يبدو الأمر على السطح كقضية صغيرة أخرى عن سرقة حدثت في عالم DeFi، ومع ذلك فإن 300 ألف دولار في سوق العملات المشفرة اليوم لا تُحسب حتى كخبر.. لكن ما يستحق النظر فعلًا، هو المكان الذي طُعنت فيه السكين..\n\n🏛️ 今日盘面群里聊\n\nمعظم الناس يرون «Aave تعرض للهجوم مرة أخرى».. لكن المؤسس خرج وقال ذلك بوضوح: لم يكن ما حدث هو عقود Aave v3 نفسها، بل أن طرفًا آخر قام ببناء طبقة محول طرف ثالث فوقها، دون أي تأثير على البروتوكول الرئيسي..\n\nبالتحديد، الوحدة التي تم تسميتها تُسمى FlashLoopAdapter، ووظيفتها مساعدة المستخدمين على فتح/إغلاق مراكز الرافعة المالية على Aave عبر محافظ Safe متعددة التواقيع.. يكمن الخلل في حلقة التحقق من الصلاحيات: قام المهاجم بتصنيع عقد Safe مزيف، وتجاوز فحص التفويض لدى المحول.. والأكثر إزعاجًا هو أنه يسمح أيضًا لمن يناديه بتحديد راوتر الـ swap وبيانات المعاملة بنفسه..\n\nوهكذا استخدم المهاجم Safe الضحية لتنفيذ المعاملة، واستخرج weETH والضمان.. وفي أثناء ذلك قام أيضًا بسداد ديون تقارب 1,300 WETH نيابةً عنهم، وذلك لفك الرهن.. في النهاية أخذ حوالي 114 ETH من جهازي Safe، بقيمة تقارب 305 آلاف دولار..\n\nعند تكبير الصورة، فإن العنصر الحاسم ليس الـ300 ألف نفسها.. بل إن موقع المخاطر يتجه إلى الخارج: كلما نضج نواة البروتوكول أكثر، وكلما كانت عمليات التدقيق أسمك، زادت احتمالية أن يوجه المهاجم انتباهه نحو «المحيط»— تلك المحولات والواجهات والمحَفِّزات التي تنمو لتجعل البروتوكول أسهل في الاستخدام.. إنها تمد قدرات البروتوكول أكثر، وتُوسّع سطح الهجوم معه..\n\nرد الفعل على مستوى الأموال تجاه مثل هذه الأمور سيكون أكثر صدقًا من السعر.. عندما يقيّم طرف كبير بروتوكول إقراض، لا ينظر فقط إلى TVL ومعدل الفائدة، بل ينظر أيضًا إلى الحد الأقصى للخسارة في أسوأ الحالات— هل يمكن حصر الخسارة داخل وحدة صغيرة عند حدوث المشكلة، دون تلويث تجمع الأموال الرئيسي.. في هذه المرة صمد Aave v3، لذا يبقى لدى أموال الحوض الرئيسي سبب أكبر للبقاء؛ وبالمقابل، إذا تسرب يومًا ما من نفس الحوض الرئيسي نفسه، فستكون القصة اتجاهًا آخر تمامًا..\n\nدعني أضيف انعكاسًا: ما ينبغي أن نراقبه فعلًا ليس مبلغ الـ300 ألف الذي سُرق هذه المرة، بل متى ستحصل هذه المحولات الخارجية على مجموعة موحدة من معايير الصلاحيات والتدقيق.. طالما أنها تستمر في النمو بشكل فوضوي، فإن مجرد إهمال واحد في التحقق من الصلاحيات يكفي ليصبح خصمًا كبيرًا يطال ثقة الأموال الكبيرة في النظام البيئي بأكمله..