رسم توضيحي لمخطط عقد واتصالات يمثل عقود بروتوكولات التمويل اللامركزي المترابطة ومسارات الاستغلال

وعد التمويل اللامركزي بنظام مالي بلا بنوك أو وسطاء أو خط خدمة عملاء، نظام تفرض فيه الشيفرة كل قاعدة بدلاً من شركة. لكن هذا التصميم نفسه خلق أيضاً نوعاً جديداً من الأهداف. فعندما يعمل مجمع إقراض أو منصة تداول لامركزية بالكامل على برمجية مفتوحة المصدر تقيم على بلوكتشين عام، يستطيع أي شخص في العالم قراءة كل سطر فيها، واختبارها مقابل أموال حقيقية على نسخة محلية، والبحث عن الثغرة الواحدة التي تحوّل البروتوكول إلى مصدر مجاني للمال. نادراً ما يكون استغلال التمويل اللامركزي اقتحاماً بالمعنى الذي يُقتحَم به خزنة بنك. بل هو أقرب إلى أن يجد أحدهم ثغرة في قواعد لعبة لا يستطيع أي حكم إيقافها بمجرد بدئها، لأن الحكم هو الشيفرة نفسها.

بلغت الخسائر الإجمالية الناجمة عن استغلالات التمويل اللامركزي مليارات الدولارات على مدى السنوات القليلة الماضية، وقد أنتج عام 2026 بالفعل بعضاً من أكبر الحوادث الفردية المسجَّلة. وفهم الأنماط القليلة الكامنة وراء معظم هذه الخسائر يجعل عناوين الأخبار أقل غموضاً بكثير، ويوضح لماذا يعتمد الاسترداد بعد أي استغلال بشدة على السرعة وعلى تتبع الأموال قبل أن تتفرّق.

ما الذي يجعل بروتوكول التمويل اللامركزي هدفاً

عدة سمات تجعل التمويل اللامركزي جذاباً للمستخدمين الشرعيين هي السمات نفسها التي تجعله جذاباً للمهاجمين. فالبروتوكولات بلا إذن، بمعنى أن أي شخص يمكنه التفاعل مع مجمع إقراض أو منصة تداول لامركزية أو جسر دون حساب أو عملية موافقة أو علاقة مع المنصة. والعقود عادة غير قابلة للتعديل بمجرد نشرها، لذا فإن الثغرة المكتشَفة بعد الإطلاق غالباً لا يمكن ترقيعها ببساطة كما يمكن لتطبيق ويب. أما القيمة الإجمالية المقفلة، وهو المصطلح المستخدم في القطاع للدلالة على مقدار رأس المال الموجود داخل بروتوكول في أي لحظة، فتُركِّز مبالغ هائلة في عدد صغير من العقود الذكية القابلة للقراءة علناً. لا يحتاج المهاجم إلى تخمين أين يوجد المال. فهو منشور على السلسلة، في الوقت الفعلي، ليراه الجميع.

وتزيد قابلية التركيب المخاطر تعقيداً. فبروتوكولات التمويل اللامركزي الحديثة تستعير بشكل روتيني بيانات الأسعار أو السيولة أو المنطق من بروتوكولات أخرى، لذا يمكن لضعف واحد في لبنة بناء مستخدَمة على نطاق واسع أن يمتد تأثيره إلى كل بروتوكول يعتمد عليها. وهذا الترابط هو أيضاً سبب أهمية دليلنا حول غسل الأموال عبر السلاسل إلى هذا الحد بمجرد نجاح أي استغلال. فنادراً ما تبقى الأموال على السلسلة التي سُرقت منها لفترة طويلة.

أنماط الهجوم الأساسية وراء معظم الاستغلالات

إعادة الدخول

تستغل إعادة الدخول خطأً في تسلسل التنفيذ. فعندما يرسل عقد أموالاً إلى عنوان قبل أن ينتهي من تحديث سجلاته الداخلية لمن يملك ماذا، يمكن لمهاجم استخدام عقد استقبال مصمَّم خصيصاً لاستدعاء الدالة الأصلية مجدداً، ومجدداً، قبل أن ينتهي الاستدعاء الأول أصلاً من تحديث الرصيد. وكل إعادة دخول تستنزف مزيداً من الأموال مقابل رصيد لا يزال العقد يعتقد أنه لم يُمَس. وتستهدف المتغيرات الأحدث دوالاً للقراءة فقط أثناء انتقال الحالة، مما يتيح للمهاجم استغلال لحظة تكون فيها رؤية البروتوكول لأرصدته الخاصة خاطئة مؤقتاً، حتى لو كانت الدالة المُستدعاة نفسها غير قابلة لإعادة الدخول بالمعنى التقليدي.

