بوت MEV «Yoink» يستبق استغلال محفظة Safe بقيمة 7.8 مليون دولار على إيثيريوم (ETH)

بوت «Yoink» يسبق المهاجم إلى الغنيمة

خسرت محفظة تابعة لـ Safe على الشبكة الرئيسية لإيثيريوم نحو 7.8 مليون دولار في 15 سبتمبر، غير أن الطرف الذي خطّط للسرقة لم يحصل في النهاية على الغنيمة. تُظهر بيانات السلسلة أن بوت MEV يحمل اسم «Yoink» رصد معاملة المهاجم المعلّقة واستبقها، مستولياً على الغالبية العظمى من المسروق قبل أن تُنفَّذ عملية السارق. وللتوضيح، مصطلح MEV اختصار لـ «القيمة القابلة للاستخراج القصوى»، وهو ربح يتحقق بإعادة ترتيب المعاملات داخل الكتلة الواحدة، بينما يعني «الاستباق» (frontrunning) دفع معاملة خاصة إلى ما قبل معاملة معلّقة رُصدت على الشبكة. وفي هذه الحالة، لم يستهدف البوت دفعة مستخدم عادي، بل معاملة الاستغلال نفسها التي أرسلها المهاجم — قلبٌ مقلوب للأدوار النهى السارق الأصلي عن حصوله على أي شيء يُذكر من حصيلته.

كانت سلسلة الاستغلال نفسها ضيقة النطاق. فـتنبيه الفريق الرسمي للحادثة يحدد المحفظة المُستنزَفة (0x40E93a52F6Af9fCD3b476aeDADD7FeABD9f7AbA8)، ويشير إلى المنفّذ — أي العقد الذكي المربوط بتشغيل استراتيجيات محفظة Safe — بوصفه الحلقة المعطوبة: أي مستدعٍ كان يستطيع ضبط هدف التنفيذ على عنوان العقد نفسه (address(this))، وتجاوز فحصي التخويل معاً، ثم التنفيذ عبر DELEGATECALL من خلال وحدة (module) مُمكّنة على المحفظة. هذا المسار الذي توفرته الوحدة سمح بتنفيذ كود حدده المهاجم بصلاحيات المحفظة ذاتها. ويرسم تفكيك GoPlus Security لما بعد الحادثة الحدود نفسها، مضيحاً بأن عقود Safe الأساسية وبروتوكول الإقراض Aave ورمز rsETH في ذاته لم تكن نقطة الضعف.

وبتسلّحه لهذا التجاوز، انتقل المهاجم بنحو 2,900 وحدة من aEthrsETH من محفظة الضحية — وهو رمز المركز في Aave V3 لرمز rsETH، وهو رمز إعادة التخزين السائل — وسكّ رمزاً عديم القيمة سُمي «Permissionless Attacker Token» (PAT) عبر مجموعة سيولة على Uniswap v4. تتبّع نظام كشف الاستغلال التابع لـ Blockaid خطّافاً (hook) مخصصاً يفك المركز ويحوّله إلى rsETH، في حين وجدت قراءة Bitquery للسلسلة أن المجموعة لم يُضبط عليها أي خطّاف إطلاقاً. وفي الحالين، اكتمل مسار الاسترداد: استُبدلت نحو 2,900 وحدة aEthrsETH تابعة للمحفظة في Aave، وسُحب رمز rsETH الأساسي، ثم سُلّمت الحزمة كاملة إلى «Yoink». وتُظهر سجلات السلسلة أن البوت حوّل بعد ذلك 2,882.37 rsETH إلى عنوان خارجي، وبدّل المتبقي وهو 17.63 rsETH إلى ETH عبر Uniswap v4 — ولا يمكن التعرف على من يتحكم في العنوان المستقبِل من بيانات السلسلة العامة وحدها.

