🚨 تحقيق أمني بشأن PREDICT.FUN: كيف سُحبت 397,708 USDT من 29 محفظة؟ تحذير أمني كبير لمستخدمي Binance Wallet
سوق تنبؤات، و29 محفظة متضررة، ومئات آلاف الدولارات، وحادث أمني أثار تساؤلات جدية حول البنية التحتية للمحافظ في صناعة العملات المشفّرة.
تقرير بحثي | 31 أكتوبر 2026
مقدمة: سؤال أمني جديد في عالم العملات المشفّرة
تُقدَّم اللامركزية والشفافية والاستقلال المالي في صناعة العملات المشفّرة على أنها من أعظم الإنجازات التقنية.
الوعد الأساسي لتقنية البلوك تشين هو أن يتمكن المستخدمون من الاحتفاظ بالتحكم في أموالهم بأنفسهم. وبالمقارنة مع المؤسسات المالية التقليدية، يمكن التحقق من معاملات البلوك تشين علنًا، ويمكن نقل الأصول الرقمية في أي وقت.
لكن حادثًا أمنيًا مرتبطًا بـ Predict.fun في أكتوبر 2026 أثار سؤالًا مهمًا حول هذا الوعد:
إذا كان المستخدم هو مالك المحفظة، لكن المفتاح الخاص لتلك المحفظة انكشف عبر خدمة خارجية، فهل يظل المستخدم يتحكم فعلًا في أمواله بالكامل؟
في 27 أكتوبر 2026، أصدرت Predict.fun بيانًا علنيًا بشأن تحويلات غير مصرح بها من المحافظ. ووفقًا للمنصة، نُقل ما يقارب 400,000 دولار من USDT من محافظ المستخدمين المتأثرة.
بعد ذلك نشرت شركة استخبارات البلوك تشين Bitquery تحقيقًا على السلسلة.
تتبّع التحقيق حركة إجمالية قدرها 397,708 USDT من 29 محفظة بين 22 و27 أكتوبر.
لم تكن هذه مجرد خسارة تداول عادية.
لم يخسر المستخدمون أموالهم بسبب اتخاذ قرار خاطئ في توقع السوق. ووفقًا للتحقيق، حدثت تحويلات غير مصرح بها من محافظهم.
وكانت أهم نتيجة تقنية هي أن التحويلات المتأثرة وُقعت بمفاتيح مالكي المحافظ.
وهذا لا يعني بالضرورة أن عقد التداول الذكي الرئيسي الخاص بـ Predict.fun قد تم اختراقه.
كان القلق الأمني الحقيقي مرتبطًا بالوصول إلى المحفظة وكشف المفتاح الخاص.
الجزء 1: ما هي Predict.fun؟
Predict.fun هي منصة لسوق التنبؤ تعمل ضمن منظومة BNB Chain.
الفكرة الأساسية لأسواق التنبؤ تختلف قليلًا عن التداول التقليدي.
هنا يضع المستخدمون مراكز على النتائج المحتملة لحدث مستقبلي.
على سبيل المثال:
هل سيرتفع سعر البيتكوين أم سينخفض؟
ما الحدث السياسي الذي ستكون نتيجته؟
من سيفوز في مسابقة رياضية؟
هل سيكتمل حدث معيّن بحلول الموعد النهائي المحدد أم لا؟
يشتري المستخدمون حصصًا في النتائج المتاحة.
إذا كانت توقعاتهم صحيحة، فقد يحصلون على دفعة وفقًا لقواعد التسوية في السوق.
وإذا كانت التوقعات غير صحيحة، فقد تخسر قيمة مركزهم.
تكمن جاذبية أسواق التنبؤ في أن المستخدمين لا يعتمدون فقط على التداول الفوري التقليدي.
لكن لهذا النموذج أيضًا بعض الاعتماديات التقنية الإضافية:
بنية المحفظة.
العقود الذكية.
اتصالات API.
مزوّدو الخدمات من الأطراف الثالثة.
إدارة المفاتيح الخاصة.
أنظمة تسوية السوق.
جسور البلوك تشين.
هذه الاعتماديات نفسها مهمة لفهم الحادثة الأمنية.