التلاعب بأوراكل الأسعار

تحتاج كثير من بروتوكولات التمويل اللامركزي إلى معرفة السعر السوقي الحالي لأصل ما لحساب قيم الضمانات والتصفيات وأسعار المبادلة. وعندما تسحب تلك التغذية السعرية، المعروفة بالأوراكل، بياناتها مباشرة من احتياطيات منصة تداول لامركزية بعينها بدلاً من مصدر سوقي واسع ومتوسَّط زمنياً، يستطيع مهاجم يملك رأس مال يكفي لمعاملة واحدة دفع سعر مجمع ضعيف التداول بشدة في اتجاه واحد، والاقتراض أو التصفية مقابل ذلك السعر المشوَّه، ثم عكس الصفقة بعد لحظة. لم يعرف البروتوكول قط أن السعر مزيّف. فكل ما رآه هو الرقم الذي أبلغه الأوراكل.

تضخيم عبر قروض الفلاش

لا يملك معظم المهاجمين ملايين الدولارات من رأس مالهم الخاص جاهزة للتلاعب بسعر أو إغراق مجمع سيولة. وتزيل قروض الفلاش هذا الحاجز بالسماح لأي شخص باقتراض مبالغ هائلة دون أي ضمان على الإطلاق، شريطة أن يُقترَض القرض ويُسدَّد بالكامل ضمن معاملة بلوكتشين واحدة. وإذا فشلت أي خطوة في خطة المهاجم، تتراجع المعاملة بأكملها ببساطة كأنها لم تحدث قط، مما يُلغي أي مخاطرة على المهاجم. للاطلاع على شرح كامل لكيفية عمل هذه الآلية، راجع دليلنا حول هجمات قروض الفلاش.

الاستيلاء على الحوكمة

تُحكَم كثير من بروتوكولات التمويل اللامركزي عبر تصويت حاملي الرموز بدلاً من مجلس إدارة شركة. وإذا أمكن اقتراض رموز الحوكمة بتكلفة زهيدة، يستطيع مهاجم الحصول مؤقتاً على قوة تصويت كافية لتمرير اقتراح خبيث، أحياناً اقتراح يُجيز مباشرة تحويل خزينة البروتوكول إلى محفظة المهاجم نفسه، وتنفيذه قبل أن يتاح لأحد وقت للاعتراض أو تنظيم تصويت مضاد.

المفاتيح المخترَقة والأهداف البشرية

تحوَّل ميزان خسائر التمويل اللامركزي في السنوات الأخيرة. ويفيد باحثون في القطاع يتتبعون حوادث عامي 2025 و2026 بأن الحسابات وبيانات الاعتماد المخترَقة، لا أخطاء العقود الذكية الصرفة، باتت الآن مسؤولة عن أكثر من نصف قيمة جميع هجمات التمويل اللامركزي. وبدلاً من البحث عن ثغرة برمجية، يستهدف المهاجمون بشكل متزايد البشر الذين يشغِّلون البروتوكول، مطوّريه ومساهمي منظمته اللامركزية المستقلة وموردي بنيته التحتية، عبر حملات تصيد وبرمجيات خبيثة وهندسة اجتماعية، ثم يستخدمون الوصول الذي حصلوا عليه للموافقة على معاملات احتيالية أو إفساد تغذيات بيانات موثوقة مباشرة.

داخل اثنين من أكبر حوادث عام 2026

يوضح استغلال بروتوكول Drift في أبريل 2026 كيف تتداخل هذه الفئات بشكل متزايد. فبدلاً من ثغرة واحدة واضحة، أدخل المهاجمون أصلاً مزيفاً إلى البروتوكول، وتلاعبوا بسعره المُبلَّغ، واستخدموا القيمة المتضخِّمة كضمان لسحب أكثر من 280 مليون دولار من أموال حقيقية، في مزيج من خلل منطقي وتلاعب سعري عملا معاً.

