SecondFi تقدم 30 عملة ADA لكل NFT غير قابل للاستعادة بعد اختراق كاردانو (ADA) البالغ 21 مليون دولار

افتتاح بوابة التعويض من SecondFi

بدأت القصة بعيب في كود معالجة المفاتيح داخل محافظ العملات الرقمية التي تقدمها SecondFi لشبكة كاردانو (ADA). ففي يونيو 2026، أدخل خلل في طريقة اشتقاق المحافظ لقيم النونس، وهي أرقام تُستخدم مرة واحدة في كل توقيع للمعاملة، المفاتيح الخاصة للمستخدمين تحت التهديد المباشر، وخرجت أصول بقيمة تقارب 21 مليون دولار من منصة التمويل الرقمية قبل إغلاق الملف، وهو مبلغ اعتمده المشروع كتكلفة رئيسية للحادثة. لم تُوثَّق كيفية وصول العيب إلى بيئة التشغيل بشكل كامل، إذ لم تنشر SecondFi تقريرًا فنيًا شاملًا يحدد مسار الكود المسؤول. وتظهر بيانات السلسلة من سجلات الحادثة حركتين منفصلتين: المتسللون سحبوا 2.4 مليون دولار مباشرة من المحافظ المتضررة، بينما أزال جهة مجهولة تعمل بروح القراصنة الأخلاقيين 18.5 مليون دولار إضافية في إطار ما وصفه المشروع بجزء من استجابته الأمنية. وبعد أربعة أشهر من التأجيلات المتكررة التي أعلنتها الشركة خلال الصيف، بدأت مرحلة التعويض فعليًا. أطلقت SecondFi بوابة الاستعادة يوم الأربعاء، بما يتيح للمتضررين تقييم خسائرهم مقابل "لقطة حادثة" لاختراق يونيو. وتسمح البوابة للمستخدمين بالتحقق من محافظهم المتضررة وتقديم مطالبة عن أي أصول سُحبت. وتحذر الشركة من أن اللقطة ليست سوى تقدير، معلنة أن "المبلغ النهائي قد يختلف". وحيث لا يمكن إعادة الأصول بصيغتها الأصلية، يقدم العرض مبلغًا ثابتًا قدره 30 عملة Cardano (ADA) بقيمة 7.60 دولار وفق السعر الذي حدده المشروع، ويطبق هذا الرقم على كل NFT غير قابل للاستعادة، وهي فئة أصول تمتد قيمها السوقية من هامشية إلى أعلى بكثير من قيمة التعويض. وتتطلب المطالبات أيضًا وجهة جديدة: على المتضررين تقديم عنوان محفظة حديث الإنشاء لاستلام الأموال المعادة، بما يبقي الأصول المستردة بعيدًا عن العناوين التي لمسها اختراق يونيو. وتراجع سعر كاردانو (ADA) بنسبة 4.4% خلال 24 ساعة الماضية، في استجابة سوقية هادئة لخطة استغرقت أربعة أشهر حتى صدرت.

موعد أغسطس انزلق عبر سبتمبر

لم يكن وصول البوابة في وقته المحدد. فقد حددت SecondFi في البداية موعد الإطلاق في أغسطس، وهو تاريخ دفعته الشركة إلى الوراء عدة مرات على امتداد سبتمبر قبل الإفراج يوم الأربعاء. وبقي المتضررون ينتظرون مع كل تأجيل دون مسار رسمي لتقديم المطالبات. وتسير عملية المطالبات على خطوات محددة، وكل خطوة منها تضيف وقت انتظار. يتحقق المتضررون أولاً من عناوين محافظهم المتضررة مقابل لقطة الحادثة، ثم ينتج أداة تفصيلًا تقديريًا للأصول المؤهلة للاستعادة. بعد ذلك يقدمون عنوان محفظة حديث الإنشاء كوجهة لأي أموال تعاد. وتولَّد في الخطوة التالية إثبات المعرفة الصفرية، وهي طريقة تشفيرية للتحقق من صحة المطالبة دون الكشف عن البيانات الكامنة خلفها، وهي خطوة قد تستغرق حتى 15 دقيقة. وتستغرق عملية مطالبات الاستعادة ذاتها حتى خمسة أيام عمل، ما يدفع حتى المطالبات السلسة نحو منتصف أكتوبر. ويبرز تعليم واحد في الدليل الرسمي للمشروع: فهو يوصي بكتابة العبارة الخاصة للاستعادة الخاصة بمحفظة مُخترقة، أي البذرة الرئيسية التي تتحكم بكل عنوان في محفظة HD، مباشرة في صفحة SecondFi على الويب. يفتح هذا التوجيه المستخدمين أمام هجمات انتحال النطاق والوسيط الخبيث إذا لم تكن الصفحة المحملة هي الأصلية، وهو خطر يبقى قائمًا حتى مع انطلاق البوابة. ولا يعتمد الخطر على نوايا SecondFi نفسها؛ فنطاق مقلد يكفي لإوقع الضحايا. وقد أصبح ملف الاستعادة الآن نشاط الشركة لشبكة العملة البديلة بالكامل: إذ أعلنت SecondFi بعد الحادثة أنها تقلص عملياتها للتركيز على استعادة الأصول. وتتحمل الشركة الأم كلفة سمعية أيضًا. فقد تخلت Emurgo، الشريك المؤسس لشبكة كاردانو ومنشئ SecondFi، عن إدارة جناحها في ملتقى Token2049 نتيجة الاختراق، وهي حادثة ترتبط بنزاع جناح Token2049 الذي غطته COINOTAG في وقت سابق من هذا الأسبوع.

تقديرات اللقطة تواجه قيم سوق NFT

الرقم الذي يستحق المتابعة داخل البوابة هو المبلغ الثابت البالغ 30 عملة Cardano (ADA)، أي نحو 7.60 دولار، المطبق على كل NFT غير قابل للاستعادة بغض النظر عن قيمته السوقية. أصحاب المجموعات منخفضة القيمة يحصلون على حد أدنى، بينما يتحمل مالكو الأصول التي تداولت أعلى من هذا المستوى بكثير العجز الناتج، وتحذير "المبلغ النهائي قد يختلف" يترك حتى تقديرات اللقطة دون ضمان. ويبقى توصية إدخال العبارة السرية الخطر التشغيلي المتبقي: على الحائزين الذين ينقلون أموالهم بعد التعرض للاختراق اعتبار المحفظة الباردة خط الأساس، ودليلنا حول تخزين ADA بمحفظة Ledger يغطي أحد هذه المسارات. ولم تُنشر بَعْد بصمات معاملات المهاجم ولا تقرير فني شامل، ما يجعل توزيع 2.4 مليون دولار و18.5 مليون دولار، في الوقت الحالي، معتمدًا على رواية المشروع نفسها لسجلات يونيو.