Predict.fun تلتزم بسداد كامل 400,000 USDT سُحبت من 29 محفظة

التزام بالتعويض عن الخسائر المباشرة

أعلنت منصة أسواق التوقعات Predict.fun التزامها بتعويض المستخدمين بالكامل عن خسائرهم المباشرة في حادثة سحب أموال من المحافظ، بعدما قدرت حجم الأضرار بنحو 400,000 USDT، وهي العملة المستقرة الرابطة بالدولار التي تصدرها Tether. وفي بيان صدر الثلاثاء 27 أكتوبر، أوضحت الشركة أن تحويلات غير مصرح بها طالت عددًا محدودًا من محافظ المستخدمين، وأن تعهّد بالسداد يشمل كل من فقد أمواله بشكل مباشر في الواقعة. الرقم المعلن يمثل حجم الضرر لا إشارة إلى اكتمال السداد، والالتزام محصور في الخسائر المباشرة ويعتبر وعدًا لم يُنفذ بعد.

تراكمت الخسائر على موجتين: تحويلات أولى يوم الخميس 22 أكتوبر، ودفعات ثانية يوم الثلاثاء 27 أكتوبر، وسُحبت جميعها من 29 محفظة للمستخدمين في المجموع. وحافظ سعر USDT على ارتباطه بالدولار طوال الحادثة، ما يعني أن المشكلة أمن حفظ المفاتيح لا حدث سوقي. وخلص التحقيق الأولي للمنصة إلى اختراق قصير الأمد لموقع توثيق واجهة برمجية تستضيفه جهة خارجية بوصفه نقطة الدخول المحتملة، وأخذت الشركة الموقع خارج الخدمة حتى انتهاء التحقيق. وشددت على أن هذا الاستنتاج مبدئي، إذ لم يُثبت بعد المسار الرابط بين الموقع المخترق والتحويلات غير المصرح بها. ولم تكشف المنصة عدد المتأثرين ولا جدولًا زمنيًا لإتمام السداد، ولا ما إذا كانت المحافظ المتضررة تشترك في مزوّد خدمات أو بنية تحتية واحدة. وافقت على نشر تقرير تحقيقي مفصل يوضح تسلسل الخميساث والإجراءات المتخذة لمنع التكرار فور انتهاء التحقيق.

مسار السلسلة نحو Tornado Cash

فحصت شركة Bitquery، المتخصصة في تحليل بيانات البلوكتشين، سجلات معاملات BNB Chain وحصت موجتي تدفق إجماليهما 397,708 USDT، وهو مبلغ يقارب الأرقام المعلنة من Predict.fun. جلبت الموجة الأولى يوم 22 أكتوبر 125,029 USDT من ست محافظ، فيما بلغت الموجة الثانية، وفق القياس حتى 27 أكتوبر، 272,679 USDT. وسجلت الشركة ضمن هذه الموجة نحو 262,000 USDT خرجت من 19 محفظة خلال 34 دقيقة فقط، وهو تركّز يشير إلى تنفيذ آلي مبرمج لا سحوبات يدوية. أما حصيلة الـ29 محفظة المستنزفة فتعد العناوين التي خرجت منها الأموال، لا عدد المستخدمين المتضررين، لأن المستخدم الواحد قد يدير عدة عناوين.

الدليل الأدق هو التوقيعات: تحليل Bitquery لـ33 تحويلًا غير مصرح بها يظهر أن كل واحد منها وقّع بمفتاح مالك المحفظة نفسها التي استُنزفت. ولم تستدعِ أي معاملة عقود التداول أو الأسواق الخاصة بـPredict.fun. وتؤكد كل توقيع لمفتاح خاص أن الطرف المنفذ كان يملك المحفظة لحظة التحويل، لكن سجلات السلسلة وحدها لا تكشف من حاز تلك المفاتيح ولا كيف حصل عليها. وتقود التتبعات جزءًا من العائدات على مسار من BNB Chain إلى شبكة Ethereum ثم إلى Tornado Cash، وهو ممزج مصمم لحجب أصول الأموال، وقد سجل تقرير التحقيق إيداع 166.8 ETH فيه. وتدفقات الأموال وحدها لا تحدد هوية من حركها. وبعد نحو ساعة من صدور بيان Predict.fun، خرج 4,900 USDT إضافي من حساب مختلف، وأدرجت الشركة هذا التحويل في إجماليها. وقد تكررت حوادث مشابهة هذا العام في القطاع، من بينها استنزاف 4.85 مليون USDT على شبكة Ethereum رصدته فرق الأمن، وخسارة 15.99 مليون USDT من محافظ متقاعدة لدى CoinDCX.

توقيعات مفاتيح المالك تبتعد عن البروتوكول

ثلاثة وثلاثون تحويلًا وقّعت بمفاتيح ملكية فردية، موزعة على خمسة أيام ولم تمس عقود المنصة إطلاقًا، ما يرجّح اختراق مواد مفاتيح المستخدمين لا ثغرة على مستوى البروتوكول. والتوقيت المتدرج يدحض فرضية تسرب عبارة استرداد واحدة، فهي لو كانت مكشوفة لكانت كشفت كل المحافظ دفعة واحدة؛ ويطابق السجل أكثر اختراق كل مفتاح على حدة، كما في التصيد، وهو نمط وثّقه باحثو الأمن في مواقع مزيفة بنيت لحصد USDT. حققت الاستجابة حتى الآن قدرًا محدودًا: الموقع المشتبه به خارج الخدمة، والتعهد بالسداد مسجل رسميًا. أما المفتوح فأوسع: متجه الهجوم المؤكد، وبيان لطريقة حيازة 29 مفتاحًا منفصلًا، وأي سدادات مكتملة. ولا يزال تقرير Predict.fun التحقيقي نية لم تتحول بعد إلى نتيجة منشورة.