أما استغلال Kelp DAO، في أبريل 2026 أيضاً، فسلك مساراً مختلفاً. فقد اخترق المهاجمون البنية التحتية التي تغذّي مُدقِّق الجسر بين السلاسل التابع للبروتوكول بالبيانات، بينما عطَّلوا في الوقت نفسه خدمات خارجية كان يمكن أن تكتشف الشذوذ، ثم جعلوا الجسر يوافق على رسائل سحب مزوَّرة لأموال لم تُودَع قط بشكل شرعي. واستُنزِف نحو 292 مليون دولار من الأصول المرهونة، ما جعله واحداً من أكبر استغلالين للتمويل اللامركزي في ذلك العام. ولم يكن أي من الحادثين أساساً مسألة سطر واحد مهمَل من شيفرة Solidity. بل تضمّن كلاهما بنية تحتية وافتراضات ثقة محيطة بالعقد، لا مجرد حسابات العقد وحدها.

لماذا لا تُعَد عمليات التدقيق ضماناً

افتراض شائع بين مستخدمي التمويل اللامركزي الجدد هو أن البروتوكول الذي اجتاز تدقيقاً أمنياً احترافياً آمن للاستخدام. ويوضح استغلال Balancer في نوفمبر 2025 لماذا هذا الافتراض غير مكتمل. فقد خضعت مجمعات النسخة الثانية من Balancer، بحسب ما أُفيد، لأحد عشر تدقيقاً منفصلاً أجرته أربع شركات أمنية مختلفة، قبل أن يعثر مهاجم رغم ذلك على خطأ في التقريب عميقاً داخل دالة تُستخدَم لحساب كميات الرموز أثناء نوع معيّن من المبادلات، ويستغله. وبصياغة دقيقة لسلسلة من عمليات المبادلة المجمَّعة، قمع المهاجم السعر المُبلَّغ لرمز سيولة المجمع نفسه، وكرَّر التلاعب عبر عشرات المعاملات الدقيقة السريعة، لينتهي الأمر باستنزاف نحو 128.64 مليون دولار عبر ست شبكات بلوكتشين منفصلة في أقل من ثلاثين دقيقة.

الدرس المستفاد ليس أن عمليات التدقيق عديمة القيمة. بل إن التدقيق يراجع شيفرة محددة وسيناريوهات محددة صُمِّم لفحصها، في نقطة زمنية محددة، ولا يستطيع استبعاد كل حالة حسابية طرفية ممكنة قد يعثر عليها مهاجم مصمِّم في نهاية المطاف بشكل شامل، لا سيما في شيفرة أُعيد استخدامها أو توسيعها أو نشرها على سلاسل إضافية بعد المراجعة الأصلية.

نقطة أساسية

التسوية على البلوكتشين نهائية خلال ثوانٍ ولا توجد آلية استرداد مدفوعات، لذا فبمجرد تنفيذ أي استغلال، ينتقل السؤال العملي فوراً من الوقاية إلى تتبع الوجهة التالية للأموال.

لماذا يصعب جداً عكس هذه الخسائر

بمجرد خروج الأموال من بروتوكول مُستغَل، يتحرك المهاجم عادة بسرعة، غالباً خلال دقائق، مقسِّماً العائدات عبر محافظ متعددة، وموجِّهاً إياها عبر جسور بين السلاسل لتعقيد المسار، وفي بعض الحالات يمررها عبر خدمات خلط قبل أن تتاح لأي منصة تداول أو محقق فرصة واقعية لوضع علامة على العناوين المتورطة. وتبقى المعاملات نفسها مرئية بشكل دائم على البلوكتشينات المعنية. فما يصبح صعباً ليس معرفة إلى أين ذهب المال، بل ملاحقته بسرعة كافية، ومسافة كافية، قبل وصوله إلى منفذ يحوّله إلى شيء أصعب تتبعاً.

