erc4626

Summer.fi 610 مليون دولار تم سحبها عبر هجوم القرض السريع (flash loan)، والمشكلة ليست في سيولة السلسلة على الإطلاق، بل في سطر "الثقة".

قام المهاجم بتنفيذ قرض سريع بقيمة 6540 مليون USDC + 100 مليون USDT. ثم أودع 6480 مليون USDC في Fleet Commander للحصول على حصص (shares)، وبعد ذلك أدخل مباشرةً حصص SiloVault داخل العقد الاستراتيجي Ark المُدار عبر Silo Finance، متجاوزًا مسار الإيداع العادي. وبدون أي مسار إدخال رسمي، "تبرع" رصيد Ark من 0 مباشرةً إلى 714 مليون دولار.

عند حساب totalAssets، قام Fleet Commander بالاعتماد بالكامل على الرصيد الأولي الذي أبلغ عنه Ark دون أي تحقق داخلي. وبهذا، تمكن المهاجم من سحب (redeem) 7100 مليون USDC، وتحقيق ربح صافي بنحو 610 مليون دولار في صفقة واحدة والخروج من الهجوم.

حددت Onchain Lens هذا على أنه هجوم تبرّع عبر عقود متعددة (cross-contract ERC-4626). وجوهر هذا النوع من الثغرات هو أن الـ vault يعتبر العقد الاستراتيجي بمثابة "oracle" موثوق، بينما لا يفرض معيار ERC-4626 بحد ذاته فصلًا إلزاميًا بين التحويلات الخارجية وبين بيانات الإدخال الفعلية.

ثلاث تنبيهات لأصحاب المراكز:
1. انتبه مما إذا كان البروتوكول المستخدم يقوم بعمليات محاسبة مستقلة لطبقة الاستراتيجية، بدلًا من قراءة balanceOf مباشرةً
2. في حالة وجود vault ترتفع فيه العوائد بشكل غير طبيعي، انظر أولًا إلى تكوين الـ TVL قبل الحديث عن APY
3. القرض السريع (flash loan) + تضخم الحصص هي واحدة من أكثر تركيبات DeFi تكرارًا خلال العامين الماضيين—لا تعتبرها مجرّد حدث خارق (black swan)

الثقة في الكود ليست أمانًا؛ التحقق هو الأمان.

#DeFi #SmartContractSecurity #ERC4626

Summer.fi تم إقصاؤه بدقة عبر قرض سريع بالضمانات (Flash Loan)، واختفى فجأة 6.1 مليون دولار.

في الحقيقة كان مسار المهاجم “نظيفًا” جدًا: اقترض 65.40 مليون USDC + 1 مليون USDT، ثم أودع 64.80 مليون USDC في Fleet Commander للحصول على حصص (Shares)، وبعد ذلك حوّل حصص SiloVault مباشرةً إلى عقد الاستراتيجية Ark، فارتفع رصيد Ark الظاهري من 0 إلى 7.14 مليون دولار.

تكمن المشكلة في أن Fleet Commander عند حساب totalAssets يثق مباشرةً في الرصيد الأصلي الذي أبلغ عنه Ark، دون أي تحقق داخلي. ونتيجة لذلك، اغتنم المهاجم الفرصة واسترد 71 مليون USDC، محققًا ربحًا صافيًا يقارب 6.1 مليون دولار؛ وتمت العملية بالكامل في معاملة واحدة.

هذه حالة نموذجية لهجوم “التبرع” عبر عقود متعددة باستخدام ERC-4626. سعر الحصة في ERC-4626 يعتمد أصلًا على معيار الأصول الأساسية. وبمجرد أن يثق الخزنة (Vault) بشكل أعمى في الرصيد الذي تُبلّغه عقد الاستراتيجية الخارجية، يمكن للمهاجم—طالما أنه يستطيع تحويل الأموال/الحصص مباشرةً إلى عقد الاستراتيجية—رفع قيمة كل حصة بشكل مصطنع ثم الخروج بتحقيق أرباح.

نقاط مخاطر يمكن إعادة استخدامها بسرعة:
- لا ينبغي للخزنة أن تثق بلا شروط في رصيد الاستراتيجية المبلَّغ؛ يجب استخدام دفتر حسابات داخلي + تحقق من الفروقات.
- يجب على عقد الاستراتيجية تصفية الأصول والحصص “غير المتوقعة” التي وصلت؛ وعدم احتسابها ضمن NAV.
- أي بروتوكولات تتضمن بنى متداخلة باستخدام ERC-4626 تستحق إعادة تدقيق كاملة لسطح هجوم التبرع (Donation Attack Surface).

