تم اختراق عقد Fusion، وتم تحويل 267,000 دولار إلى Tornado Cash، مما يرسل إنذارًا أمنيًا آخر لـ DeFi

وفقًا لأحدث الأخبار، رصدت CertiK Alert في 7 يناير وجود ثغرة أمنية خطيرة في عقد Fusion PlasmaVault، حيث قام الهاكرز خلال عملية سحب واحدة بنقل جميع الأموال (حوالي 267,000 دولار أمريكي) إلى عنوان EOA 0x9b1b عبر عقد “fuse” المُعد، ثم عبر جسر متعدد السلاسل تم النقل إلى إيثريوم وإيداعه في Tornado Cash. هذا الحدث يكشف مرة أخرى عن المخاطر الأمنية في مرحلة تكوين العقود في بروتوكولات DeFi.

تفاصيل الحدث: من التكوين إلى الإخفاء عبر سلسلة كاملة

تحليل عملية الهجوم

الجوهر في هذا الهجوم هو استغلال فرق التوقيت:

• قام الهاكرز ببدء عملية السحب خلال ثوانٍ بعد إكمال تكوين عقد “fuse”
• استغلوا ثغرة منطقية في مرحلة تكوين العقد لتجاوز آليات إدارة الأموال العادية
• نقلوا جميع الأموال مرة واحدة إلى عنوان EOA واحد 0x9b1b
• عبر جسر متعدد السلاسل تم النقل إلى إيثريوم وأخيرًا إلى Tornado Cash

المفتاح في هذه العملية هو ثغرة نافذة التكوين. عادةً، في مراحل التهيئة أو التكوين، تكون هناك مشاكل في فحص الأذونات، والهاكرز استغلوا هذه النافذة الزمنية لنقل الأموال.

لماذا تم اختيار Tornado Cash

دخول الأموال إلى مُعقم Tornado Cash ليس صدفة، ويعكس نية واضحة من الهاكرز:

• إخفاء مصدر ووجهة الأموال: يُعطل Tornado Cash تتبع الأموال على السلسلة
• التحايل على تجميد الأموال: بعد الدخول إلى المُعقم، يصعب تتبع أو تجميد الأموال
• التحضير للاختباء على المدى الطويل: ليست عملية تصفية سريعة، بل إخفاء دائم

هذا الاختيار يدل على فهم عميق من الهاكرز لنظام DeFi وأدوات الخصوصية.

إشارات أمان أكبر

هذه ليست حادثة معزولة. وفقًا لأحدث البيانات المراقبة، تتكرر حوادث أمان DeFi بشكل متكرر:

كلا الحدثين يعكسان مشكلة واحدة: ضعف السيطرة على الأذونات في مراحل التهيئة والتكوين للعقود في DeFi.

لماذا تستمر هذه الثغرات في الوجود

• التسرع في الإطلاق أدى إلى عدم كفاية فحص التكوين
• فريق التطوير لم يأخذ في الاعتبار جميع الحالات الحدية
• حتى مع التدقيق، من الصعب تغطية جميع السيناريوهات
• استغلال الهاكرز للنافذة الزمنية أصبح أكثر دقة

الدروس للمستخدمين والمشاريع

تذكير للمشاريع

• يجب أن تتضمن مراحل التكوين آليات توقيع متعددة أو قفل زمني
• بعد التهيئة، يجب أن يكون هناك فترة انتظار قبل أن يكون العقد جاهزًا للاستخدام
• إدارة الأذونات يجب أن تكون متعددة المستويات، ولا يملك عقد واحد السيطرة على جميع الأموال

نصائح للمستخدمين

• كن حذرًا عند المشاركة في مشاريع جديدة، وانتظر فترة لمراقبة الأداء
• تابع التنبيهات والمراقبة المستمرة من قبل جهات أمنية مثل CertiK
• لا تودع مبالغ كبيرة مرة واحدة في عقد واحد
• قم بمراجعة أذونات المحفظة بانتظام، واطلب سحب الأذونات غير الضرورية

الخلاصة

خطورة حادثة Fusion لا تكمن فقط في خسارة 267,000 دولار، بل في كشف ثغرات نظامية. الهاكرز استغلوا نافذة التكوين، ثم عبروا السلسلة، وأخيرًا دخلوا إلى المُعقم، مما يدل على أن هجمات على DeFi أصبحت تتبع أساليب متطورة.

وهذا يذكر المجتمع بأهمية: التدقيق والمراقبة مهمة، لكنها ليست كافية بمفردها. الأمان الحقيقي يتطلب من المشاريع أن تفكر بشكل شامل منذ مرحلة التصميم، ويجب على المستخدمين أن يظلوا يقظين. مع جاذبية أرباح DeFi، يبقى إدارة المخاطر دائمًا في المقام الأول.