نطاق الدفاع بين 2,407 و2,422 دولاراً

وبينما كانت قصة الاختراق الأمني تتكشف، تراجع سوق ETH نفسه. فشلت إيثيريوم (ETH) في الصمود أمام مقاومة 2,500 دولار وانحسرت نحو 2,400 دولار، وتتوقف الاتجاهات قصيرة المدى الآن على نطاق دعم ضيق. يحدد محرك التحليل لدينا النطاق بين 2,407 و2,422 دولاراً بوصفه منطقة الارتكاز الحرجة الأولى: فالمتوسطات المتحركة قصيرة المدى وكثافة كثيفة من العروض السابقة تقع داخل هذا النطاق، ما يجعله الخط الذي يجب أن يتشكل فوقه دفاع راسخ. وكما نبّهنا حين انزلقت ETH بعد رفض آخر عند 2,500 دولار، يحمل الحد الأعلى من النطاق معروضاً تاريخياً ثقيلاً — يتكدس فيه البائعون الرابحون ومنتعشون عن التعادل — وتعوزُ عمق الشراء في دفتر الأوامر يتيح لأوامر بيع صغيرة نسبياً دفع السعر أبعد من المعتاد.

وأضاف الاستدان بالرافعة المالية إلى الضغط. فالمراكز الصاعدة التي فُتحت قرب القمة الأخيرة واجهت ضغط وقف الخسائر مع انهيار الارتفاع، وسارع التصفية القسرية إلى تسريع الهبوط نحو منطقة 2,400 دولار. وإذا استسلم نطاق 2,407–2,422 دولاراً، يتوقع نموذجنا المركّب أن يمتد البيع التقني باتجاه الدعم الرئيسي التالي قرب 2,263 دولاراً. وتظروف الاقتصاد الكلي تغذي جانباً كبيراً من هذا الضغط: رفع الاحتياطي الفيدرالي الفائدة بمقدار 0.25 نقطة مئوية إلى نطاق مستهدف 3.75%–4.00%، وتأجيل مجلس الشيوخ الأمريكي مشروع قانون CLARITY — وهو تعطيل تشريعي سبق أن أوصل ETH إلى 2,388 دولاراً في جلسة سابقة — إضافة إلى ارتفاع أسعار النفط، عوامل مجتمعة شدّت السيولة عبر قطاع الكريبتو. وتتأكد التدفقات من ذلك: فقد تصدّر صندوق BlackRock المسمى ETHA قافلة تدفق خارج يبلغ 141.5 مليون دولار في يوم واحد من صناديق صناديق المؤشرات المتداولة (ETF) الأمريكية لإيثيريوم الفورية. ويحذّر المحللون من تفسير الرفض بوصفه «تصفية» متعمدة من كبار اللاعبين — فالرفض عند مقاومة مكدسة عملية اعتراض عرض اعتيادية في المصطلح التقني. والإشارة البنّاءة التي ينتظرها الجميع هي أن تبني ETH داخل النطاق نمط دعم مدعوماً بالحجم، بدل الاستسلام والاختراق عبره.

السبب الجذري موثق على السلسلة

تُخضِع الحكايتان معاً منظومة إيثيريوم لاختبار ضغط في طبقتين مختلفتين. فعلى مستوى التطبيقات، تُثبت معلنة وقابلة للتحقق المستقل: تنبيه Phalcon وتفكيك GoPlus اللاحق للحادثة حصرا المحفظة المُستنزَفة والمنفّذ المعطوب، ويمكن لأي أحد أن يتتبع تدفق الـ 7.8 مليون دولار — نحو 2,900 rsETH استُبدلت في Aave ووُجّهت إلى «Yoink» — مباشرة على السلسلة. وتتوافق التقارير اللاحقة للحادثة على نقطة معالجة واحدة: الخلل كان في فحص التخويل لمنفّذ خارجي واحد، لا في عقود Safe الأساسية ولا في Aave ولا rsETH، ما يستوجب نطاقاً أكثر ضبطاً لصلاحيات الوحدات في الحسابات الذكية. أما على مستوى السوق، فالرفض عند 2,500 دولار قصة سيولة لا قصة بروتوكول — وهذا ما يجعل نطاق 2,407–2,422 دولاراً المؤشر القريب الأصفى.