استولى مهاجم على $10 مليون من العملات الرقمية من Poly Network – إليك التفاصيل

استغل هاكر محترف بنية Poly Network في حادثة حديثة، حيث تمكن من سحب ما يقارب 10 مليون $ من ETH، بحسب ما أفادت به شركة Beosin للأمن السيبراني. ويُعد هذا الهجوم تحديًا بارزًا جديدًا لأمن الجسور العابرة للسلاسل داخل نظام التمويل اللامركزي.

وأكدت Poly Network عبر منصاتها في أوائل يوليو أنها وقعت ضحية لهجوم استغلال في التمويل اللامركزي (DeFi)، حيث مكّن الخلل المهاجم من سك عملات مشفرة بقيمة بلغت 34 مليار $. وقد كشف حجم هذا الاستغلال عن مخاطر أمنية جوهرية في بروتوكولات الجسور العابرة للسلاسل.

وتُعد Poly Network جسرًا عابرًا للسلاسل يسهّل الانتقال السلس للأصول بين شبكات البلوكشين المختلفة، وأعلنت الشركة تعليق خدماتها مؤقتًا فور اكتشاف الخرق حفاظًا على أصول المستخدمين ومنع مزيد من الاستغلال.

وكشف فريق تطوير الشبكة أن آلية الهجوم سمحت للمخترق بسك 57 رمزًا عبر 10 شبكات بلوكشين مختلفة، شملت منصات كبرى مثل Ethereum، BNB Chain، Metis، Polygon، Avalanche، Heco، وغيرها. ويبرز هذا الانتشار المعقد مدى تطور الهجوم وترابط نقاط الضعف في البنية العابرة للسلاسل.

عقب الاستغلال، وصل رصيد محفظة المهاجم إلى أكثر من 42 مليار $ من الرموز. ومع ذلك، تبيّن أن تصريف هذه الأصول المسكوكة بشكل مصطنع إلى سيولة حقيقية أكثر تعقيدًا من تنفيذ الاختراق نفسه.

ورغم القيمة الاسمية الضخمة للأصول المسروقة، واجه المهاجم صعوبات كبيرة في محاولة سحب كل هذه الرموز. وشملت العراقيل نقص السيولة في البورصات اللامركزية وإجراءات الأمان التي فرضتها شبكات البلوكشين والمنصات المركزية المتضررة. هذا الواقع يُجسد جانبًا مهمًا في أمن التمويل اللامركزي: إذ إن توليد رموز مصطنعة بالثغرات لا يكفي لتحقيق قيمة حقيقية دون تجاوز طبقات الأمان وحدود السوق.

ما سبب الاختراق؟

بحسب تحليلات أجراها خبراء Beosin وDedaub، فإن الخرق الأمني الذي تعرضت له Poly Network يُرجح أنه نجم عن سرقة المفاتيح الخاصة للعقد الذكي الرئيسي للمنصة. ويمثل ذلك كشفًا جوهريًا لطبيعة الثغرة الأمنية.

وأشار المحللون إلى أن الاستغلال لم يكن نتيجة خلل في منطق أو كود العقد الذكي، بل تمثل في استهداف آليات المصادقة والتفويض، ما جعله هجومًا جوهريًا في البنية وليس ثغرة برمجية تقليدية.

ووفقًا لشركة الأمن السيبراني، تم اختراق المفاتيح الخاصة لثلاث من أصل أربع محافظ إدارية تدير العقد الذكي الرئيسي للشبكة، وهو ما يُعد تهديدًا خطيرًا إذ يسمح بتجاوز الضوابط الأمنية للعقد الذكي باستخدام بيانات اعتماد إدارية أصلية. وعند اختراق أغلبية المفاتيح الإدارية، يتمكن المهاجم من تنفيذ أوامر تتطلب عادة إجماع المديرين.

وتُعتمد آلية توقيع متعدد (multi-signature) في Poly Network لمنع نقطة الفشل الأحادية، لكن عند اختراق معظم المفاتيح في آن واحد تنهار المنظومة الأمنية. وتسلط هذه الواقعة الضوء على الأهمية القصوى لإدارة المفاتيح في بنية البلوكشين.