كانت Predict.fun أيضًا متاحة عبر Binance Wallet.
ولهذا لم تقتصر أخبار الحادثة على منصة تنبؤ مستقلة فقط، بل ازدادت أهميتها أيضًا لمستخدمي منظومة Binance Wallet.
لكن من الضروري فهم تمييز مهم:
إن كون منصة ما متاحة عبر Binance Wallet لا يثبت تلقائيًا أن البنية الأساسية الرئيسية لـ Binance Exchange قد تم اختراقها.
ومن الضروري التحقيق في النظامين التقنيين بشكل منفصل.
الجزء 2: ماذا حدث في 27 أكتوبر 2026؟
في 27 أكتوبر، بدأ مستخدمو Predict.fun بمشاركة تقارير عن تحويلات غير مصرح بها من المحافظ.
وأفاد بعض المستخدمين بأن USDT الموجود في حساباتهم نُقل من دون إذنهم.
وفي البداية، وُصف الحادث على أنه خسارة تقارب 400,000 دولار.
كما اعترفت Predict.fun في بيانها العلني بوجود عمليات نقل غير مصرح بها بقيمة تقارب 400,000 USDT.
وبحسب التحقيق الأولي للمنصة، ربما كان موقع توثيق API الخاص بها قد تعرّض للاختراق.
وكان هذا الموقع مستضافًا لدى مزود طرف ثالث.
وأوقفت Predict.fun موقع توثيق API كإجراء احترازي.
كما التزمت المنصة بتعويض 100% من الخسائر المباشرة للمستخدمين المتأثرين.
وفي الوقت نفسه، وُعد بنشر تقرير ما بعد الحادثة يشرح التفاصيل التقنية للحادثة والتحسينات الأمنية المستقبلية.
لكن تحقيق Bitquery كشف جانبًا مهمًا آخر من الحادثة.
لم تبدأ السرقة في 27 أكتوبر فقط.
فبحسب سجلات البلوك تشين، كانت الموجة الأولى قد بدأت بالفعل في 22 أكتوبر.
أي إن الأموال كانت تُنقل من المحافظ قبل خمسة أيام من الإفصاح العلني.
الجزء 3: الموجة الأولى — 22 أكتوبر
وبحسب تحقيق Bitquery، نُقل ما يقارب 125,029 USDT من ست محافظ في 22 أكتوبر.
وكانت هذه أول موجة تم التعرف عليها في الحادثة.
وفيما يلي بعض التفاصيل المهمة عن هذه الموجة:
المحافظ المتأثرة: 6
إجمالي المبلغ: 125,029 USDT
التاريخ: 22 أكتوبر 2026
البلوك تشين: BNB Chain
وشهد التحقيق في البداية معاملات اختبار صغيرة.
إذ جرت عمليات نقل صغيرة من محفظة واحدة بنحو دولار أو دولارين.
وقد تكون هذه التحويلات الصغيرة مهمة في التحقيق الأمني، لأن المهاجم قد يختبر عملية المعاملة أولًا.
ثم جرى تنفيذ تحويلات أكبر بعد ذلك.
وبحسب التقارير، نُقل في إحدى المعاملات نحو 82,000 USDT.
وكان هذا المبلغ من بين أهم المعاملات الفردية في الحادثة.
وكان أكثر ما يثير القلق هو أن التغطية العلنية لموجة 22 أكتوبر لم تظهر قبل حادثة 27 أكتوبر.
وهذا يعني أن المستخدمين ومجتمع الكريبتو الأوسع لم يكونوا على دراية بالجدول الزمني الكامل للحادثة في البداية.
الجزء 4: الموجة الثانية — 27 أكتوبر
في 27 أكتوبر، ظهرت المرحلة الثانية والأكبر من الحادثة.
وفي هذه المرحلة نُقل ما يقارب 272,679 USDT.
وبحسب تحقيق Bitquery، تأثرت 19 محفظة في هذه الموجة.
وكانت أكثر التفاصيل إثارة للقلق هي سرعة المعاملات.
إذ نُفذت التحويلات واسعة النطاق من 19 محفظة خلال نحو 34 دقيقة فقط.
