ملخص:
- قام مهاجم بإنشاء 5.44 تريليون من رموز العائد vsdCRV بشكل غير قانوني على شبكة Arbitrum للتوسع.
- وأكدت شركات أمن البلوكشين التحويل الأولي للأموال إلى إيثريوم بقيمة مقدرة قدرها 43.78 ETH.
- يعزى الحادث الفني إلى التسريب المباشر لمفتاح خاص لـ Stake DAO، مما يستبعد وجود عيوب في العقد الذكي.
تم استهداف بنية نظام التمويل اللامركزي Stake DAO. خلال جلسة الأربعاء، تم اكتشاف إصدار غير مصرح به لـ 5.4 تريليون من عملات vsdCRV على شبكة Arbitrum. تأكّد الحادث من قبل فريق تطوير البروتوكول عبر قنواته الرسمية؛ كما حثّ المستخدمين على تجنب أي نوع من التفاعل مع الأصل المتأثر.
أصل الحادث على جسور Arbitrum
كشفت التقارير الفنية من شركة الأمن Blockaid أن العنوان المرتبط بالهجوم السيبراني بدأ تبديل كمية كبيرة من رمز vsdCRV إلى العملة المشفرة إيثيريوم (ETH). وكشف التحليل على السلسلة من PeckShield أن المهاجم نجح في تحويل جزء من الأصول المطبوعة إلى 43.78 ETH، ما يعادل حوالي 91,000 دولار، والتي تم إرسالها لاحقًا إلى Ethereum الرئيسي عبر جسور لامركزية.
كشف Blockaid عن استغلال جارٍ يستهدف @StakeDAOHQ على Arbitrum.
المهاجم قام للتو بطباعة أكثر من 5.4 تريليون vsdCRV وهو يتبادلها بنشاط مقابل ETH.
مزيد من التفاصيل في
— Blockaid (@blockaid_) May 27, 2026
يعمل أصل vsdCRV داخل المنصة كرمز مشتق للعائد مرتبط مباشرة بنظام سيولة Curve Finance. تشير التقارير من شركة التدقيق BlockSec إلى أن متجه الهجوم لم ينشأ من ثغرة في كود الحسابات الذكية. تشير التحقيقات الأولية من BlockSec إلى أن المهاجم حصل على وصول مباشر إلى المفتاح الخاص لمُنشئ Stake DAO على Arbitrum.
من خلال التحكم في هذه الصلاحية الحصرية، عدّل المهاجم تكوين جسر متعدد السلاسل لربط عقد ضار تحت سيطرته المباشرة على شبكة Ethereum. وقال شاليف كيرين، المؤسس المشارك لشركة الأمن Sodot، إن العقد الضار أرسل رسالة تحقق باستخدام تقنية التوافقية الخاصة بـ LayerZero. وقد خدع هذا الإجراء النظام الأساسي وأدى إلى طباعة غير مشروطة لـ 5.44 تريليون vsdCRV إلى عنوان محفظة المهاجم.
ثغرات هيكلية في قطاع DeFi
يحدث هذا الاستغلال الجديد في ربع يُميزه زيادة كبيرة في الهجمات المستهدفة لبروتوكولات DeFi. تشير تقديرات قطاع الأمن السيبراني إلى أن الخسائر التراكمية الناتجة عن الاستغلالات تتجاوز 600 مليون دولار منذ أبريل 2026، وهي ظاهرة يربطها المحللون باستخدام المهاجمين لأدوات ذكاء اصطناعي متقدمة.
غياب نظام التوقيع المتعدد (multisig) أو آلية التأخير الزمني (timelock) سمح بتنفيذ الاستغلال فورًا. تُظهر البيانات من Sodot أن عشرين ثانية فقط مرّت بين تعديل التكوين ذي الصلاحيات الخاصة وطباعة الأموال على البلوكشين. هذا النمط التشغيلي يشبه من حيث البنية الهجوم الذي تعرض له بروتوكول Wasabi الشهر الماضي.
فريق Stake DAO يُعلق مؤقتًا عمليات الطباعة بينما ينسق مع مزودي البنية التحتية وشركات تحليل البلوكشين الجنائية لتتبع حركة الأموال المتبقية. من المتوقع نشر العقد المُصلح على Arbitrum بمجرد الانتهاء من إلغاء كامل وظائف المفتاح المخترق.