إنقاذ أبيض القبعات ينقذ 23,155 رمز NFT بقيمة 5.7 مليون دولار في اختراق Magic Eden

إنقاذ أبيض القبعات لـ23,155 رمز NFT

أصدرت Magic Eden تحذيرًا يوم الجمعة من أن رموز NFT المدرجة على سوقها المغلق الخاص بشبكات EVM — والذي شمل Ethereum والسلاسل المتوافقة معها — بين شهري فبراير وأكتوبر 2024 تقريبًا، لا تزال معرضة لثغرة في بروتوكول التداول والتسوية الخاص برموز NFT لدى Limit Break المعروف باسم Payment Processor V2. وقد كشف نائب رئيس بلوكتشين في Yuga Labs، المعروف باسم Quit (0xQuit)، في منشور مفصل على منصة X أن مهاجمًا استغل الخلل الساعة 9 صباحًا بتوقيت شرق الولايات المتحدة ليسرق 10 رموز Meebits و50 رمزًا من Otherdeeds و10 رموز World of Women و235 رمزًا من Desperate ApeWives.

كانت Magic Eden قد تبنّت هذا العقد لتسوية الصفقات عام 2024، ثم أوقفت استخدامه في أكتوبر من العام نفسه، وأغلقت سوقها الخاص بشبكات EVM بالكامل في مطلع 2026 — ومع ذلك، أبقت صلاحيات التسوية على النمط المالي اللامركزي PayFi-style القوائم القديمة في دائرة الخطر. وقالت الشركة في بيانها: “لم تتأثر أي قوائم نشطة على Magic Eden”.

مئات المحافظ في دائرة التأثر

لقد قلّلت المؤشرات المبكرة من تقدير حجم الانفجار. فالموجة الأولى نقلت 3,832 رمز NFT من مئات المحافظ — وهو رقم يعكس ساعات الاستجابة الأولى فقط. وإنقاذ أبيض القبعات، في هذا السياق، هو عملية ينقل فيها باحثو أمن موثوقون الأصول المهددة إلى عهدة آمنة قبل أن تصل إليها أيدي المهاجمين، ثم يعيدونها لملاكها مرة تزول المخاطرة. ووفقًا للتسلسل الزمني الذي وثّقه 0xQuit، وصل بلاغ العيب المشتبه به إلى فريق البلوكتشين في Yuga Labs بعد أكثر من 12 ساعة من السرقة الأولى، ما منح المهاجم بداية سباق طويلة. وجاء هذا التحذير أيضًا بعد يوم واحد من تسلل قراصنة مجهولين إلى أكثر من 380 مليون دولار من Ethereum وأصول أخرى من منصة Bitget، في ما تصفه أدوات تتبع الأمن بأنه أكبر اختراق للعملات الرقمية هذا العام. وتبرز قدرة أبيض القبعات على نقل الأصول دون توقيعات الملاك مدى التساهل في نموذج الموافقات القديم. فعندما يدرج المستخدمون رموز NFT الخاصة بهم، يمنحون عادةً عقدًا صلاحية واسعة من نوع “الموافقة على الكل” لنقل رموزهم، وتبقى هذه الصلاحية سارية حتى تُسحب صراحة — أي أن أي شخص يستطيع تفعيل مسار التسوية المخترق يسيطر فعليًا على الأصول. وقد أوقفت Limit Break نسخة Payment Processor V3 التي تحمل العيب نفسه، لكن V2 لم يكن قابلاً للإيقاف، فبقي النقل المنسّق هو خط الدفاع الوحيد. والمستخدمون الذين لم يلمسوا السوق منذ 2024 قد يحملون حتى اليوم صلاحيات نشطة على عقود يظنونها خاملة — وهي مخاطرة تقع تمامًا عند تقاطع أمن المفتاح الخاص مع بنية الأسواق التحتية.

استجابة Magic Eden: السحب أولًا

توجيهات Magic Eden لا تحتمل اللبس: كل من أدرج أو تاجر على سوقها الخاص بشبكات EVM عليه سحب صلاحيات “الموافقة على الكل” الخاصة بعقد V2 على شبكات Ethereum وPolygon وBase باستخدام Revoke.cash. وحذرت الشركة من أن السحب لن يعيد الرموز التي انتقلت بالفعل، ومن أنه يُتوقع ألا تتأثر القوائم التي أُنشئت بعد أكتوبر 2024. كما أكدت أنها أوقفت استخدام Payment Processor V2 في أكتوبر 2024 وأغلقت سوق شبكات EVM في الربع الأول من 2026، فلم تتعرض أي قوائم نشطة للخطر. وقد ارتقى هذا السوق على شبكة Solana مستندًا إلى برك السيولة الخاصة بصانع السوق الآلي (AMM) قبل أن يتوسع نحو سلاسل متعددة، ثم أسقط دعم Ethereum وBitcoin في فبراير ليتفرغ لـSolana وكازينو العملات الرقمية الخاص به، Dicey.

660 WETH لم تُستعد مع إغلاق الإنقاذ

يكشف الحصاد النهائي عن حجم العملية وتكلفتها معًا. فقد قال المدير التنفيذي لشركة Yuga Labs مايكل فيغي إن العيب لم يُكتشف إلا ساعات قليلة قبل بدء الاستجابة، فيما أكد 0xQuit أن الإجمالي بلغ 23,155 رمز NFT بقيمة تتجاوز 5.7 مليون دولار نُقلت إلى بر الأمان، مع تمكّن الملاك من استعادتها بعد سحب الموافقات. أما نحو 660 وحدة WETH المعروضة للنسخة المعكوسة من الاختراق فلم يمكن استردادها في الوقت المناسب. ونشر Quit عنواني عقدَي Payment Processor V2 (على Ethereum) وV3 (على ApeChain) ليقوم المستخدمون بالسحب، وأعلنت Magic Eden أنها تواصل التحقيق بالتنسيق مع Limit Break حول تدابير تخفيف إضافية. أما رموز NFT المستردة فمُوّحدت في عنوان يبدأ بـ0x71cF ريثما يعاد إرجاعها بأمان.

الموافقات الخاملة هي سطح الهجوم الحقيقي

إذا قرأنا هذه التطورات مجتمعة، ترسم خطًا سرديًا واحدًا: سوق خامَل ظل حيًا بفضل موافقات خاملة. وتقراءة COINOTAG للسجل الأولي — منشور 0xQuit نفسه وعناوين العقود المنشورة التي تؤدي وظيفة ملف الحادث الفعلي — تؤكد الأرقام الجوهرية: 23,155 رمز NFT محمي بقيمة تفوق 5.7 مليون دولار، و3,832 رمزًا نُقلت في الموجة الأولى، و660 وحدة WETH خسرت عبر المسار المعكوس. تعمل عمليات إنقاذ أبيض القبعات بوصفها تأمين DeFi غير رسمي: تخفيف للخسائر تديره المجتمع دون بوليصة ولا قسط. والدرس الجوهري للملاك إجرائي لا نظري — فالموافقات الممنوحة قبل سنوات على منصات تحوّلت أو أُغلقت تظل سطح هجوم حيًا حتى تُسحب.