وكان الفاصل بين بعض المعاملات بضع دقائق فقط.
ويشير هذا النمط إلى نشاط منسق.
وقد لوحظ في التحقيق أن الأموال نُقلت أولًا إلى عناوين وسيطة جديدة.
ثم جرى تحويلها إلى شبكة Ethereum عبر الجسور عبر السلاسل.
وهنا نقطة تقنية مهمة:
إن ظهور المعاملة على البلوك تشين وإثبات هوية الفرد الذي فوّضها أمران مختلفان.
يمكن لبيانات السلسلة أن تُظهر من أي عنوان خرجت الأموال وإلى أين وصلت.
لكن مجرد النظر إلى عنوان المحفظة لا يكشف تلقائيًا الهوية الحقيقية للمهاجم في العالم الواقعي.
لذلك من الضروري تقسيم النتائج التقنية للحادثة إلى أدلة معاملة موثقة ومسار هجوم مشتبه به.
الجزء 5: كم بلغ إجمالي الخسارة؟
وبحسب تحقيق Bitquery، بلغ إجمالي الموجتين:
22 أكتوبر:
125,029 USDT
27 أكتوبر:
272,679 USDT
الإجمالي المجمّع:
397,708 USDT
أي ما يقارب 397,708 دولار من التدفق الخارج من المحافظ.
ويقترب هذا المبلغ من تقدير Predict.fun العلني البالغ نحو 400,000 دولار.
كما أُبلغ عن تطور إضافي.
فبعد نحو ساعة من بيان Predict.fun العلني، ظهرت تقارير عن نقل 4,900 USDT من محفظة أخرى.
ويجب فهم هذا التحويل الإضافي بشكل منفصل عن حساب الموجتين الأصلي الذي بلغ 397,708 USDT.
وهذا التمييز مهم، وإلا فقد يحدث ارتباك حول إجمالي الأموال المتأثرة وعدد المحافظ.
الجزء 6: السؤال الأكبر — كيف انكشف المفتاح الخاص؟
نصل الآن إلى أهم نقطة تقنية في الحادثة.
المفتاح الخاص هو أكثر معلومات المحفظة الرقمية حساسية.
وهو اعتماد تشفيري سري يمنح مالك المحفظة القدرة على تفويض المعاملات.
إذا حصل مهاجم على مفتاح خاص صالح، فيمكنه توقيع المعاملات من المحفظة.
وتتحقق شبكة البلوك تشين من توقيع المعاملة.
وإذا كان التوقيع صالحًا واستوفت المعاملة بقية قواعد البروتوكول، فيمكن تنفيذها.
وهنا يوجد فرق مهم:
فالبلوك تشين تتحقق من أن المعاملة وُقعت بمفتاح تشفيري مُخوّل.
لكنها لا تستطيع تلقائيًا التحقق مما إذا كان الشخص الذي استخدم المفتاح هو صاحب الحساب الحقيقي أم شخصًا غير مصرح له.
ولهذا يُعد اختراق المفتاح الخاص من أخطر مخاطر أمن الكريبتو.
وفي حادثة Predict.fun، أفاد Bitquery بأن عمليات السحب من المحافظ المتأثرة كانت موقعة بمفاتيح المالك.
وخلال 33 معاملة سحب، لم تُستدعَ عقود سوق Predict.fun.
وتشير هذه النتيجة إلى أن مسار المعاملة الظاهر في الهجوم كان مرتبطًا بتفويض على مستوى المحفظة بدلًا من استغلال مباشر لعقود التداول الذكية الخاصة بالمنصة.
لكن هذا لا يثبت أن بقية مكونات المنصة كانت خالية من أي ثغرة.
الجزء 7: ما دور موقع توثيق API؟
ذكرت Predict.fun في تحقيقها الأولي احتمال اختراق موقع توثيق API المستضاف لدى طرف ثالث.
وهذا هو أهم سؤال لم يُجب عنه بعد في هذه الحادثة.
والاختصار API يعني Application Programming Interface.
ببساطة، API هو نظام اتصال تقني يربط بين تطبيقين برمجيين.
ويُستخدم API كثيرًا في تداول العملات الرقمية.