حتى لحظة إعداد التقرير، لم تصدر Poly Network توضيحًا رسميًا أو تؤكد نتائج التقارير الأمنية. ويُعد غياب الشفافية الفورية أمرًا معتادًا في مثل هذه التحقيقات حيث تسعى الفرق لفهم مسار الهجوم ومنع تكراره.

وأعلن فريق التطوير للشبكة أنه يتعاون مع منصات التداول المركزية والجهات الأمنية لتعقب الفاعل واسترجاع الأموال. شمل ذلك تحليلات جنائية للبلوكشين، وتتبع المعاملات، وأساليب تحقيق تقليدية. وتم تعليق الخدمات مؤقتًا كإجراء وقائي لحماية المستخدمين أثناء التحقيق.

طمأن الرئيس التنفيذي لمنصة تداول كبرى العملاء بأن هذا الاختراق لم يؤثر على مستخدمي منصته، موضحًا أن منصتهم لا تدعم الإيداع من هذه الشبكة تحديدًا، ما عزل المستخدمين عن مخاطر الهجوم. يؤكد هذا أهمية التكامل الانتقائي وإدارة المخاطر في منصات تداول العملات الرقمية.

وأصدرت الشبكة المخترقة إرشادات عاجلة للمشاريع المتضررة لسحب السيولة من البورصات اللامركزية كخطوة وقائية. كما طُلب من المستخدمين الذين يحتفظون بالأصول المتأثرة فتحها واسترجاع رموز مجمع السيولة المرتبطة بها لتقليل الخسائر ومنع المهاجم من الوصول لمزيد من السيولة.

وفي نداء مباشر، دعا الفريق القراصنة لإعادة الأموال المسروقة تفاديًا للعواقب القانونية، وهو إجراء شائع في عالم العملات الرقمية ونجح أحيانًا في استعادة الأصول حين يواجه المهاجمون خطر الملاحقة.

ثغرة رئيسية ثانية في Poly Network

يُعد هذا الهجوم ثاني استغلال كبير يستهدف Poly Network في السنوات الأخيرة، ما يثير علامات استفهام كبرى حول منظومة الأمان في المنصة والتحديات التي تواجه بروتوكولات الجسور العابرة للسلاسل.

في واقعة سابقة، استغل قراصنة ثغرة في بنية الشبكة لسرقة قرابة 611 مليون $ من العملات الرقمية، في أحد أكبر الاختراقات في تاريخ العملات المشفرة من حيث القيمة والتعقيد التقني.

واللافت أن القراصنة أعادوا تقريبًا كل الأصول خلال يومين فقط من الهجوم، ما أثار جدلًا واسعًا حول دوافعهم، بين عروض "القبعة البيضاء" ومخاوف من الملاحقة القانونية أو صعوبة غسل هذه الأصول الضخمة.

وأفادت تقارير أمنية أن تسريب مفتاح خاص يُستخدم لتوقيع رسائل عبر السلاسل كان سبب الاستغلال، ما يشير إلى أن إشكالية إدارة المفاتيح لا تزال قائمة لدى المنصة.

وتكرار الحوادث الأمنية على نفس المنصة في فترة وجيزة يبرز عدة قضايا أساسية في التمويل اللامركزي، ومنها أن التعافي والإصلاح بعد الخرق لا يضمن بالضرورة الحماية مستقبلاً إذا بقيت الثغرات الهيكلية دون معالجة، وأن الجسور العابرة للسلاسل تواجه تحديات فريدة للحفاظ على الأمان عبر عدة شبكات في آن واحد.

وتكمن صعوبة أمان الجسور العابرة للسلاسل كـ Poly Network في وجوب إدارتها للأصول والمصادقة عبر بيئات بلوكشين عديدة تختلف في نماذجها الأمنية ونقاط ضعفها، ما يخلق فرصًا أكبر للهجمات، خاصة مع ضخامة قيمة الأصول تحت إدارتها.