الثغرات في DeFi أصبحت أقل فأقل تأتي من الرياضيات، وأكثر من حدود التصميم: “من يثق بمن”.

#DeFi #Summer_fi #ERC4626

Summer.fi وقعت مرة أخرى في المشكلة القديمة لـ ERC-4626، لكن هذه المرة بدّلوا الأسلوب إلى مناورة عبر العقود.

المهاجم استخدم قرضًا سريعًا (Flash Loan) بقيمة 65.4 مليون USDC + 1 مليون USDT، ثم أودع 64.8 مليونًا لدى Fleet Commander للحصول على حصص، وبعد ذلك قام بإدخال حصص SiloVault مباشرةً داخل عقد استراتيجية Ark المُدار من خلال Silo Finance، متجاوزًا عملية الإيداع العادية. بهذه الطريقة تم ضخ أرصدة Ark من الصفر إلى 7.14 مليون دولار بالقوة.

الثغرة الجوهرية: عندما تحسب Fleet Commander totalAssets، فإنها تعتمد مباشرةً على الرصيد الخام المبلغ عنه في تقرير Ark، دون أي تحقق داخلي. وهكذا، عندما قام المهاجم باسترداد 71 مليون USDC، حقق صافي ربح يقارب 6.1 مليون دولار من صفقة واحدة وغادر.

درس قديم ومعروف:
— لا يجوز “منح الثقة غير المشروطة” لميزانية خزنة مقابل أرصدة عقد استراتيجية
— لا تزال تظهر باستمرار نسخ/متغيرات لهجمات التبرع/التضخم في ERC-4626
— المحاسبة عبر العقود يجب أن تستخدم قيودًا/دفاتر داخلية، لا قراءة balanceOf خارجي

كلما أصبحت بروتوكولات DeFi أكثر تعقيدًا، تصبح حدود الثقة أسهل لاختراقها عبر أي فجوات. الكود الذي تم تدقيقه لا يعني بالضرورة أن البنية آمنة.

#DeFi安全 #ERC4626 #SummerFi

Summer.fi 又栽了——610 万美元一笔闪电贷交易内被卷走，问题不在预言机、不在私钥，而在一行"我信你"的代码。

攻击者的路径其实简单得离谱：
· 闪电贷借出 6540 万 USDC + 100 万 USDT
· 向 Fleet Commander 正常存入 6480 万 USDC，拿到份额
· 关键一步——把 SiloVault 份额**直接转账**给策略合约 Ark，绕开存款入口
· Ark 账面余额瞬间从 0 膨胀到 714 万美元
· Fleet Commander 计算 totalAssets 时直接采信 Ark 自报的原始余额,攻击者赎回 7100 万 USDC 走人

净赚 610 万,全程一笔交易搞定。

这就是典型的跨合约 ERC-4626 捐赠攻击。ERC-4626 原生的份额通胀漏洞大家已经防了两年,但当金库拆成"Vault + 多个策略合约"的组合架构时,风险从单合约内部转移到了合约之间的**信任边界**上。Fleet Commander 把 Ark 上报的余额当成 ground truth,没做任何内部校验,等于把金库钥匙交给了一个可以被任意人"捐赠"膨胀的地址。

值得整个 DeFi 收益聚合赛道复盘的几点:
1. 策略合约的余额上报必须走白名单入口,拒绝无主转入
2. totalAssets 计算应引入内部记账 vs 外部余额的差值检查
3. 模块化金库越复杂,越需要把"跨合约调用"当成外部输入来审计

审计报告过了不等于安全,组合架构下的攻击面正在被反复挖掘。

#DeFi安全 #ERC4626 #Summerfi

@OpenLedger

شوف، بكون صريح.

قبل كم شهر، لو شفت "تكامل ERC-4626" على جدول أعمالي، احتمال كبير كنت حأمر عليه بدون ما أوقف 😭

لأنه يبدو كواحد من تلك التحديثات التقنية اللي تهم المطورين بس.

لكن كلما أفكر بالأمر، كلما أحس أن الناس تركّز على الطبقة اللامعة وتتجاهل الأساس اللي تحت.

الجميع يتحدث عن نماذج AI أكبر.

مزيد من الحوسبة.

عملاء أذكى.

كل شيء أسرع.

حلو.

لكن ماذا يحدث عندما يصبح الذكاء الاصطناعي أكثر من مجرد برمجيات؟ ماذا يحدث عندما تبدأ البيانات والنماذج والعملاء بالتصرف كاقتصاد حقيقي؟

هنا تبدأ الأمور تصبح مثيرة.