على سبيل المثال:
بوتات التداول الآلي.
تطبيقات بيانات السوق.
أدوات إدارة المحافظ الاستثمارية.
لوحات التداول.
أنظمة التداول الخوارزمي.
التنفيذ الآلي للأوامر.
تحتاج بعض أنظمة التداول المتقدمة إلى أذونات إضافية أو بيانات اعتماد توقيع للتفاعل مع المحفظة.
وبحسب تحقيق Bitquery، كان مستخدمو API في Predict.fun يحصلون على خيار تصدير مفتاح مالك المحفظة من أجل التداول عبر البوتات.
وهنا ينشأ خطر أمني جدي.
إذا أدخل المستخدم مفتاح مالكه في أداة خارجية أو تطبيق أو سير عمل API، فإن أمان هذا المفتاح لا يعتمد فقط على شبكة البلوك تشين.
بل يعتمد على:
أمن الموقع الخارجي.
موثوقية توثيق API.
أمن متصفح المستخدم.
البنية التحتية التابعة للطرف الثالث.
تخزين المفتاح وطريقة التعامل معه.
أذونات الوصول.
إذا تعرّض أي من هذه الأنظمة للاختراق، فقد ينشأ خطر كشف المفتاح الخاص.
لكن هنا يلزم تناول المسؤولية الصحفية بدقة.
ذكرت Predict.fun أن موقع توثيق API كان نقطة دخول محتملة.
ولا تزال الأدلة المتاحة حتى الآن لا تثبت بشكل قاطع بالضبط أي عملية تقنية استخدمها المهاجم للحصول على المفاتيح الخاصة.
لذلك ينبغي وصف اختراق توثيق API بأنه مسار مشتبه به، لا السبب الجذري المثبت نهائيًا.
الجزء 8: الفرق بين اختراق العقد الذكي واختراق المحفظة
غالبًا ما يصف مستخدمو الكريبتو كل حادثة أمنية بأنها اختراق لعقد ذكي.
لكن الواقع التقني أكثر تعقيدًا من ذلك.
العقد الذكي هو برنامج قائم على البلوك تشين.
هو يدير المعاملات والتفاعلات مع الأصول الرقمية وفقًا لهذه القواعد المُعدّة مسبقًا.
إذا كانت هناك ثغرة في العقد الذكي، فقد يستغلها المهاجم لسرقة الأموال.
لكن اختراق المحفظة حالة مختلفة.
في هذه الحالة يحصل المهاجم على سلطة التوقيع الخاصة بالمحفظة.
قد تكون نتائج الهجومين متشابهة:
تختفي أموال المستخدم.
لكن الطريقة التقنية تكون مختلفة.
في حادثة Predict.fun، أفاد تحقيق Bitquery بأن 33 معاملة سحب لم تستدعِ عقود Predict.fun.
هذه النتيجة تجعل هذه الحادثة مختلفة عن استغلالٍ عادي للعقد الذكي.
وهذا يعني أن التحقيق الأمني للمنصة لا ينبغي أن يقتصر على العقود الذكية فقط.
بل يجب أيضًا فحص بنية المحفظة، والمواقع الخارجية، وأدوات المطورين، وبيانات الاعتماد الخاصة بالتوقيع.
الجزء 9: أين ذهبت الأموال؟
كان جزءًا مهمًا من التحقيق في الحادثة هو تتبّع حركة الأموال المسروقة.
وبفضل شفافية البلوك تشين، يستطيع المحققون تتبّع العناوين والمعاملات.
وبحسب Bitquery، جرى نقل الأموال من BNB Chain إلى شبكة Ethereum.
وقد استُخدمت في هذه العملية عدة خدمات عبر السلاسل.
ومن بين الخدمات المذكورة:
Relay
LI.FI
Across
تُسهّل هذه الخدمات نقل الأصول بين شبكات بلوك تشين مختلفة.
مثال بسيط:
إذا كان لدى مستخدم USDT على BNB Chain ويريد استلام ETH على Ethereum، فقد تسهّل جسور أو خدمات التوجيه عبر السلاسل هذه العملية.
