استغل مهاجم ثغرة في عقد مبادلة على XPR Network (XPR)، واستنزف سيولة تتجاوز قيمتها 9 ملايين دولار في غضون 11 دقيقة فقط، مستفيدًا من دالة سحب تقبل قيَمًا سالبة.
أبرز النقاط:
- المهاجم سحب ما يزيد على 9 ملايين دولار من مجمّعات سيولة شبكة XPR خلال نحو 11 دقيقة.
- الخلل كان في دالة سحب تقبل قيَمًا سالبة، ما أتاح تضخيم الأرصدة الداخلية قبل تحويل رموز حقيقية.
- منتجو الكتل عدّلوا العقد وصادروا نحو 1.80 مليار XPR، ما أبقى معظم الرموز المسروقة على السلسلة.
تفاصيل استغلال عقد المبادلة في شبكة XPR
استهدف الهجوم عقد proton.swaps، وهو عقد المبادلة الرئيس على الشبكة، حيث استنزف المهاجم نحو 1.56 مليار XPR تقارب قيمتها 4.03 ملايين دولار. دالة السحب في العقد كانت تسمح بإدخال قيَم سالبة، ما مكّن المهاجم من تضخيم رصيد داخلي وهمي ثم سحب رموز حقيقية مقابله، وكرّر الحيلة عبر مجمّعات العملات المستقرة والأصول المعبرّة والبروتوكولات الإقراضية، حتى تجاوز إجمالي الخسائر 9 ملايين دولار.
انتقل نحو 563 مليون XPR، بما يعادل تقريبًا 1.46 مليون دولار، عبر بروتوكول الإقراض بعد أن اقترض المهاجم مقابل العملات المستقرة المسروقة، ليرتفع إجمالي الرموز المتأثرة إلى نحو 2.12 مليار XPR، أي ما يقارب 6.5% من المعروض المتداول. كما حُوِّلت 764 مليون XPR إضافية، تقترب قيمتها من مليوني دولار، إلى حساب ثانٍ.
اقرأ أيضًا: صناديق XRP المتداولة تسجّل رقمًا قياسيًا بتدفقات 1.7 مليار دولار رغم ضعف السعر
سعر XPR يهبط دون مستويات الدعم
سرعان ما انعكس النزيف على السوق خلال ساعات. فقد تراجع سعر XPR إلى نحو 0.0026 دولار يوم الأحد، منخفضًا بنحو 5.6% خلال 24 ساعة بعد أن لامس قاعًا قرب 0.00245 دولار، وبقي دون مستوى 0.00271 دولار الذي شكّل دعمًا في السابق. وكان الرمز قد تداول في الجلسة نفسها عند مستويات بلغت 0.00277 دولار، لتنخفض القيمة السوقية إلى نحو 74 مليون دولار.
مؤشر القوة النسبية RSI هبط إلى مستوى 27.47، في منطقة تشبّع بيعي عميق، ما يشير إلى موجة بيع أحادية الاتجاه أكثر من كونه تسعيرًا جديدًا منظّمًا. كما لم يتجاوز حجم التداول اليومي نحو 2.9 مليون دولار، ما عكس ضعفًا واضحًا في جانب الطلب.
ورغم أن حجم الخسارة يبقى محدودًا مقارنة بأكبر حوادث DeFi هذا العام، فإن نمط الفشل هو العنصر الأكثر خطورة؛ إذ إن غياب تحقق بسيط من قيَم المدخلات سمح بامتداد الضرر من عقد مبادلة واحد إلى مجمّعات الإقراض والأصول المعبرّة التي تشترك في السيولة نفسها. المهاجم لم يحتج إلى قروض فورية أو تلاعب بالأوراكل، بل استغل فقط إشارة سالب لم يرفضها العقد.
Metallicus تجمّد رموز XPR المسروقة
عمد منتجو الكتل إلى تعديل العقد عند الساعة 21:32 بالتوقيت العالمي، وصادروا نحو 1.80 مليار XPR بعد ذلك بنحو ساعتين، ليُوضَعَت الرموز تحت سيطرة المجتمع. ولم يغادر سوى 319.5 مليون XPR، من أصل 2.12 مليار متأثرة، نطاق الشبكة إلى منصّات أو محافظ خارجية.
وبذلك يبقى الجزء الأكبر من المعروض المتضرر قابلًا للاسترداد، وهو سيناريو لم يكن ممكنًا لولا أن شبكة XPR تعمل بآلية إثبات الحصة المفوّضة (DPoS)، حيث يمتلك عدد محدود من المنتجين المنتخبين صلاحية التدخل المباشر في حالة السلسلة. الشبكة سبق أن استخدمت هذه الصلاحية في مواقف سابقة.
شركة Metallicus، المطوّر الرئيس لشبكة XPR Network، كانت قد أعلنت في سبتمبر 2024 عن تعرّض عقد الإقراض لاستغلال من نوع إعادة الدخول (Re-entrancy)، وعلّقت حينها عمليات الإيداع والاقتراض والتصفية، وجمّدت الأموال المتأثرة، قبل أن تعيد فتح بروتوكول الإقراض على مراحل في الشهر التالي.
اقرأ التالي: سام ألتمان يستبعد طرح OpenAI للاكتتاب في 2026 ويلوم التزامات سلامة الذكاء الاصطناعي