OpenLedger مش بس تتحدث عن الذكاء نفسه. إنها تبني حول السيولة للبيانات، ونماذج الذكاء الاصطناعي، والعملاء المستقلين.

والنظم البيئية ما تقدر تتوسع إذا كل بروتوكول يتحدث لغة مختلفة.

لهذا السبب ERC-4626 مهم فعلاً.

مو الجزء اللمّاع اللي يحتفل به الناس.

إنه الجزء اللي يزيل الاحتكاك ويخلي الأنظمة تتصل بسهولة أكبر.

المضحك أن التحديثات المملة أحياناً تصبح الأشياء اللي يعتمد عليها كل شيء آخر 👀

@OpenLedger #OpenLedger #ERC4626 $OPEN

تتنافس معظم منتجات العائد في DeFi على الاستراتيجيات، ونموذج المخاطر، ومنطق إعادة التوازن. نادرًا ما يتم مناقشة واجهة الصندوق تحت السطح، لأنها تميل إلى أن تبدو متشابهة عبر البروتوكولات.

@OpenLedger
تلك الوحدة هي نتيجة ERC-4626 التي تقوم بعملها. إنها توحد كيفية عرض صناديق العائد لوظائف الإيداع والسحب والمحاسبة. إنها لا تولد عائدًا. إنها فقط تجعل الصناديق قابلة للقراءة والتكوين عبر النظام البيئي.

التوتر هنا هو أن البناء على معيار يعني قبول قيوده. يجب أن يحدث التمايز فوق الواجهة، وليس داخلها.

تجلس طبقة الصندوق الذكي من OpenLedger فوق ERC-4626 بدلاً من استبداله. يتولى المعيار ميكانيكا الصندوق؛ حيث تحاول الطبقة الذكية إضافة شيء مميز من خلال منطق التخصيص الديناميكي المنسق بواسطة المدخلات المعتمدة على النموذج.

$OPEN تحمل الرهان بأن القدرة على التكوين في الطبقة الأساسية تستحق أكثر من واجهة خاصة. ما إذا كانت الطبقة الذكية فوقها تميز المنتج فعلاً هو الجزء الذي لا يزال غير محسوم.

هذا خيار معماري، وليس ضمانًا. من المفيد مراقبة كيفية أداء تلك الطبقة تحت ضغط تخصيص حقيقي.
#OpenLedger
#ERC4626
#open

🏦 معيار خزائن ERC-4626: $OPEN كيف تجعل إدارة رأس المال في DeFi أكثر ذكاءً

@Openledger تعمل على دمج معيار خزائن ERC-4626 بعمق في نظامها البيئي من البلوكشين المدعوم بالذكاء الاصطناعي، وهذا قد يكون خطوة مهمة نحو إدارة DeFi الآلية.

ما هو ERC-4626؟
ERC-4626 هو معيار واجهة خزائن موحد على شبكة الإيثيريوم، يحدد العمليات العامة مثل الإيداع، السحب، واستعلام الرصيد. إنه يسمح لبروتوكولات DeFi المختلفة بالتجمع بسلاسة مثل قطع ليغو.

ما تفعله OpenLedger:
• إدارة خزائن عبر الذكاء الاصطناعي — من خلال وكيل AI على السلسلة لمراقبة إشارات السوق في الوقت الحقيقي، وضبط تخصيص الأموال تلقائيًا
• القابلية الهيكلية للتجميع — بناءً على معيار ERC-4626، يمكن أن تتداخل وتجمع الخزائن المختلفة بسلاسة
• إدارة رأس المال الآلية — الأموال لم تعد غير مستغلة، وكيل AI يبحث باستمرار عن أفضل أماكن العائد

البيانات الحالية لـ $OPEN :
💰 السعر: $0.19754
📈 24 ساعة: +3.65% | 7 أيام: +4.39%
🏦 القيمة السوقية: $42.36M
💎 العرض المتداول: 2.155 مليون / إجمالي 10 مليون
🔗 تم نشره على شبكة Ethereum + BSC المزدوجة

تصدرت مؤسسات مثل Polychain Capital وHashKey Capital جولة تمويل بقيمة 8 مليون دولار، وX لديها أكثر من 417,000 متابع، مع قاعدة إيكولوجية قوية.

عندما يلتقي وكيل الذكاء الاصطناعي مع بروتوكولات الخزائن الموحدة، فإن عصر الأتمتة في DeFi يسرع في الوصول.

#OpenLedger #ERC4626 #DeFi #AI #بلوكشين

⚠️ المحتوى أعلاه هو للرجوع فقط، ولا يشكل نصيحة استثمارية.