وبحسب التحقيق، انتقلت الأموال المسروقة عبر عناوين وسيطة ثم تحولت إلى ETH على Ethereum.
وهذه العملية قد تجعل تتبّع المسار الأصلي للأموال أكثر تعقيدًا نسبيًا.
لكن النقل عبر السلاسل لا يعني أن الأموال اختفت بالكامل من البلوك تشين.
وتبقى سجلات المعاملات موجودة على كل بلوك تشين.
الجزء 10: اتصال Tornado Cash
وكان أحد الاكتشافات المهمة الأخرى في تحقيق Bitquery مرتبطًا بـ Tornado Cash.
وبحسب التحقيق، أودِع ما يقارب 166.8 ETH في Tornado Cash.
Tornado Cash هو بروتوكول لخلط العملات الرقمية.
والغرض منه إخفاء الرابط العام المباشر بين مصدر المعاملات ووجهتها.
وقد تكون لتقنيات الخصوصية استخدامات مشروعة أيضًا.
لكن في حالات الأموال المسروقة، يمكن أن تجعل الخلاطات التتبّع أكثر صعوبة على المحققين.
في هذه الحادثة، أفاد المحققون بأن جزءًا كبيرًا من الأموال المسروقة وصل إلى Tornado Cash بعد نقله إلى Ethereum.
كما ظهرت أيضًا تقارير عن انتقال محفظة إضافية لـ 4,900 USDT من السحب إلى Railgun.
Railgun هو أيضًا بروتوكول يركز على الخصوصية.
وهنا توضيح مهم:
إن ظهور اسم Tornado Cash أو Railgun في مسار المعاملات لا يثبت بحد ذاته أن مطوري هذه البروتوكولات أو مشغليها كانوا متورطين في السرقة.
هذا التمييز مهم جدًا في الصحافة الاستقصائية.
ويجب الفصل بين وجهة المعاملة والمسؤولية الجنائية.
الجزء 11: هل تأثرت البوتات أيضًا؟
التداول الآلي شائع جدًا في أسواق التنبؤ.
تراقب البوتات أسعار السوق وتنفذ الصفقات وفقًا لشروط محددة مسبقًا.
كما فحص تحقيق Bitquery نشاط التداول في المحافظ المتأثرة.
وبحسب التحقيق، أظهرت بعض المحافظ نشاط تداول مرتفعًا جدًا قبل الحادثة.
نفذت 12 محفظة أكثر من 1,000 صفقة في الأسبوع السابق.
وكان نشاط بعض الحسابات متسقًا مع أنظمة التداول الآلي.
لكن القول إن كل محفظة متأثرة كانت تابعة لبوت ليس صحيحًا.
كما ظهرت في التحقيق حسابات ذات نشاط تداول خفيف ضمن المتأثرين.
وهذا يطرح احتمالًا مهمًا:
لم يكن الخطر مقتصرًا على المتداولين المحترفين.
فإذا كان مستخدم عادي يستخدم تكامل API وكانت مفتاح مالكته مكشوفة في سير عمل خارجي، فقد يواجه أيضًا خطرًا أمنيًا.
أي إن عدم استخدام التداول الآلي لا يلغي تلقائيًا كل مخاطر المحفظة.
الجزء 12: من تكبّد أكبر خسارة؟
وبحسب التحقيق، لم تكن خسائر المحافظ المتأثرة متساوية.
فقدت بعض الحسابات مبالغ صغيرة نسبيًا.
بينما نُقلت من بعض المحافظ عشرات الآلاف من USDT.
وكانت أكبر خسارة فردية مُبلّغ عنها حوالي 109,000 دولار.
وبحسب Bitquery، مثّلت أكبر خمس محافظ متأثرة نحو 73% من إجمالي الأموال المسروقة.
وسُجّلت خسارة وسيطة تقارب 4,845 USDT.
وتُظهر هذه الأرقام أن بعض الحسابات كبيرة الرصيد تأثرت بشكل غير متناسب.
وهذا له دلالة مهمة.
فخطر أمان المحفظة لا يتحدد فقط بحجم تداول الحساب.
فحتى المستخدم الذي يجري عددًا قليلًا جدًا من الصفقات لكنه يحتفظ برصيد كبير في المحفظة قد يصبح هدفًا جديًا.
