ما بدا في البداية وكأنه استغلال آخر في عالم التمويل اللامركزي قد تحول الآن إلى شيء أكثر خطورة. الهجوم على بروتوكول دريفت في أوائل أبريل 2026 يتم رؤيته بشكل متزايد من قبل المحققين على أنه عملية سيبرانية منسقة على مستوى الدولة، مع مؤشرات قوية تشير إلى الجهات المرتبطة بكوريا الشمالية. النطاق والتخطيط والتنفيذ يميز هذا الحادث عن الاختراقات الروتينية ويضعه بين أكثر الهجمات السيبرانية المالية تطوراً التي شهدها مجال العملات المشفرة.

تم سحب حوالي 280 إلى 285 مليون دولار من المنصة في ثوانٍ، لكن العملية الفعلية بدأت قبل أسابيع. رصدت شركات الاستخبارات blockchain مثل TRM Labs و Elliptic نشاطاً غير معتاد في المحافظ يعود إلى منتصف مارس، حيث قام المهاجمون بهدوء ببناء البنية التحتية، واختبار المعاملات، ومحاكاة سلوك المستخدمين العاديين. هذا النوع من التحضير ليس نموذجياً للقراصنة الانتهازيين. إنه يعكس الصبر والانضباط وهدفاً واضحاً على المدى الطويل - سمات ترتبط عادةً بمجموعات التهديد المستمر المتقدمة.

بدلاً من استغلال خلل برمجي بسيط، ركز المهاجمون على أمر أكثر دقة بكثير: الثقة البشرية. اعتمدت Drift نظام حوكمة متعدد التوقيعات يتطلب موافقة اثنين من أصل خمسة. ويعتقد المحققون أن المهاجمين استخدموا أساليب الهندسة الاجتماعية للتلاعب بالموقّعين الرئيسيين أو اختراقهم، وتمكنوا في نهاية المطاف من الحصول على موافقتهم على تغييرات ضارة من دون إثارة الشكوك فوراً. ويبرز هذا النهج تحولاً متنامياً في الهجمات السيبرانية، إذ غالباً ما يكون استغلال الأشخاص أسهل وأكثر فاعلية من استغلال البرمجيات.

وبعد تأمين الوصول، أتاح ضعف جوهري في تصميم النظام للمهاجمين التحرك فوراً. فقد سمح القفل الزمني من دون تأخير بتنفيذ التغييرات فور منح الموافقات، من دون أي فترة فاصلة. ومكّن ذلك المهاجمين من تعديل معايير البروتوكول وإضعاف إجراءات الحماية وتهيئة النظام لسحب الأموال قبل أن يتمكن أي شخص من التدخل.

تضمن أحد أكثر الجوانب تقدماً من الناحية التقنية في الهجوم إنشاء أصل مزيف عُرف باسم CarbonVote Token (CVT). ومن خلال التلاعب بأنظمة أوراكل، رفع المهاجمون قيمة الرمز إلى مئات الملايين من الدولارات. ثم استخدموا هذه القيمة المصطنعة ضماناً لاقتراض أصول حقيقية من البروتوكول. وبعبارة بسيطة، حوّلوا شيئاً عديم القيمة إلى أداة لاستنزاف أموال مشروعة. ويوضح هذا التلاعب بموجزات الأسعار مدى ضعف أنظمة التمويل اللامركزي حين تعتمد بشدة على بيانات خارجية من دون التحقق منها بدقة.

لضمان سير الهجوم بسلاسة، أعدّ المنفذون المعاملات مسبقاً باستخدام تقنيات nonce دائم. وأتاح لهم ذلك تنفيذ سلسلة من الإجراءات شبه المتزامنة، واختزال الهجوم بأكمله إلى بضع ثوانٍ. وبحلول الوقت الذي بدا فيه أن هناك أمراً غير طبيعي، كانت الأموال قد اختفت بالفعل.

لا تستند نسبة الهجوم إلى جهات كورية شمالية إلى دليل واحد، بل إلى مجموعة من الأنماط المتوافقة. فبنية الهجوم، ومرحلة الإعداد الطويلة، والجمع بين الهندسة الاجتماعية والاستغلال التقني، وغسل الأموال بسرعة، كلها تتطابق مع سلوكيات معروفة لمجموعات مثل Lazarus. وقد رُبطت هذه المجموعات بعدة سرقات بارزة للعملات المشفرة على مر السنين، ويُعتقد على نطاق واسع أنها تعمل ضمن استراتيجية كوريا الشمالية الأوسع لتوليد الإيرادات خارج النظام المالي العالمي.

