اختراق محافظ D'CENT يستنزف أكثر من 12.4 مليون XRP عبر 7,000 مستخدم

اختراق يصادف 12.4 مليون XRP من محافظ D'CENT

نفّذ المهاجمون أكبر عمليات سحب موجّهة هذا الموسم من محافظ D'CENT، إذ استنزفوا أكثر من 12.4 مليون عملة XRP من محافظ تجاوزت 7,000 حساب مستخدم، في ثاني أكبر سرقة لعملة XRP خلال العام، وتأتي بعد خسارة 102.9 مليون XRP في اختراق منصة Bitget. والضرر لا يقف عند حدود سلسلة XRP Ledger؛ فمحفظة D'CENT تدعم عدة شبكات بلوكتشين دفعة واحدة، ما يعني أن عبارة الاستعادة المخترقة — وهي السر الرئيسي الذي تقف خلف كل مفتاح خاص محفوظ داخل التطبيق — منحت اللصوص وصولاً متزامناً إلى أرصدة Bitcoin وEthereum وTron وStellar الخاصة بالمستخدمين أنفسهم. وتؤكد IoTrust، الشركة الكورية الجنوبية المصنّعة للمحفظة، تلقي ما لا يقل عن 110 تقارير تحويلات شاذة تشمل أصولاً غير XRP. وتُظهر بيانات السلسلة أن السرقة جرت على ست موجات متتالية على الأقل بين 15 و20 سبتمبر، أُفرغ خلالها 6,678 محفظة من نحو 11.7 مليون XRP. وغادرت 640,370 XRP إضافية السلسلة بعد 21 سبتمبر وفق تتبّع السلسلة لتحويلات المهاجم، فارتفع الإجمالي فوق 12.4 مليون. بدأ السارق بمسح الأرصدة الكبرى يدوياً، ثم أتمت العملية عبر برمجيات نصية لتنزل تدريجياً نحو المحافظ الأصغر؛ وتحذيرات أفراد مجتمع D'CENT ومجتمع XRP لم توقف التدفقات الخارجة. وبحلول الجمعة كان 6.3 مليون XRP من المسروق قد عبرت إلى شبكة Ethereum عبر THORChain، خدمة الجسور بين السلاسل والمبادلة، وخلص الباحثون المتابعون للتحويلات إلى أن معظم العائدات لم تعد محتجزة بصيغة XRP. يذكّر نمط الغسيل هذا بما وثّقه ZachXBT في غسيل اختراق Bitget حين مرّت 277,724 XRP عبر شبكات المبادلة، قبل أن ينقل مخترق Bitget لاحقاً 54 مليون XRP من محافظ الاختراق. ووجه تقرير D'CENT الرسمي عن الحادثة، المنشور على X في 17 سبتمبر، المستخدمين المتأثرين إلى توليد عبارة استعادة جديدة ونقل كل أصولهم — الرموز وNFT والأرصدة المرابحة على التوالي. ولاقى هذا الإنذار صدقاً موجعاً: فحتى شهر أغسطس الماضي كان المزوّد يروّج لعنصر الأمان في محافظه المادية بوصفه محصّناً ضد فئة الثغرات التي كشفها اختراق Coldcard.

ترقيات Batch وPermission Delegation على مشارفة التفعيل

في وقت تتعامل فيه المنصة مع آثار الاختراق، تقترب الشبكة من ترقيتين موجّهتين مباشرة نحو المستخدمين المؤسسيين. وقد أكّد Vet، قائد المجتمع في مؤسسة XRPL Foundation، أن ترقيتي Batch وPermission Delegation دخلتا المرحلة الأخيرة من تصويت المدقّقين، مع نحو 11 يوماً متبقية قبل التفعيل الكامل على الشبكة الرئيسية. تحمل Batch — الصادرة بصيغتي BatchV1_1 وfixBatchV1_2 — دعماً يترواح بين 85% و94% من المدقّقين، ومن المقرر تفعيلها في 9 أكتوبر 2026. أما PermissionDelegationV1_1 فتسجل دعماً بنسبة 82%، مع تفعيل مخطط له في 5 أكتوبر 2026. يقوم تصميم الدفعات الذرية على تجميع عدة عمليات في حزمة واحدة غير قابلة للتجزئة: إما تنفيذ كل العمليات أو إلغاء الحزمة بأكملها. بالنسبة لجولات المدفوعات المؤسسية، تعني ذلك أن تسوية تمتد لعشرات الفواتير إما تكتمل بالكامل أو تترك الحسابات دون مساس، فيختفي خطر أن يعرّض تعثر أحد الأطراف الأموال لحالة تسوية تجارية نصف منجزة — وهي المشكلة الجوهرية التي تستهدفها XLS 56. وتجيب Permission Delegation، المعيارية باسم XLS 75، على متطلبات الأمن المصرفي الصارمة بإتاحة تفويض صلاحيات الحساب لمزوّدي خدمات خارجيين أو إدارات داخلية دون تعريض المفتاح الخاص الرئيسي أبداً. وبموازاة ذلك، يجمع المدقّقون الأصوات لترقية fixCleanup3_4_0، وهي تغيير ضمن إصدار xrpld v3.4.0 يهدف إلى استقرار برك السيولة لصنّاع السوق الآليين التي أُطلقت مع النسخ الأخيرة. وللدفعة المؤسسية صدى تقني في نواة النظام: فقد عاد المهندس التشفيري Nik Bougalis، الذي أمضى سنوات في تطوير السلسلة قبل رحيله في 2022، إلى التطوير الأساسي بمقترحات لتحويل البنية إلى مكونات بعرض 64 بت وإزالة المؤشرات الخام. ويؤطر حجم الاستخدام توقيت هذه التحركات؛ فقد تجاوزت مدفوعات XRP Ledger مؤخراً 1.14 مليون دفعة يومية على السلسلة، بما يعلو بوضوح متوسط الثلاثين يوماً — غير أن تفعيل الشيفرة وحده لن يصنع طلباً، فسرعة اندماج شركات التقنية المالية هي التي ستحسم ذلك.

اختراق المفاتيح يقابل سلطة مفوّضة

من قراءتنا لموقف COINOTAG، تشكّل التطوران قوساً سردياً واحداً تتقارب فيه حكاية أمن السلسلة مع حكايتها المؤسسية. يشير التحقيق اللاحق لحادثة D'CENT إلى اختراق مفتاح في طبقة المحفظة، لا إلى خلل في البروتوكول ذاته؛ فكل معاملات المهاجم قابلة للتتبع على XRP Ledger، ويمكن التحقق من إجمالي 12.4 مليون XRP بشكل مستقل عبر المستكشفات. ومع ذلك تأتي Permission Delegation بعد أيام لتقدّم تحديداً ما كشف الاختراق عن غيابه: سلطة مفوّضة دون أن ينتقل السر الرئيسي بين أيدي أحد. وما دام مزوّدو المحافظ لم يسدّوا الفجوة التشغيلية التي سمحت لعبارة استعادة واحدة بمسح أربع شبكات، فسيظل حاملو XRP من الأفراد يعودون إلى أدلة محفظة الورق والتخزين البارد — حتى مع نضج الأدوات المؤسسية للسلسلة. يبقى الأمن، لا السعة الإنتاجية، القيد الحاكم على الطلب.