في الساعة 15:21 يوم 16 مايو، تم استغلال النظام البيئي Pump.fun لمنصة إنشاء عملة الميم الخاصة بـ Solana. وأدى الحادث إلى خسارة ما يقرب من 12300 سول، تبلغ قيمتها حوالي 2 مليون دولار بأسعار السوق الحالية.
استغل المهاجمون منصة Margin.fi للتلاعب بالقروض السريعة للحصول على SOL وشراء رموز Pump.fun دون استخدام أموالهم الخاصة. لقد أحدث هذا الاستغلال الأخير موجات صادمة عبر مجتمع العملات المشفرة.
العثور على المهاجم من الداخل: ثغرة أمنية في Pump.fun
المهاجم، الذي تم التعرف عليه في البداية من خلال عنوان المحفظة 7ihN8QaTfNoDTRTQGULCzbUT3PHwPDTu5Brcu4iT2paP، استغل Pump.fun عن طريق شراء جميع الرموز المميزة للمشاريع الجديدة التي تم إطلاقها على المنصة في غضون دقائق. دفع هذا الإجراء منحنى الترابط إلى أقصى حدوده.
في مجال التمويل اللامركزي (DeFi)، يُعد منحنى الترابط عقدًا ذكيًا يمكنه إنشاء سوق للرموز من دون الاعتماد على منصات تداول العملات المشفرة. لذلك، وعلى النحو المتوقع، حال هذا التلاعب دون إدراج الرمز في منصة التداول اللامركزية Raydium DEX على Solana.
للتصدي لهذا الهجوم، حدّث pump.fun عقوده لمنع تفاقم الوضع. كما أوقف الفريق التداول وطمأن المستخدمين إلى أن القيمة الإجمالية المقفلة (TVL) في البروتوكول آمنة.
قال الفريق: «نحن ملتزمون بضمان سلامة المستخدمين، ونعمل مع الأطراف المعنية، بما فيها جهات إنفاذ القانون، للحد من الخسائر قدر الإمكان.»
ومن المثير للاهتمام أن المهاجم هو Jarrett، الموظف السابق في Pump.fun، المعروف باسم STACCOverflow. وقد عبّر Jarrett عن استيائه من الشركة على وسائل التواصل الاجتماعي، وقال إنه ينوي تخريب المنصة.
«ذلك المدير الفظيع الذي يشاهدك وأنت تكسر يدك، ثم يسألك عما حدث، فتقول إنك تعثرت بطاولة زجاجية، فيسألك: “هل الطاولة بخير؟” هذا ليس شخصًا يساعد مجال البلوك تشين»، كتب Jarrett بعد الهجوم.
وأوضح أن لديه خطة يريد من خلالها «تغيير مسار التاريخ». وأضاف أنه لا يقلق بشأن دخول السجن.
وفي منشور آخر، قال Jarrett أيضًا إنه سيوزع غنائمه على مجتمعات مختلفة عبر عمليات إسقاط جوي، منها Slerf وStacc وSaga وRisklol. وبسبب قراره إجراء عمليات الإسقاط الجوي، وصفه بعض أفراد مجتمع العملات المشفرة بأنه «روبن هود الويب 3».
بعد نحو خمس ساعات من نشر الإعلان الأولي، نشر pump.fun تقريرًا للتحليل اللاحق للحادثة. وأعاد الفريق نشر العقود، واستأنف التداول برسوم قدرها 0% خلال الأيام السبعة التالية. كما يعمل على إنشاء مجمعات سيولة (LP) للرموز المتأثرة، لاستعادة إمكانية التداول.
«إن الرموز التي بلغت 100% بين الساعة 15:21 و17:00 في حالة من عدم اليقين، ما يعني أنه لم يكن بإمكان أحد تداولها قبل نشر مجمعات السيولة (LP) الخاصة بها على Raydium. ولتعويض المستخدمين بالكامل، سيضيف فريق pump.fun مجمعات سيولة لكل رمز متأثر خلال الـ24 ساعة المقبلة، بكمية من سيولة SOL تساوي أو تفوق سيولة الرمز عند الساعة 15:21 بالتوقيت العالمي المنسق.»