الجزء 13: رد Predict.fun
بعد انتشار الحادثة علنًا، أعلنت Predict.fun عدة خطوات احترازية.
أولًا، جرى إيقاف موقع توثيق واجهة API عن العمل.
وقالت المنصة إن الموقع كان مستضافًا لدى مزود طرف ثالث وإنها كانت تحقق في احتمال تعرضه للاختراق.
أما الخطوة الثانية فكانت التزامًا بالتعويض.
ووعدت Predict.fun بتعويض 100% من الخسائر المباشرة للمستخدمين المتأثرين.
أما الخطوة الثالثة فكانت الالتزام بنشر تقرير ما بعد الحادثة.
تقرير ما بعد الحادثة هو تقرير تقني يشرح الجدول الزمني للحادثة، والسبب الجذري، والأثر، والإجراءات التصحيحية.
لكن الوعد بالتعويض وإتمام التعويض الفعلي هما مرحلتان مختلفتان.
ينبغي على المستخدمين التحقق من:
كم عدد المستخدمين المتأثرين؟
ما مقدار الخسارة الموثقة لكل مستخدم؟
في أي تاريخ اكتمل التعويض؟
من أي مصدر دُفعت الأموال؟
هل تغيّرت ضوابط الأمان في تكاملات API المستقبلية؟
هل أُبطلت بيانات الاعتماد المخترقة؟
هل أُجري تدقيق أمني مستقل؟
فالبيان العلني وحده لا يجيب عن كل هذه الأسئلة.
الجزء 14: هل تم اختراق Binance مباشرة؟
هذا هو السؤال الأهم لمستخدمي Binance Wallet.
كانت Predict.fun متاحة عبر Binance Wallet.
لكن كون تطبيق طرف ثالث متاحًا داخل Binance Wallet لا يعني الشيء نفسه الذي يعنيه اختراق الأنظمة الأساسية لـ Binance Exchange.
فخلط الأمرين قد يولّد معلومات مضللة.
التحقيقات المتاحة تركز على محافظ المستخدمين المتأثرة في Predict.fun وعلى تفويض مفتاح المالك.
ولا يثبت هذا الدليل أن أرصدة عملاء Binance أو البنية الأساسية الأساسية للمنصة قد تعرضت للاختراق المباشر في هذا الهجوم.
وبالمثل، فإن ظهور خطأ Orders Not Allowed على سوق BTC Up or Down 5m في Binance Predict ليس دليلًا مباشرًا على هذه السرقة.
إذا كانت Binance قد أوقفت سوق تنبؤ مؤقتًا، فينبغي إثبات السبب الدقيق من خلال إعلان رسمي أو تأكيد المنصة.
فمجرد تزامن توقيت حادثتين لا يثبت السببية.
الجزء 15: دروس أمنية لمستخدمي العملات الرقمية
تمنح هذه الحادثة بعض الدروس المهمة لمستخدمي العملات الرقمية العاديين.
1. لا تشارك المفتاح الخاص أبدًا
المفتاح الخاص هو اعتماد التحكم في المحفظة.
إذا طلب منك موقع أو تطبيق غير معروف تصدير المفتاح الخاص، فاعتبر ذلك قرارًا أمنيًا شديد الخطورة.
2. تحقّق من صلاحيات API
من الضروري فهم الغرض من كل صلاحية API.
فهناك فرق كبير جدًا بين الوصول للقراءة فقط وبين سلطة توقيع المعاملات.
3. لا تثق عمياءً بالمواقع الخارجية التابعة لأطراف ثالثة
فالموقع الخارجي المتصل بالموقع الرسمي للمنصة قد يخلق خطرًا أمنيًا أيضًا.
4. افصل بين محفظة التداول ومحفظة الاحتفاظ طويل الأجل
إذا كنت تستخدم بوتات أو أنظمة آلية، فتجنب الاحتفاظ بالأصول طويلة الأجل في المحفظة المتصلة بأدوات التداول الخارجية.
5. تعامل مع المفتاح المخترق على أنه مكشوف
إذا كان هناك اشتباه في اختراق المفتاح الخاص لمحفظة ما، فليس تغيير كلمة المرور وحده كافيًا.