ويعزز مسار الأموال بعد الهجوم هذه الصلة أكثر. فقد نُقلت الأصول سريعاً عبر جسر من Solana إلى Ethereum، ثم مرّت عبر شبكة معقدة من المحافظ وأدوات خلط العملات والتحويلات بين سلاسل الكتل. وتهدف تقنية إخفاء المسارات هذه إلى طمس أثر الأموال، وقد لوحظ استخدامها مراراً في عمليات سابقة مرتبطة بكوريا الشمالية. وبمجرد دخول الأموال في مسار غسل كهذا، يصبح استردادها بالغ الصعوبة.

ما يجعل هذه الحادثة أكثر إثارة للقلق هو احتمال ألا تكون حالة معزولة. ففي الفترة نفسها تقريباً، سلط باحثون في الأمن السيبراني وتقارير من جهات مثل Google Threat Intelligence وReuters الضوء على هجمات منفصلة مرتبطة بجهات كورية شمالية استهدفت سلاسل توريد البرمجيات، بما فيها إدراج شيفرات خبيثة في أدوات للمطورين واسعة الاستخدام. وتشير هذه الحملات إلى استراتيجية أوسع تبدأ باختراق منظومات المطورين وتنتهي بهجمات مالية عالية القيمة. وقد يمثل هجوم Drift المرحلة الأخيرة من هذا الجهد المنسق.

وتحمل هذه الحادثة تداعيات كبيرة على قطاع العملات المشفرة. فلم يكن الأمر إخفاقاً في عقد ذكي واحد، بل انهياراً عبر طبقات متعددة، شمل الحوكمة والثقة بالبشر وتصميم أنظمة أوراكل والأمن التشغيلي. وهي تُظهر أن البروتوكولات الخاضعة لتدقيق جيد قد تظل عرضة للخطر إذا استهدف المهاجمون النظام ككل، بدلاً من الاكتفاء باستهداف الشيفرة.

ويشهد أيضاً تحول واضح في طبيعة التهديدات التي تواجه التمويل اللامركزي. فلم يعد التركيز منصباً على اكتشاف الثغرات التقنية فحسب، بل أصبح يشمل تحديد نقاط الضعف الهيكلية في طريقة إدارة المنصات وتشغيلها. فأنظمة التوقيع المتعدد، التي اعتُبرت يوماً وسيلة دفاع قوية، قد تتحول إلى نقطة ضعف إذا جرى التلاعب بالموقّعين. ويمكن تحويل أنظمة أوراكل، التي توفر بيانات أساسية عن الأسعار، إلى مسارات للهجوم إن لم تُؤمَّن بإحكام. ولعل الأهم من ذلك أن السلوك البشري يظل إحدى أضعف الحلقات في أي نظام.

تُشكّل عملية استغلال Drift تحذيراً من دخول التمويل اللامركزي مرحلة جديدة، لم يعد فيها الخصوم مجرد قراصنة مستقلين، بل جماعات منظّمة للغاية، تحظى بتمويل جيد وتعمل وفق أهداف استراتيجية. وإذا تأكدت نسبة الهجوم إلى كوريا الشمالية، فسيعزز ذلك فكرة أن العملات المشفرة باتت مرتبطة ارتباطاً وثيقاً بالديناميات الجيوسياسية، حيث لا تقتصر الهجمات السيبرانية على تحقيق الأرباح، بل تخدم أيضاً استراتيجيات على مستوى الدول.

في نهاية المطاف، لم يكن هذا مجرد اختراق. بل كان تجسيداً لكيفية تطور العمليات السيبرانية الحديثة، من خلال الجمع بين الصبر والخداع والدقة التقنية لاستغلال منظومات كاملة. والرسالة إلى قطاع العملات المشفرة واضحة: لم يعد من الممكن التعامل مع الأمن بوصفه مشكلة تقنية بحتة. بل يجب التصدي له باعتباره تحدياً شاملاً يشمل الأشخاص والعمليات وتصميم الأنظمة.