في أعقاب هجوم كبير على DeFi، بدأ بروتوكول دريفت بالتواصل المباشر حول استغلال دريفت حيث تتبع المحققون الأموال عبر عدة بلوكشينات.

يستهدف دريفت محافظ القراصنة برسائل على السلسلة

في 3 أبريل، قام بروتوكول دريفت بتصعيد استجابته للاختراق الأخير من خلال إرسال رسائل على السلسلة إلى أربع محافظ إيثريوم تحمل الجزء الأكبر من الأصول المسروقة. وفقًا لبيانات البلوكشين، تتحكم هذه العناوين معًا في حوالي 129,000 ETH، المرتبطة بما أصبح واحدة من أكبر استغلالات DeFi في 2026.

استنزفت الثغرة ما يُقدَّر بين 270 مليون دولار و285 مليون دولار من البروتوكول، ما أدى إلى تعطيل شديد لظروف التداول والسيولة. ومع ذلك، يدّعي الفريق الآن أنه حدد الأطراف الرئيسية المرتبطة بالحادث، ويحثهم علنًا على بدء حوار بدلًا من البقاء صامتين.

تمت عملية التواصل من عنوان معروف يَتحكم فيه درِفت، حيث أرسل رسالة قياسية إلى كل من المحافظ الأربع المستهدفة. علاوة على ذلك، تُشير الخطوة إلى أن البروتوكول منفتح على استكشاف حلول مُتفاوض عليها، وهو نهج اتخذته مشاريع كريبتو أخرى في عمليات السرقة واسعة النطاق السابقة.

دعوة للتواصل عبر دردشة Blockscan

كان مضمون الرسالة مختصرًا. أخبر درِفت مالكي المحفظة أنه “جاهز للتحدث” وطلب منهم الرد عبر دردشة Blockscan، وهي أداة تواصل خارج السلسلة مرتبطة بعناوين على Ethereum. وهذا يعكس حالات سابقة سعت فيها المشاريع التي تعرضت للاعتداء إلى فتح قناة تواصل مع القراصنة.

تاريخيًا، حققت مثل هذه الجهود نتائج متباينة. ففي بعض اختراقات بارزة، أدى الحوار إلى استرداد جزئي أو حتى كامل للأصول، أحيانًا تحت مسمى ترتيبات “القبعة البيضاء” (white-hat). ومع ذلك، في حالات أخرى، تجاهل المهاجمون الرسائل واستمروا في نقل الأموال، تاركين الضحايا بأمل ضئيل في التعويض.

في هذه الحالة، يقوم فريق الأمان ومزودو تحليلات السلسلة أيضًا بفحص ما إذا كانت السرقة والتحويلات اللاحقة تُظهر أنماطًا مرتبطة بالإجرام السيبراني المنظم. ومع ذلك، يظل أي نسب محتمل غير مؤكد، وما يتركز عليه الأمر حاليًا هو تتبع التدفقات والحفاظ على الأدلة.

كيف تجاوز الهجوم العقود الذكية

يمتاز استغلال درِفت بأنه لم يعتمد على خلل تقليدي في العقد الذكي. بدلًا من ذلك، استغل ضعفًا على مستوى النظام حول nonces المتينة في سولانا (durable nonces)، وهي ميزة شرعية تسمح للمطورين بإعداد المعاملات وتوقيعها مسبقًا من أجل تقديمها لاحقًا.

استخدم المهاجم معاملات مُوقعة مسبقًا كانت قد تم إنشاؤها قبل أسابيع، ثم تمكن من الحصول على سيطرة جزئية على إعداد الحوكمة متعدد التوقيعات (multisig) الخاص بالبروتوكول. وبفضل هذه النفوذ، قام بتعطيل أو تجاوز عدة ضوابط مخاطر صُممت لحماية أموال المستخدمين. ونتيجة لذلك، بمجرد إضعاف الضمانات، تمكن القراصنة من سحب رأس المال من عدة خزائن على التوالي وبسرعة.

انكشف كامل هذا التشغيل بسرعة، ما أدى إلى خسارة أكثر من نصف القيمة الإجمالية المقفلة في بروتوكول درِفت. علاوة على ذلك، يبرز الحدث أن تصميم الحوكمة وإدارة المفاتيح قد تكون بنفس أهمية كود العقد الذكي في حماية منصات DeFi.

تحويلات عبر السلاسل وتركيز ETH المسروق

بعد تفريغ الخزائن، لم يترك المهاجم الأصول على سولانا. بدلًا من ذلك، استخدم بنية تحتية عبر السلاسل لنقل الأموال إلى Ethereum، محولًا جزءًا كبيرًا إلى ETH. وتُظهر بيانات السلسلة، التي أبرزتها شركات تحليلات مثل Arkham، أن حوالي 129,000 ETH قد تم توزيعها الآن عبر أربع محافظ رئيسية.

