Blockaid يكشف استغلال جسر Ankr لسحب 303 آلاف دولار عبر إيداع Optimism (OP)

خمس عمليات سحب في ثلاث دقائق

رصدت شركة Blockaid المتخصصة في أمن البلوكتشين عملية استغلال جارية على بروتوكول الجسر الذي يشغّله Ankr بين سلاسل الإيثريوم، صباح الاثنين 9 نوفمبر، بعد أن نفّذ مهاجم خمس طلبات سحب غير مصرّح بها استولت على أصول تتجاوز قيمتها 303,000 دولار. الحادثة تعيد فتح التساؤل حول آلية التحقق من المعاملات في هذا الجسر. وقد أوضح تحذير Blockaid المنشور على X أن المهاجم اعتمد على إيداع صغير سُابقًا عبر شبكة Optimism (OP)، إيداع لا تساوي قيمته شيئًا مقارنة بمستويات سعر Optimism الحالية، للإفراج عن كامل الأصول المحتجزة في العقد إلى محفظة جديدة. وقدّرت الشركة في البداية الخسائر بنحو 292,000 دولار عبر خمس معاملات، قبل أن يرفع التحليل اللاحق للرموز المسحوبة قيمتها الإجمالية فوق 303,000 دولار. كما رصد حساب OnchainLens المتابع لبيانات السلسلة تلك السحوبات على حدة، مقدّمًا تقديرًا أوليًا مشابهًا. وشملت المعاملات أصول Ankr للترهيب السائل إلى جانب رمز ANKR الأصلي.

سقطت عمليات السحب الخمس بين الساعة 3:09 و3:12 فجرًا بتوقيت شرق الولايات المتحدة، وجميعها وجّهت رموزًا مختلفة إلى محفظة وجهة واحدة. تُظهر سجلات المعاملات أن المهاجم انتزع نحو 82.91 وحدة من ankrETH بقيمة 216,370 دولارًا، وهي الحصة الأكبر من الخسائر المعلنة. وجاء سحب ثانٍ يبلغ 515,206 رمز ankrPOL بقيمة 56,372 دولارًا، فيما مثّل نحو 7.98 مليون رمز ANKR مبلغًا إضافيًا قدره 30,857 دولارًا. وغادر العقد خلال النافذة نفسها أصلان آخران، هما 5,372.25 وحدة من aMATICb و0.8196 وحدة من aETHb، غير أن قيمتيهما استُثنيتا من تقدير 303,600 دولار لأن مستكشف البلوك لم يعرض سعرًا لأي منهما وقت التقييم. يعني ذلك أن الإجمالي يعكس ثلاثة أصول مسعّرة فقط، وليس بالضرورة ما حوّله المهاجم فعليًا إلى عملات رقمية أخرى أو نقد. ومع ذلك، فإن عمليات السحب الخمس أفرغت عقد الإيثريوم من كامل الرموز المدرجة فيه، وحتى الساعة 3:49 فجرًا بتوقيت الساحل الشرقي لم يعد أي حركة عبر الجسر بعد تلك المعاملات المشبوهة.

إيداع مسترد أُشير إليه بعد ستة أيام

تتبع بيانات السلسلة أصل العملية إلى إيداع أُجري عبر شبكة Optimism، وهي سلسلة من الطبقة الثانية، يوم الثلاثاء 3 نوفمبر. لم يتجاوز قيمة الإيداع 0.0044024803 وحدة من ankrETH، وتؤكد سجلات الإيثريوم أنه استُرد في اليوم نفسه. ومع ذلك، أشار المهاجم إليه عند تقديم خمسة طلبات سحب جديدة يوم 9 نوفمبر، كان كل منها يحمل معلومات إيصال معدّلة ذكرت مستفيدًا مختلفًا، ومبالغ أكبر، ورموزًا غير تلك الواردة في التحويل الأصلي.

يتيح جسر Ankr في الأصل للمستخدمين تنقّل أصول الترهيب السائل المدعومة بين الشبكات، وهي وظيفة اعتيادية في التصميم متعدد السلاسل المعروف بـأومني تشين. يودع المستخدم رموزه على الشبكة المنشأ أولًا، ثم يُقدّم المعاملة للتحقق عبر النظام الخلفي لـAnkr، وهو ما يوفر الترخيص اللازم للإفراج عن الأصول على سلسلة الاستقبال. وبهذا التصميم، لا ينبغي لإيداع مكتمل أن يأذن مطلقًا بسحوبات متكررة لأصول أو مبالغ مختلفة. ومع ذلك، اجتازت هذه الطلبات الخمسة فحوصات الترخيص في الجسر.

يشترط التطبيق المنشور موافقة موقّع معيّن قبل معالجة أي سحب، ما يعني أن حامل مفتاح خاص يجب أن يصادق على كل إفراج. ولا تحدد السجلات المتاحة كيف حصل المهاجم على ترخيص صحيح، ولا أين تكمن الثغرة بالضبط: في عملية التوقيع، أو في التحقق من الإيصالات، أو في مكوّن آخر. ولم تظهر أي مؤشرات على تأثر خدمات نداء الإجراءات البعيدة لدى Ankr أو محافظ المستخدمين الشخصية؛ إذ تعلقت السحوبات بالأصول المحتفظ بها في عقد الجسر على الإيثريوم. ويشغّل Ankr كذلك خدمات ترهيب سائل وبنية تحتية أوسع للبلوكتشين، ما يجعل سؤال نطاق التأثير يتجاوز عقدًا واحدًا. وظل علم الإيقاف العام للجسر يُظهر القيمة الخاطئة حتى الساعة 3:49 فجرًا بتوقيت الساحل الشرقي، بما يترك غير واضح ما إذا كان الفريق قد اتخذ إجراءات احتواء إضافية. ولم يرد Ankr حتى وقت تحرير هذا التقرير على أسئلة حول الخدمات المتأثرة وأمن الجسر وإمكانية تعويض المستخدمين.

تتميز الأدلة على السلسلة بوضوح غير معتاد: معاملات السحب الخمس ومبالغ الرموز فيها قابلة للتحقق على الإيثريوم، وهو ما يؤكد أن إيداعًا استُرد قبل ستة أيام ظل له وزن في مسار التحقق لدى الجسر. أما ما لا تُظهره السجلات فهو التحليل اللاحق للحادثة. لم تنشر Ankr أي تقرير عن الحادثة يحدد السبب الجذري، فيبقى سؤال ترخيص الموقّع مفتوحًا: السحوبات اجتازت فحصًا كان يفترض أن يتطلب موقّعًا معيّنًا، ولا يوجد سجل عام يشرح كيف حدث ذلك. والنمط مألوف. ففي أكتوبر علّقت Cysic جسرها بعد أن مزّق مهاجم مزعوم 10 مليون رمز CYS غير مصرح بها على BNB Smart Chain، وفي أغسطس مكّن خلل في عقد ankrFLOW الخاص بـAnkr نفسه من خسائر تقارب 410,000 دولار على منصة MORE Markets. وحتى تنشر الفريق تحليله اللاحق وتؤكد الإيقاف، يظل الاحتواء نية لم تتحقق بعد.