قراصنة يستنزفون 138,000 دولار من 12 موقع عملات لامركزية عبر Name.com

اثنا عشر مشروعًا ومسجل نطاقات واحد

تعرّضت مواقع اثني عشر مشروعًا من مشاريع التمويل اللامركزي (DeFi) لاختراق حوّلها إلى فخ أمام مستخدميها، وتُظهر بيانات التتبع على السلسلة أن الخسائر المؤكدة بلغت حتى الآن نحو 138,000 دولار. يجمع المواقع المتضررة كلها تفصيل تقني واحد: نطاقاتها مسجلة جميعها عبر منصة Name.com، وهو عامل مشترك حوّل حوادث نطاقات منفصلة إلى حملة واحدة ذات نطاق واسع. حددت شركة الأمن Blockaid اختراقات في أربعة من المشروعات الاثني عشر هي Flap وKintsu وPickle Finance وOrigami Finance. وبدل إطلاق مواقع مقلدة، زرع المهاجمون شيفرة خبيثة داخل المواقع الأصلية نفسها، فبقيت الواجهة التي يراها الزائر مطابقة لما يتوقعه، بينما ما يوقّعه فعليًا هو موافقة على تحويل الأصول يولّدها برنامج استنزاف يُعرف باسم Step Drainer، وهو برنامج يمحو الأموال من المحفظة بمجرد تفويض المستخدم للحركة. بدأ الاختراق ليل الجمعة 30 أكتوبر، وأعلنت Flap حينها عن اختطاف لنظام أسماء النطاقات (DNS)، أي سيطرة على سجلات النطاق تعيد توجيه الحركة دون المساس بخوادم المشروع نفسه. عند هذا الحد يتوقف السجل الموثق، وتبقى سلسلة السبب غير محسومة: كانت المواقع الاثنا عشر تعمل بخدمات DNS مختلفة فوق مسجل النطاقات المشترك، فيمكن أن يكون الاختراق قد بدأ داخل أنظمة Name.com ذاتها أو لدى مزوّد خارجي مثل منصة الاستضافة السحابية Vercel. اتهمت Kintsu وOrigami Finance بنية Vercel علنًا، لكن ذلك يبقى تأكيدًا من الأطراف المتضررة لا نتيجة مثبتة. ويغطي حصيل الـ138,000 دولار التدفقات على شبكات Ethereum وBNB Chain وMonad وRobinhood Chain، بينما تقع خسائر شبكتي Solana وAptos خارج هذا العد، ولهذا يبقى رقم الضرر النهائي مفتوحًا. لم تنشر Pickle Finance وFlap بعد بيانات ما بعد الحادث التفصيلية في الإفصاحات المتاحة، بينما أكد المشروعان الضحية أن عقودهما الذكية على السلسلة لم تُخترق قط، وأن السرقة جرت بالكامل عبر التوقيعات في الواجهة الأمامية.

اقتصاد برنامج الاستنزاف ومسار الأموال

يكشف التسلسل الزمني للعملية سرعة الحملة وسرعة احتوائها في آن واحد. عند الساعة 08:32 من صباح يوم 31 أكتوبر بالتوقيت المحلي، عُلّق عشرة من النطاقات المتأثرة فانقطعت الحركة عن الصفحات الخبيثة، ثم أعيد تشغيل النطاقات العشرة كلها لاحقًا في الصباح نفسه. ويضيف بحث LevelBlue SpiderLabs طبقة تجارية للصورة: بيع كود Step Drainer المصدر الكامل بنحو 750 دولارًا، بينما تغيّر نسخة تحوّل 20% من الأموال المسروقة عمولةً بين أيدي عرضها بمقابل 150 دولارًا. هذا المستوى من الأسعار يجعل الأداة في متناول مشغّلين بمهارات محدودة، وهو ما يتسق مع حملة أصابت اثني عشر مشروعًا مستقلًا في وقت واحد. ولم تبقَ الأموال المسروقة في مكانها: تُظهر سجلات السلسلة أن العائدات جُمعت في ثلاث محفظة عملات مشفرة، تغذيها شبكات Ethereum وBNB Chain وMonad وRobinhood Chain بتوزيع 15% و55% و30%، والتتبع الذي أنتج رقم 138,000 دولار اتبع هذه المحافظ الثلاث. أما المشروعات المذكورة بالاسم، Flap وKintsu وPickle Finance وOrigami Finance، فهي بروتوكولات صغيرة في منظومة العملات البديلة لا منصات كبرى، وهو ملف يطابق برنامج استنزاف يستهدف اتصالات محافظ التجزئة. وتستضيف Vercel، المنصة التي يتهمها فريقا الضحيتين، الواجهات الأمامية للمشروعات، ولهذا كان اختراقها هناك يعرض كل زائر للخطر. ويُفهم أن Name.com أخبرت بعض الفرق المتأثرة بأن الخطأ يقع على طرف ثالث لا على أنظمتها، فيبقى مع اتهام Kintsu وOrigami لـVercel نقطتا فشل محتملتان بلا جهة تحكيم. وقالت Origami Finance إنها ستبقي خدمة حفظ الأصول لديها معلقة حتى تكمل Vercel وName.com تحليلهما للسبب الجذري. ويقع دليل DNS الذي يربط النطاق بمستضيفه تحت سيطرة حساب المسجل نفسه، وتلك السيطرة المركزية هي ما تُخرجه من المعادلة أنظمة التسمية على السلسلة مثل نطاقات ENS. ولم يُعلَن عدد المستخدمين المتأثرين، ولم تُسجل أي أموال مستردة.

خسائر Aptos ما زالت خارج العد

المبلغ المؤكد البالغ 138,000 دولار يمثل أرضيةً لا سقفًا للحصيلة. فالتتبع وراءه يستثني خسائر شبكتي Solana وAptos، وهي شبكة بلوكتشين من الطبقة الأولى، أي أن الرقم النهائي سيرتفع حين تُحسب هذه الشبكات. وبالنسبة لمنظومة Aptos فإن التعرض بنيوي لا تعاقدي: سطح الهجوم كان الواجهة الأمامية، وبقيت العقود على السلسلة سليمة، وهو ما يحدّ الضرر عند أرصدة المستخدمين الأفراد دون خزائن البروتوكولات. والسؤال المطروح دون حسم، مسجل النطاقات أم مزود الاستضافة، هو ما يحدد مسار المعالجة: خطأ في جانب المسجل يوجّه العلاج نحو أمن الحساب وضوابط التحويل في Name.com، بينما خطأ في جانب Vercel يوجه نحو خطوط النشر وفرق تحتاج إلى تقوية استضافتها بنفسها. ولم تبق أمام المستخدمين الذين وقعوا الموافقات الخبيثة سبل استرجاع محدودة، وخسارة توقيع في الواجهة الأمامية هي الحالة التي لا تغطيها منتجات تأمين التمويل اللامركزي عادة. وتفصل هذه الصورة الأمنية عن مسار تطوير الشبكة نفسه، حيث طرحت شبكة mempool المشفرة على الشبكة الرئيسية ودرّت تكلفة زمن استجابة قدرها 20 مللي ثانية مقابل خصوصية المعاملات. ما يثبته السجل هو تتبع على أربع شبكات لنحو 138,000 دولار واثنتي عشرة واجهة أمامية مخترقة، وما لا يثبته هو الجهة التي قصّر فيها الأمن، وهذه الإجابة، لا الرقم المتصاعد، هي ما تنتظرَه المشروعات المتضررة.