استنزف مهاجم ما يقرب من 4.67 مليون دولار من جسر سيكرت (SCRT) المرتبط بـ أكسيلار (AXL)، بعد استغلال عقد معيب قام بسكّ رموز غير مغطاة من لا شيء.
النقاط الرئيسية:
- عقد معيب على شبكة سيكرت سمح لمهاجم بسكّ رموز غير مغطاة، مما أدى إلى استنزاف حوالي 4.67 مليون دولار.
- بقيت السرقة مخفية لسبعة أيام حتى كشف تحويل فاشل عن أن حساب الضمان أصبح فارغاً.
- أوقفت أكسيلار الاتصالات المتأثرة وأكدت أن بروتوكولها الأساسي لم يُمسّ.
جسر شبكة سيكرت يخسر ملايين الدولارات
بدأت السرقة في 10 يونيو لكنها لم تُكتشف لمدة سبعة أيام، لأن سيكرت تُشفّر الأرصدة بشكل افتراضي ولم يظهر الضمان المفقود على السلسلة. لم يظهر الخلل إلا في 17 يونيو عندما فشل تحويل روتيني عبر السلاسل بسبب نفاد رصيد حساب الضمان. بعد ذلك تتبّع المحققون العجز إلى سبع سحوبات مريبة جرت في يوم البداية.
أكسيلار أكدت الخسارة في 19 يونيو وأوقفت اتصالات سيكرت وسيكرت-SNIP المتأثرة خلال ساعات، مع التشديد على أن بروتوكولها الأساسي لم يُلمس. وقال الفريق إنه تواصل مع البورصات وجهات إنفاذ القانون لتتبع الأموال، إذ لا يزال نحو 672 ألف دولار منها غير مُحرّك في المحفظة الرئيسية للمهاجم.
اقرأ أيضاً: هروب رؤوس أموال من صناديق بتكوين المتداولة بقيمة قياسية 6.35 مليارات دولار، لكن موجة الذعر قد تهدأ
ثغرة سكّ غير محدود خدعت العقد
كان العقد الضعيف يقوم بسكّ نسخ مغلَّفة على سيكرت من الأصول المُجسَّرة، لكنه لم يتحقق مطلقاً من القناة التي جاء منها الإيداع فعلياً، بل كان يطابق اسم الرمز فقط مع قائمة معتمدة.
شركة الأبحاث كومن بريفيكس نشرت تقرير تشريح للحادثة يوضح كيف أدى هذا الفراغ الواحد إلى الانهيار. وبسبب أن الشبكة تُخفي التحويلات بشكل افتراضي، كان تتبع المهاجم أصعب بكثير مما لو كان ذلك على دفتر عام شفاف بالكامل.
لاستغلال الثغرة، أنشأ المهاجم سلسلة بس-validator واحد، وفتح قناة غير مصرح بها، وقام ذاتياً بترحيل حزم مزيَّفة تحمل أسماء رموز مأخوذة مباشرة من قائمة السماح.
قبل العقد تلك الحزم وسكّ رموزاً حقيقية قابلة للاسترداد من دون وجود أي ضمان خلفها.
أدى استرداد تلك الرموز المزيفة عبر القناة الحقيقية إلى إفراغ حساب الضمان عبر سبعة أصول مغلَّفة. لم تكن الثغرة جديدة، وأفادت الشركة في تقريرها أن المنطق نفسه موجود في الكود منذ 2023 ونجا من عملية ترحيل في مارس 2026. وأضافت سيكرت أنه لم تُطلب أي مراجعة أمنية خارجية عند بناء الجسر لأول مرة.
جسور السلاسل المتعددة ما زالت مكشوفة
تحركت الأموال المسروقة عبر أوزموسيس، ثم جرى تحويلها إلى إيثر (ETH) على منصة تداول لامركزية، وتوزيعها على عشرات المحافظ الجديدة قبل أن تصل أخيراً إلى ثلاث بورصات مركزية. بقي رد فعل السوق الأوسع فاتراً، إذ تراجع رمز أكسيلار بنحو 2.2% في ذلك اليوم، فيما ظل رمز سيكرت شبه مستقر.
مع ذلك، تُطيل هذه الخسارة عاماً قاسياً للبنية التحتية عبر السلاسل. فما زالت الجسور المبنية على نماذج «القفل والسكّ» المشابهة تمثل السطح الأكثر استغلالاً في عالم التشفير، مع ثغرات مماثلة تُكلّف القطاع أكثر من 340 مليون دولار في 2026. وتشمل الحصيلة اختراقاً بقيمة 25 مليون دولار في مشروع ريزولف، وخسارة 11 مليون دولار في فيرَس، وضربة بقيمة 4 ملايين دولار لمشروع آي أو تي إكس.
اقرأ التالي: بوت JaredFromSubway يخسر 7.5 ملايين دولار بعد الوقوع في فخّه الخاص