مهاجم بقرض سريع يستنزف 1.01 مليون دولار بعملة USDC من خزنة Tranche على Avalanche

حصص Tranche المتضخمة أفرغت الخزنة

سحب مهاجم نحو 1.01 مليون دولار بعملة العملة المستقرة USDC من خزنة Tranche على شبكة البلوكتشين الخاص بشبكة Avalanche (AVAX) مساء الثلاثاء 27 أكتوبر بتوقيت شرق أمريكا، بعد أن حصل على سيولة عبر قرض سريع، وسك دفعة من حصص الخزنة بعدد متضخم، ثم استبدل تلك الحصص بالودائع التي ما زالت الخزنة تحتفظ بها. حصرت شركة الأمن الرقمي Blockaid حجم الخسارة حتى الآن عند نحو 1.01 مليون دولار، ووصفت الاختراق في تنبيهها على إكس، المنشور الساعة 9:07 مساءً بتوقيت شرق أمريكا، بأنه ما يزال جاريا. نُفذت السرقة في نحو معاملتين اثنتين، وهو أثر يمكن لأي شخص التحقق منه مباشرة على السلسلة. يفسَّر ذلك بأن الشركة كانت تقرأ النشاط الحي لحظة بلحظة، لا أن تعيد بناء غارة انتهت، ولذلك قدّمت الرقم بوصفه تراكميا وليس نهائيا. والقرض السريع، كما تشرح العملية ذاتها، اقتراض بلا ضمانات يجب أخذه وسداده داخل معاملة واحدة على السلسلة، ما يتيح للمتصل حجمًا لحظيًا ضخمًا دون أن يعرض رأس المال لخطر. في هذه الحالة، سُكّت الحصص من الأموال المقترضة بعدد أكبر من حقيقيّته، ثم فُدّت من رصيد USDC الذي ظل في المجموعة. وتقسم خزائن Tranche الودائع إلى طبقات ذات ملامح مخاطر وعائد مختلفة، فعدد الحصص المتضخم يتحول مباشرة إلى مطالبة أكبر على المجموعة. وهذه النقطة حاسمة في تقدير حجم الضرر: لا يجدي التضخم في عدد الحصص إلا إذا ظل في المجموعة رصيد قابل للاستبدال، وهو ما حوّله المهاجم بالضبط. قالت Blockaid إن الخزنة "مرتبطة بـ" Valinor Digital وFence، ووسمت حسابي الشركتين على إكس، غير أن التنبيه لم يجرؤ على تسمية المشغل. ولم تُصدر أي من الشركتين تعليقًا علنيًا على الحادث حتى لحظة كتابة هذه الأسطر. وبوصفها عملة مستقرة مصممة لتتبع الدولار، لم يكن سعر USDC هدفًا في هذه الحادثة؛ فالتعرض يقع كله في الأرصدة المودعة.

ما ظل بلا حل عند إصدار التنبيه لا يقل أهمية عن حجم الخسارة نفسه. تركت الشركة مفتوحًا ما إذا كان إيقاف الخزنة قد دخل حيز التنفيذ، وما إذا كان استرداد USDC المسروق ممكنًا، وكم مودعًا تعرض للتأثر. كان رقمها، 1.01 مليون دولار، صراحةً مجموعًا متحركًا لا حصيلة نهائية، ما يعني أن الرقم قد يرتفع إذا استمر الهجوم بعد الساعة 9:07 مساءً بتوقيت شرق أمريكا. ولم تُصدر Valinor Digital ولا Fence بيانًا أو إشعار إيقاف أو خطة معالجة حتى لحظة كتابة هذه الأسطر، فبقيت الودائع بلا رواية رسمية عن كفاءة السحوبات أو عن نصيبها المتوقع من المجموعة. وفتح أثر المعاملتين أمام المحققين نافذة ضيقة: فما إن تغادر العائدات عقد الخزنة حتى يصبح الاسترداد مرهونًا بسرعة رد فعل المشغل وبقاء الواجهات قيد السحب. كما يعقّد المجموع المتحرك حسابات التعويض، لأن نصيب كل مودع من الخسارة لا يمكن تثبيته قبل توقف العدّ. ويضع تصميم الهجوم الحادث في نمط عرفته Avalanche (AVAX) من قبل. ففي فبراير 2023، خسرت منصة Platypus لتبادل العملات المستقرة على الشبكة نفسها نحو 8.5 مليون دولار حين جمع مهاجم بين قرض سريع وفحص ملاءة معطوب. ويكرر حادث الثلاثاء الشكل ذاته: رأس مال مقترض، وحساب حصص متضخم، ومطالبة بالودائع، وسداد للقرض داخل المعاملة نفسها، كل ذلك قبل أن يتحرك معظم المودعين. ولم يُدَّعِ سرقة مفاتيح في حالة خزنة Tranche، ما يوجه فرق المراجعة نحو منطق سعر الحصص وافتراضات الملاءة، وهو المجال نفسه الذي تغطيه تدقيقات أمن البلوكتشين. ولمالك المحافظ التي تزن تعرضها لخزائن USDC، يبقى السؤال عمليًا تشغيليًا: هل يوقف المشغل الخزنة، ويفصح، ويعيد تسعير الحصص قبل أن يتضخم المجموع المتحرك؟

الاسترداد، والإيقاف، ومشغل مجهول الاسم

تبقى الحقائق الحاسمة هنا هي الحقائق على السلسلة. فالمعاملتان المرتبطتان بالتفريغ يمكن تتبعهما اليوم على أي مستكشف، وسيكشف عنوان محفظة العملات المشفرة الوجهة ما إذا كانت العائدات مرصودة في مكانها أم في طريقها أصلًا نحو خلاط العملات؛ وهذا التتبع، لا أي بيان صحفي، هو الذي يحسم احتمالات الاسترداد. أما البقية فتتوقف على ثلاثة إفصاحات: تأكيد الإيقاف، وتسمية المشغل، ورقم نهائي يحل محل المجموع المتحرك. ويقع الخلل في طبقة الخزنة ذاتها، لا في قنوات المُصدر: فآلية USDC Match من Circle تجمع عمليات السك والاستبدال المؤسسية في مزادات كل ساعة، وكانت تلك البنية لم تُمَس. وأقرب موازٍ حديث هو اختراق Initia، الذي ترك احتياطيات USDC عند 63 دولارًا من دون موعد لإعادة التشغيل. وإلى أن يهبط أحد هذه الإفصاحات، ينبغي قراءة الـ 1.01 مليون دولار بوصفها حدًا أدنى، لا تسوية.