قد يكون من الضروري معالجة سلطة التوقيع الخاصة بالمحفظة ونقل الأصول المتبقية إلى محفظة آمنة.
6. راجع موافقات المحفظة
ينبغي على المستخدمين مراجعة موافقات الرموز والتطبيقات المتصلة بانتظام.
ويُعد إبطال الأذونات غير المعروفة ممارسة أمنية مفيدة.
لكن تذكّر: إبطال الموافقة لا يجعل المفتاح الخاص المخترق آمنًا.
7. تابع التحديثات الأمنية الرسمية
لا تعتبر لقطات الشاشة والشائعات المنتشرة على وسائل التواصل الاجتماعي دليلًا نهائيًا.
قارن بين البيانات الرسمية، وسجلات معاملات البلوك تشين، والتحقيقات المستقلة.
الجزء 16: مقارنة تاريخية — أمن سلسلة التوريد في عالم الكريبتو
لم تعد مشكلة أمان العملات الرقمية مقتصرة على العقود الذكية فقط.
ففي صناعة البرمجيات التقليدية، كانت هناك أيضًا حوادث عديدة بسبب اعتماديات أطراف ثالثة واختراق البنية التحتية للمطورين.
ومن الأمثلة التاريخية على ذلك حادثة SolarWinds في عام 2020.
في تلك الحادثة استهدف المهاجمون سلسلة توريد البرمجيات.
ولا يعني هذا التشبيه أن هجمات Predict.fun وSolarWinds كانت متطابقة تقنيًا.
فقد كان نطاق الحادثتين وطريقتهما مختلفين.
لكن كلتيهما تسلطان الضوء على مبدأ أمني أوسع:
قد يكون نظامك الأساسي آمنًا، لكن إذا تعرضت البنية الخارجية المتصلة به للاختراق، فقد ينشأ خطر رغم ذلك.
وفي منظومة الكريبتو يصبح هذا الخطر أكثر حساسية لأن المفاتيح الخاصة تمنح سلطة مالية مباشرة.
لذلك ينبغي اعتبار التوثيق الخارجي وSDKs وخدمات API وتكاملات المحافظ جزءًا مهمًا من البنية الأمنية.
الجزء 17: مفارقة اللامركزية
في صناعة الكريبتو، غالبًا ما تُوصَف اللامركزية على أنها استقلال كامل.
لكن في الأنظمة الواقعية، يستخدم المستخدمون اعتمادات متعددة مركزية ولا مركزية في آن واحد.
على سبيل المثال:
مزود المحفظة.
شركة الاستضافة السحابية.
مزود توثيق API.
بنية RPC.
الجسور عبر السلاسل.
خدمات بوتات التداول.
مزودو المصادقة.
إذا قدّم المستخدم مفتاح محفظته إلى خدمة خارجية، فإن البنية العملية للسيطرة تصبح أكثر تعقيدًا.
قد تكون البلوك تشين لامركزية.
لكن البرنامج والبنية التحتية اللذين يتيحان الوصول إليها قد يكونان مركزيين.
وهذا هو أهم درس استراتيجي من حادثة Predict.fun.
ولا يكون ادعاء الاستقلال ذا معنى إلا إذا تمكن المستخدم من حماية أمواله حتى في حال تعرض الاعتماديات الخارجية للاختراق.
الجزء 18: ما الأسئلة التي يجب أن تجيب عنها Predict.fun الآن؟
بعد الحادثة، لن يكون مجرد الوعد بالتعويض كافيًا للمنصة.
فالمستخدمون يحتاجون أيضًا إلى شفافية تقنية.
