهر تقرير نشرته Immunefi الأسبوع الماضي أن الخسارة المتوسطة للهجمات على العملات المشفرة تبلغ حاليًا حوالي 25 مليون دولار، وتشكل أحداث الهجوم الخمسة الأعلى خسارة خلال عامي 2024-2025 ما نسبته 62% من جميع الأموال المسروقة.
خامساً: توقيت السياسات والتنظيم: مخاطر العملات المستقرة ذات العائد
من منظور سياسي، فإن التوقيت أيضًا مثير للاهتمام، حيث يناقش المشرعون الأمريكيون بنشاط كيفية تنظيم العملات المستقرة ذات العائد وفقًا لقانون GENIUS.
خطر فقدان الودائع المصرفية: حذرت جمعية البنوك الأمريكية من أن هذه المنتجات قد تنقل الودائع بعيدًا عن البنوك التقليدية.
التوافق التنظيمي: توصل عدد من أعضاء مجلس الشيوخ الرئيسيين إلى "اتفاق مبدئي" حول كيفية معالجة عوائد العملات المستقرة يوم الجمعة الماضي.
الخاتمة:
بعد أن قام المهاجم بطباعة 80 مليون وحدة من العملة المستقرة USR لـ Resolv دون ضمان وسرقة حوالي 25 مليون دولار، انفصلت العملة المستقرة عن ربطها بالذهب، مما أعاد تذكير العالم بأهمية أمان DeFi. لا يكشف هذا الحدث فقط عن الثغرات المحتملة في العملات المستقرة ذات العوائد المرتفعة المتعلقة بتصميم العقود المعقدة، والتحكم في الوصول، والمراجعة، بل يطرح أيضًا تحديًا جادًا لآلية الثقة في نظام DeFi بأكمله.