تم سرقة 114 ETH، وتقول العناوين الرئيسية إن Aave تعرّض لهجوم من قِبل قراصنة—وحتى مؤسس Aave ألقى المسؤولية مباشرة: ليس مشكلة Aave!
ما الذي حدث: لم يستهدف المهاجم عقد Aave الرئيسي، بل استهدف وحدة طرف ثالث تُسمّى FlashLoopAdapter. هذه الوحدة تساعد المستخدمين على تنفيذ رافعة مالية دورية (إيداع→اقتراض→إعادة إيداع، بما يوسّع التعرض) على Aave v3، لكن لديها خللًا قاتلًا في التحقق من الصلاحيات: إذ استخدم المهاجم عقد Safe مزيفًا لتجاوز فحص الهوية، وبذلك حصل على “مفتاح الخزنة” الشامل. ثم اقترض عبر القرض الفوري (flash loan) من Morpho لسداد ديْن بقيمة نحو 1335 WETH، وفكّ الرهن، وسحب حوالي 1306 weETH من حسابين من محافظ Safe. في النهاية حقق صافي ربح قدره 114.09 ETH (حوالي 305 آلاف دولار). ردّ مؤسس Aave، Stani Kulechov، فورًا على X: إن هذا مبني على Aave عبارة عن مُحوِّل خارجي تابع لجهة طرف ثالث، وAave v3 نفسها لا تتأثر إطلاقًا.
رأيي: هذه الحادثة تؤكد أن أكبر المخاطر في DeFi غالبًا لا تكون داخل البروتوكول نفسه، بل في “مكوّنات البناء” المحيطة به. قد لا تكون قد سمعت عن FlashLoopAdapter إطلاقًا، لكن طالما منحتَ صلاحية محافظ Safe لهذه الوحدة، يمكنها أن تتحكم في أموالك—وهذه هي التفاصيل الشيطانية في تفويض الوحدات. مؤخرًا، تميل الهجمات على السلسلة أكثر إلى اتباع أسلوب “استعارة السلاح”: لا يعضّون مباشرة Aave أو Uniswap نفسها لأن الأمر صعب، بل يختارون وحدات طرف ثالث داخل منظوماتها التي تكون مراجعتها الأمنية أقل صرامة. كيف يحمي المستخدم العادي نفسه؟ طريقتان بسيطتان: أولًا، افحص دوريًا قائمة الوحدات في Safe للتأكد مما إذا كان هناك شيء غير معروف؛ إذا لم تعرف الوحدة فقم بإلغاء تفعيلها (وفي هذه السرقة، كانت الوحدة المسروقة من نفس الشخص الذي يملك محفظتي Safe، ولم يتم تعطيلها إلا بعد وقوع الحادث). ثانيًا، لا تترك مبالغ كبيرة لفترة طويلة في محفظة تعمل بدورات الرافعة المالية؛ فمع أن العائد قد يكون بضع نقاط إضافية، فقد تكون “تكلفته” رأس المال. 114 ETH ليست مبلغًا ضخمًا، لكن الأسلوب يستحق أن يدوَّن لدى كل من يتداول/يلعب على السلسلة.
البيانات حتى: 2026-10-02 15:00 UTC
المصدر: SlowMist؛ Cointelegraph
للمشاركة المعلوماتية فقط، ولا تشكل نصيحة استثمارية.
$AAVE $ETH
هل تقومون بفحص الوحدات التي تم تفويضها لمحافظكم بشكل منتظم؟ شاركونا في قسم التعليقات.
سأتابع باستمرار مثل هذه الأحداث الأمنية، تابعني كي لا تضيع.
ما الذي حدث: لم يستهدف المهاجم عقد Aave الرئيسي، بل استهدف وحدة طرف ثالث تُسمّى FlashLoopAdapter. هذه الوحدة تساعد المستخدمين على تنفيذ رافعة مالية دورية (إيداع→اقتراض→إعادة إيداع، بما يوسّع التعرض) على Aave v3، لكن لديها خللًا قاتلًا في التحقق من الصلاحيات: إذ استخدم المهاجم عقد Safe مزيفًا لتجاوز فحص الهوية، وبذلك حصل على “مفتاح الخزنة” الشامل. ثم اقترض عبر القرض الفوري (flash loan) من Morpho لسداد ديْن بقيمة نحو 1335 WETH، وفكّ الرهن، وسحب حوالي 1306 weETH من حسابين من محافظ Safe. في النهاية حقق صافي ربح قدره 114.09 ETH (حوالي 305 آلاف دولار). ردّ مؤسس Aave، Stani Kulechov، فورًا على X: إن هذا مبني على Aave عبارة عن مُحوِّل خارجي تابع لجهة طرف ثالث، وAave v3 نفسها لا تتأثر إطلاقًا.
رأيي: هذه الحادثة تؤكد أن أكبر المخاطر في DeFi غالبًا لا تكون داخل البروتوكول نفسه، بل في “مكوّنات البناء” المحيطة به. قد لا تكون قد سمعت عن FlashLoopAdapter إطلاقًا، لكن طالما منحتَ صلاحية محافظ Safe لهذه الوحدة، يمكنها أن تتحكم في أموالك—وهذه هي التفاصيل الشيطانية في تفويض الوحدات. مؤخرًا، تميل الهجمات على السلسلة أكثر إلى اتباع أسلوب “استعارة السلاح”: لا يعضّون مباشرة Aave أو Uniswap نفسها لأن الأمر صعب، بل يختارون وحدات طرف ثالث داخل منظوماتها التي تكون مراجعتها الأمنية أقل صرامة. كيف يحمي المستخدم العادي نفسه؟ طريقتان بسيطتان: أولًا، افحص دوريًا قائمة الوحدات في Safe للتأكد مما إذا كان هناك شيء غير معروف؛ إذا لم تعرف الوحدة فقم بإلغاء تفعيلها (وفي هذه السرقة، كانت الوحدة المسروقة من نفس الشخص الذي يملك محفظتي Safe، ولم يتم تعطيلها إلا بعد وقوع الحادث). ثانيًا، لا تترك مبالغ كبيرة لفترة طويلة في محفظة تعمل بدورات الرافعة المالية؛ فمع أن العائد قد يكون بضع نقاط إضافية، فقد تكون “تكلفته” رأس المال. 114 ETH ليست مبلغًا ضخمًا، لكن الأسلوب يستحق أن يدوَّن لدى كل من يتداول/يلعب على السلسلة.
البيانات حتى: 2026-10-02 15:00 UTC
المصدر: SlowMist؛ Cointelegraph
للمشاركة المعلوماتية فقط، ولا تشكل نصيحة استثمارية.
$AAVE $ETH
هل تقومون بفحص الوحدات التي تم تفويضها لمحافظكم بشكل منتظم؟ شاركونا في قسم التعليقات.
سأتابع باستمرار مثل هذه الأحداث الأمنية، تابعني كي لا تضيع.