ومن وجهة نظري، هذه هي الأسئلة الأهم:
1. ما السبب الجذري؟
هل تم حقن كود خبيث في موقع توثيق API؟
أم أن مفاتيح المالك كُشفت عبر اعتماد خارجي آخر؟
2. كيف تم الوصول إلى المفاتيح الخاصة؟
هل أدخل المستخدمون المفاتيح في موقع التوثيق؟
هل حدث اختراق عبر المتصفح؟
أم كانت هناك مسار تقني مختلف؟
3. هل تم تحديد المستخدمين المتأثرين؟
هل لدى المنصة قائمة كاملة بالمحافظ المتأثرة؟
4. هل حصل جميع المستخدمين المتأثرين على التعويض؟
هل يمكن التحقق علنًا من تجزئات معاملات التعويض؟
5. هل تم إخطار مستخدمي API الحاليين؟
هل أُبطلت بيانات اعتمادهم الحالية؟
6. هل أُجري تدقيق أمني مستقل؟
هل سيُنشر في المستقبل تدقيق خارجي لبنية توثيق API وتوقيع المحفظة؟
7. هل يمكن للمستخدمين استخدام المنصة من دون API؟
إذا كان المستخدم لا يريد استخدام بوت طرف ثالث، فهل يوجد بديل أكثر أمانًا؟
هذه الأسئلة مهمة لمصداقية المنصة على المدى الطويل.
الجزء 19: الحكم النهائي للتحقيق
لا ينبغي اختزال حادثة Predict.fun إلى مجرد سرقة بنحو 400,000 دولار.
تكمن أهمية هذه الحادثة في نمطها التقني.
وقد نُفذت عمليات نقل 397,708 USDT من 29 محفظة على موجتين.
وقعت الموجة الأولى المحددة في 22 أكتوبر.
أما الموجة الثانية فظهرت في 27 أكتوبر.
وبحسب التحقيق على السلسلة، كانت التحويلات المتأثرة موقعة بواسطة مفاتيح المالك.
ولم تُستدعَ عقود سوق Predict.fun في 33 معاملة سحب.
وقد وصلت الأموال إلى Ethereum عبر خدمات عبر السلاسل، وأودِع 166.8 ETH في Tornado Cash.
كما ظهرت بعد بيان المنصة العلني تقارير إضافية عن سحب 4,900 USDT.
واعترفت Predict.fun بحادثة تقارب قيمتها 400,000 دولار، وذكرت احتمال اختراق وثائق API من طرف ثالث، والتزمت بتعويض المستخدمين المتأثرين بالكامل.
لكن لا يزال من الضروري التحقق بشكل مستقل من السبب التقني الجذري النهائي ومن إتمام التعويض.
وهناك أمر واحد واضح من هذه الحادثة:
في عالم الكريبتو، لا تكفي ملكية الرمز وحدها.
فأمان المفتاح الخاص، والاعتماديات على أطراف ثالثة، وتفويض المعاملات أمور لا تقل أهمية.
إذا كانت أموالك موجودة على البلوك تشين لكن المفتاح المخوّل لها انتقل إلى شخص غير مصرح له، فقد تتأثر الفائدة العملية من اللامركزية بشكل كبير.
والسؤال الأخير والأهم:
إذا تعرض في الغد API سوق تنبؤ أو بنية المحفظة أو خدمة طرف ثالث للاختراق، فهل يستطيع المستخدمون الانتقال أو الانقسام إلى منصة أخرى من دون فقدان أموالهم أو هوية محافظهم أو سجل تداولهم؟
الاختبار الحقيقي للاستقلال في الكريبتو ليس فقط مدى سهولة انضمامك إلى المنصة.
بل مدى سهولة خروجك منها عند وقوع الأزمة.
مصادر البحث
Bitquery — تحقيق على السلسلة في سحب محافظ Predict.fun، 27 أكتوبر 2026.
Predict.fun — بيان رسمي بشأن عمليات نقل غير مصرح بها بقيمة تقارب 400,000 USDT، 27 أكتوبر 2026.
Crypto.news — تأكيد Predict.fun للعمليات غير المصرح بها والتزام التعويض.
TokenPost — تحقيق في الجدول الزمني لعمليات نقل المحافظ.
iTokenly — سجل حادثة Predict.fun والملخص التقني.
ملاحظة بحثية: في هذا التقرير، جرى فصل النتائج الموثقة على السلسلة عن البيانات الأولية للمنصة والاستنتاجات التحليلية. وقد وُصف اختراق توثيق API بأنه سبب محتمل؛ أما السبب التقني الجذري الكامل فلم يثبت بشكل مستقل.