يتوافق هذا النمط مع اتجاه أوسع يستخدم فيه المهاجمون أموالًا مُسَجَّلة عبر جسور بين السلاسل (bridged) لتعقيد تتبع الاسترداد. ومع ذلك، تخلق هذه التحركات أيضًا تركيزات شديدة الوضوح لقيمة يمكن مراقبتها في الوقت الفعلي من قبل البورصات وجهات إنفاذ القانون والباحثين المستقلين.

على الرغم من المراقبة النشطة، وُجهت انتقادات من بعض أعضاء المجتمع لما يرونه استجابة تشغيلية بطيئة. وبالتحديد، تساءل المستخدمون عن سبب عدم تجميد بعض التوكنات أو المراكز في وقت أبكر، أو التحوط بشكل أكثر حزمًا بمجرد اكتشاف نشاط حوكمة غير اعتيادي.

اشتباهات بالجريمة المنظمة وتحقيق جارٍ

تبادل عدد من المراقبين في الصناعة تكهنات حول وجود روابط محتملة بين المهاجم ومنظمات معروفة لجرائم إلكترونية، خاصة بالنظر إلى تعقيد عملية الاستحواذ على الحوكمة وخطط المعاملات. ومع ذلك، تؤكد التصريحات العامة الصادرة عن درِفت وفرق الأمن الخارجي أنه لا توجد نسبة مؤكدة حتى الآن.

يُقال إن جهات إنفاذ القانون وجماعات الاستجابة للحوادث الخاصة تتعاون لتتبع أثر رسالة السلسلة على البلوك تشين ومسارات ETH المسروق. علاوة على ذلك، يفحص المحققون النشاط التاريخي على المحافظ المتأثرة لمعرفة ما إذا كانت المعاملات الأقدم مرتبطة بكيانات تم الإبلاغ عنها مسبقًا.

حتى الآن، تعهد درِفت بإصدار المزيد من المعلومات بمجرد اكتمال عمليات التدقيق من جهات خارجية والمراجعات الجنائية الرقمية (forensic reviews). وقد تم استخدام قنوات البروتوكول الاجتماعية، بما في ذلك حسابه الرسمي على X، لتجميع التحديثات والإشارة إلى معاملات مهمة على السلسلة للمجتمع.

الأثر على درِفت وتوكن DRIFT والسيولة في DeFi

تمتد الآثار إلى ما هو أبعد من خسائر البروتوكول المباشرة. تشير بيانات حديثة إلى أن ما يقرب من 20 مشروعًا مترابطًا في DeFi قد عانت من تأثيرات مُرتدة (knock-on effects) نتيجة للحادث. وقد أوقفت بعض البروتوكولات خدماتها مؤقتًا أو قيّدت عمليات معينة لمنع احتمال العدوى وإدارة أثر سيولة التمويل اللامركزي.

تفاعل توكن DRIFT الأصلي بشكل حاد، ونشر انخفاضًا شديدًا مع انتشار أنباء استغلال الثغرة والتلاعب بالحكم. كما تعرضت ثقة السوق في الرافعة المالية ومنتجات المشتقات على سولانا لضربة أيضًا، ما يعكس إعادة تقييم أوسع للمخاطر من قبل المتداولين المحترفين والتجزئة على حد سواء.

ومع ذلك، من المهم ملاحظة أن الطبقة الأساسية في سولانا لا تزال تعمل بشكل طبيعي. حدث الاختراق على مستوى التطبيق والحوكمة، وليس بسبب فشل في الإجماع أو خلل في البروتوكول. وهذه التفرقة مهمة لتصور النظام البيئي على المدى الطويل وللمستثمرين عند تقييم مخاطر العقود الذكية.

دروس حول تصميم الحوكمة والأمان

يُبرز الهجوم كيف يمكن حتى للكود الذي تمت مراجعته جيدًا أن يُقوض بسبب نقاط ضعف في هياكل الحوكمة وتقاسم المفاتيح والعمليات التشغيلية. في هذه الحالة، مكّن الاختراق الجزئي لحوكمة متعدد التوقيعات المهاجم من توظيف معاملات مُوقعة مسبقًا وميزات بروتوكول شرعية كسلاح ضده.

يجادل خبراء الأمن بأن سياسات تدوير المفاتيح الأكثر صلابة، وضوابط الوصول الأكثر إحكامًا، والمراقبة الفورية لإجراءات الحوكمة كان يمكن أن تحد من الضرر. إضافةً إلى ذلك، قد تساعد أدلة التعامل مع الحوادث الأكثر وضوحًا والبوابات القاطعة الآلية (circuit breakers) على تمكين البروتوكولات من الاستجابة بسرعة أكبر عند حدوث تغييرات غير اعتيادية في الأذونات أو سلوك الخزائن.

مع استمرار التحقيق في استغلال بروتوكول درِفت، يُرجح أن تتحول هذه القضية إلى نقطة مرجعية لأطر إدارة المخاطر ومراجعات الأمان عبر التمويل اللامركزي (DeFi). باختصار، يوضح الحادث أن تدقيقات الكود وحدها ليست كافية؛ إذ إن الحوكمة المرنة وإدارة المفاتيح والمراقبة عبر السلاسل ضرورية لمنع خسائر كبيرة مماثلة.