ما الذي يفحصه المحققون بعد أي استغلال

يبدأ تحقيق البلوكتشين الذي يتبع استغلال تمويل لامركزي عادة بمعاملة الاستغلال نفسها، برسم خريطة لكل عنوان تلامسه الأموال المسروقة من تلك النقطة فصاعداً. يغطي دليلنا حول كيفية عمل تتبع البلوكتشين المنهجية الأساسية بمزيد من العمق، ويشرح دليلنا حول تتبع الأموال عبر بلوكتشينات متعددة كيف يتابع المحللون الأصول بمجرد مغادرتها شبكتها الأصلية، وهو ما يحدث في الغالبية العظمى من الاستغلالات الكبيرة.

تقليل التعرض كمستخدم أو كبروتوكول

  • راجع بانتظام تصاريح الرموز الممنوحة لعقود لم تعد تستخدمها فعلياً وألغِها، إذ يمكن استغلال تصريح منسي بعد فترة طويلة من نسيانك وجود البروتوكول أصلاً.
  • تعامل مع البروتوكولات غير المدقَّقة أو المنشورة حديثاً، لا سيما تلك التي تروِّج لعوائد مرتفعة بشكل غير معتاد، بحذر يتناسب مع المخاطرة.
  • انتبه لعلامات التحذير المذكورة في دليلنا حول تحديد العقود الذكية الخطرة قبل إيداع أموال ذات قيمة تُذكَر.
  • وزِّع الحيازات الكبيرة على أكثر من بروتوكول بدلاً من تركيز كل شيء في عقد واحد، مهما كانت سمعته الجيدة.

للاطلاع على شرح أكثر تفصيلاً لممارسات إدارة التصاريح تحديداً، راجع دليلنا حول إلغاء تصاريح الرموز، وللاطلاع على قائمة مرجعية بالإشارات التي عادة ما تسبق سحب البساط أو الاستغلال، راجع دليلنا حول علامات تحذير عقود التمويل اللامركزي.

التمويل اللامركزياستغلال العقود الذكيةإعادة الدخولالتلاعب بالأوراكلأمن البلوكتشين

الأسئلة الشائعة

من الناحية العملية يُستخدَم المصطلحان بالتبادل، لكن استغلال التمويل اللامركزي يشير تحديداً إلى استخدام مهاجم للبروتوكول تماماً كما تسمح شيفرته، لكن بتسلسل لم يقصده مصمموه قط، بدلاً من اقتحام خادم أو سرقة كلمة مرور مباشرة. وتنتقل الأموال عبر معاملات شرعية وصالحة من منظور البلوكتشين، وهو جزء من سبب صعوبة عكسها إلى هذا الحد.

فقط إذا كان لدى البروتوكول خزينة أو صندوق تأمين كبير بما يكفي لتغطية الخسارة، أو إذا أمكن إقناع المهاجم أو إجباره على إعادة الأموال، وهو ما يحدث أحياناً عبر ترتيبات مكافأة يُتفاوَض عليها. فلا توجد سلطة مركزية يمكنها عكس معاملات البلوكتشين نفسها، لذا يجب أن يأتي أي استرداد من خارج شيفرة البروتوكول.

يراجع التدقيق شيفرة العقد بحثاً عن فئات معروفة من الثغرات في نقطة زمنية محددة، لكنه لا يستطيع ضمان غياب كل عيب ممكن، ولا يمكنه مراعاة كيفية تفاعل العقد مع بروتوكولات أخرى تُنشَر بعد التدقيق، ولا يستطيع منع الهجمات التي تستهدف البنية التحتية أو المفاتيح أو الحوكمة بدلاً من منطق العقد نفسه.

توقف عن التفاعل مع البروتوكول فوراً، وألغِ أي تصاريح رموز منحتها له سابقاً، وتابع القنوات الرسمية للحصول على تحديثات موثَّقة بدلاً من حسابات وسائل التواصل الاجتماعي غير الرسمية، التي كثيراً ما تُستخدَم لنشر روابط تصيد إضافية في حالة الفوضى التي تعقب أي استغلال علني مباشرة.

المصادر وقراءات إضافية

مقالات ذات صلة

هجمات قروض الفلاش، شرح بلغة بسيطة ←كيف يعقّد غسل الأموال عبر السلاسل عملية تتبع الأموال ←التعرف على عقد احتيالي قبل الإيداع ←مراجعة تصاريح الرموز وإلغاؤها: دليل عملي ←