18 مشغلاً لعقد THORChain يخسرون نحو 140 RUNE بسبب خلل مطابقة في Zcash

تتكبد مجموعة من مشغلي العقد على شبكة THORChain كلفة خلل برمجي في معالجة Zcash، بعدما أظهرت بيانات السلسلة انتزاع ما يقرب من 140 THORChain (RUNE) من سنداتهم فيما يعرف بقطع الخزنة. وجاء هذا الخلل في لحظة حساسة للسوق، إذ تحرك سعر THORChain (RUNE) بنسبة 4.3% خلال 24 ساعة بينما كان البروتوكول يستوعب تداعيات الحادثة. وتأكدت أن أموال المستخدمين لم تمسّ إطلاقاً: كل من نفذ مبدلة من أو إلى Zcash استلم أصوله كاملة، ووقع الخصم بالكامل على المشغلين الذين يودعون RUNE كضمانة خلف الخزنات التي تسوي المبادلة الذرية لعملة ZEC. وأكّد THORChain الحادثة في منشور رسمي نشره يوم الاثنين 19 أكتوبر، ووصف فيه قطعاً للخزنة ناتجاً عن مشكلة مطابقة في التحويلات الصادرة ضمن تكامل Zcash. وجوهر الخلل يكمن في طريقة إقران البروتوكول للمعاملات الصادرة بوجهاتها: فقد عولج عنوان من نوع TEX على Zcash، وهو نوع وجهة لا يقبل سوى التحويلات المحمية، والعنوان الشفاف المقابل له باعتبارهما مكانين منفصلين بدلاً من وجهة واحدة، فانكسر منطق الإقران. وحين فشلت المطابقة، تحمّلت الخزنة الخطأ، فخس السند خلفها الكلفة. وتجارة ZEC الأصلية مجمّدة منذ الحادثة، ويعلن البروتوكول أنها ستبقى متوقفة إلى أن يشحن الإصلاح ضمن إصدار v3.21.0. ولم يدمّر القطع أي قيمة على جانب المستخدم، وهو ما يقوله تصميم النظام نفسه: يضع المشغلون THORChain (RUNE) ضمانة تحديداً حتى تصيب أي إخفاق في الخزنة حصتهم أولاً. وكان الإخفاق هنا برمجياً لا سرقة، ولم يخرج عن جيبه سوى المشغلين الثمانية عشر الذين غطت سنداتهم الخسارة. وبالرغم من أن نحو 140 RUNE موزعة على 18 سنداً تبقى مبلغاً متواضعاً لكل مشغل، فإن الحادثة تصل شبكة وسّعت للتو مجموعتها الفعالة من 87 عقداً إلى 103 في سبتمبر، بحسب تقريرها الخاص بحالة الشبكة.

يصل الإصلاح مع الإصدار v3.21.0، وتنص ملاحظات الإصدار على أن جميع عمليات المطابقة الصادرة ستمر الآن عبر مقارن موحّد واحد للوجهات، ما يعني أن عنوان TEX على Zcash والعنوان الشفاف المقابل له يُعاملان على أنهما وجهة واحدة، وأن التحويلات الصادرة من ZEC إلى عناوين TEX تصطف كمعاملات شفافة. وبمجرد تفعيل ترقية الشبكة NU6.3، تتحول التحويلات الشفافة الصادرة من ZEC إلى توقيع v6 على مستوى الأسطول بأكمله، وهو تغيير محكوم بمفتاح التحكم HALTSIGNINGZEC. وحدد التفعيل عند الكتلة 28,366,100، ويتوقع THORChain وصولها نحو الساعة 13:40 بتوقيت UTC يوم الجمعة 23 أكتوبر، مع الإقرار بأن ارتفاع الكتلة هو المرجع الملزم بينما يبقى التوقيت تقريبياً. ويتعين على مشغلي العقد تشغيل ملف تنفيذي خاص يحمل ترقيعات أمنية بدلاً من البناء من الشيفرة المصدرية. ولم تكن ZEC الخدمة الوحيدة المتوقفة التي يستهدفها الإصلاح: فتداول Solana توقف بعد ظهور نوع جديد من معاملات Solana على تلك الشبكة، ويتيح الإصدار v3.21 إعادة تشغيله. كما يعالج الإصدار نفسه خللاً في طبقة التطبيقات وقف خلفه الهجوم الأخير على عقد FIN التابع لمنصة Rujira، ويعيد فتح المبادلات المحدودة التي أوقفها تضخم الحالة، ويصلح صرف عمولات الشركاء في SwapKit ليتاح لمجموعة من المدمجين إعادة تشغيل THORChain. أما المبادلات الخالية من الملاحظات فستُسعّر ديناميكياً لمقاومة الرسائل المزعجة، مع ترتفع كلفة التسجيل كلما امتلأت فتحات الملاحظات، ويتيح Mimir إعادة قبولها. ويغيب Monero عن الإصدار v3.21، إذ رُدّت إصلاحاته إلى v3.21.1 التي لا تحمل تاريخاً بعد. ويأتي التوقيت عسيراً لتكامل حديث، فمجمع ZEC من أحدث مجمعات THORChain، وقد قرّب ترقية v3.20 بتاريخ 25 أغسطس 2026 كلّاً من Monero وZcash من التفعيل، مع إطلاق مجمع سيولة أصلي لـZEC في مطلع أكتوبر، كما أعادت v3.20 دعم Solana وBase وBNB. ويذكر أن الشبكة أعادت فتحها يوم 23 يونيو بعد جولة تحصين أمني من 11 مرحلة استغرقت 39 يوماً، أعقبت اختراقاً بقيمة 10.7 مليون دولار في مايو 2026. ويضيف الإصدار v3.21 خاصية تدفق عائد لمزودي السندات تتيح لهم إرسال جزء من عائد سنداتهم مباشرة إلى محافظهم، لكنها تبقى معطلة إلى أن يفعّلها Mimir.

السندات غطت الخلل البرمجي

تقرأ الحادثة في ضوء التحليل الذي نشره البروتوكول نفسه على أنها انكشاف على ترتيب استيعاب الخسائر في THORChain (RUNE) أكثر منها انكشافاً على Zcash ذاتها. ففي قطاع سرقت فيه الجسور عبر السلاسل أموال المستخدمين مراراً، دفعت هذه الإخفاقة كلفة الخلل على المشغلين الثمانية عشر المرتبطين بالسندات، وبقية كل متداول مبدلٍ غير متضرر، وهو التصميم يعمل كما كُتب. وتبقى الأضرار صغيرة من حيث حجم العملات، نحو 140 RUNE موزعة على 18 سنداً، لكنها وصلت أياماً بعد توسيع المجموعة الفعالة من 87 عقداً إلى 103، ما يعني أن رأسمالاً مرتبطاً بالسندات أكبر يجلس الآن خلف كل خطأ قادم في الخزنات. ولا يعرض المنشور الرسمي للبروتوكول أي تعويض للمشغلين القطع سنداتهم، فطريقتهم للعودة تمر عبر أرباح تشغيل العقد، بدءاً بعائد التدفق الذي يضع الإصدار v3.21 بين أيديهم.