ويحمل تكرار الهجمات على البنية العابرة للسلاسل انعكاسات عميقة للتمويل اللامركزي؛ إذ يُحتّم ذلك إعادة النظر جذريًا في نماذج الأمان، مع ضرورة تبني أنظمة إدارة مفاتيح أكثر صلابة، ومراقبة أشمل، وآليات إجماع إدارية أكثر متانة. ولا تزال الصناعة تواجه هذه التحديات مع تصاعد أهمية التوافقية العابرة للسلاسل لاعتماد البلوكشين.

الأسئلة الشائعة

ما هي Poly Network ولماذا استُهدفت؟

Poly Network بروتوكول توافقية عابر للسلاسل يتيح نقل الأصول بين عدة شبكات بلوكشين. وتم استهدافه بسبب ثغرات في آلية تحقق العقد الذكي، ما سمح للمهاجمين باستغلال ضعف التحقق من التواقيع وسحب نحو 10 مليون $ من الأصول الرقمية عبر سلاسل مختلفة.

كيف تم الاستيلاء على 10 مليون $ في هذا الهجوم؟ وما الأدوات التي استُخدمت؟

استغل المهاجم ثغرة في بروتوكول الجسر العابر للسلاسل في Poly Network، حيث حصل على وصول غير مصرح به للمفاتيح الخاصة، ثم قام بسحب الأموال بتنفيذ معاملات احتيالية عبر شبكات بلوكشين متعددة، ونقل الأصول لمحافظ يسيطر عليها قبل ترقيع الثغرة.

ما السبب الدقيق للثغرة الأمنية في Poly Network؟ وهل يتعلق بكود العقد الذكي؟

وقع اختراق Poly Network نتيجة ثغرة خطيرة في عقد الجسر العابر للسلاسل الذكي، خاصة في آلية التحقق من التواقيع. استغل المهاجمون ضعف منطق التحقق ليُنفّذوا معاملات وسحوبات غير مصرح بها، متجاوزين آليات الأمان المصممة لحماية العمليات بين السلاسل.

ما أثر هذا الهجوم على أصول المستخدمين؟ وهل يمكن استعادة الأموال المسروقة؟

تضررت أصول المستخدمين بشكل مباشر عبر السلاسل المتأثرة، حيث تم سحب 10 مليون $ من مجمعات سيولة Poly Network. تعتمد إمكانية الاسترداد على التحليل الجنائي للبلوكشين وتعاون الجهات المعنية؛ قد يُعثر على بعض الأصول وتجميدها، لكن الاستعادة الكاملة غير مضمونة. يُنصح المستخدمون بالتحقق من أرصدتهم وتفعيل تدابير الحماية المتقدمة.

ما أبرز المخاطر الأمنية في بروتوكولات الجسور العابرة للسلاسل مثل Poly Network؟

تواجه الجسور العابرة للسلاسل ثغرات في العقود الذكية، واختراق المصادقين، ومخاطر تلاعب السيولة. كشف اختراق Poly Network في 2021 ضعف الضوابط والتحقق من التواقيع. تشمل المخاطر الرئيسية أخطاء الكود، وهجمات أوراكل، وضعف التدقيق، ومجموعات المصادقين المركزية القابلة للاستهداف وسرقة الأصول عبر السلاسل.

كيف يحمي المستخدمون أصولهم الرقمية من هجمات كهذه؟

ينصح بتخزين الأصول في محافظ أجهزة، وتفعيل التوقيع المتعدد، وتحديث بروتوكولات الحماية باستمرار، والتحقق من تدقيق العقود الذكية قبل التفاعل معها، وعدم مشاركة المفاتيح الخاصة أو عبارات الاسترداد مع أي طرف.

ما الإجراءات التي اتخذتها Poly Network لاستعادة الأمان وتحسينه بعد الحادثة؟

عززت Poly Network بروتوكولات الحماية، ونفذت تدقيقات شاملة للعقود الذكية، وأطلقت برنامج مكافآت الثغرات، وطوّرت آليات التحقق العابرة للسلاسل، كما رفعت قدرة أنظمة المراقبة وتعاونت مع شركات أمنية لمنع اختراقات مستقبلية.