كيف سمح موافقة خاملة باختراق إيثيريوم بقيمة 13.3 مليون دولار

تم استغلال موافقة قديمة على رمز إيثريوم، مما سمح للمهاجم بسحب 13.3 مليون دولار من محفظة خلال ثوانٍ من تلقي الأموال.

فقدت محفظة إيثريوم حوالي 13.3 مليون دولار خلال ثوانٍ بعد تفعيل موافقة على رمز منسيّة منذ فترة طويلة.

وصلت الأموال من خلال معاملة تجريد الحساب، وتصرف المهاجم على الفور. تظهر بيانات البلوكتشين أن المحفظة منحت حقوق الإنفاق دون علم قبل أسابيع.

بمجرد وصول التحويل، سمحت الموافقة بالوصول الكامل دون تأكيد إضافي. تُظهر الحادثة كيف يمكن أن تظل الأذونات الخاملة نشطة وتُستخدم دون تحذير.

تستلم المحفظة الأموال وتُفرغ بسرعة

تلقت المحفظة الضحية، المعروفة بالعنوان 0xba15E9b644685cB845aF18a738Abd40C6Bcd78eD، حوالي 13.3 مليون دولار في معاملة واحدة.

نفذ المهاجم التحويل باستخدام آلية تجريد الحساب المصممة لتبسيط عمليات المحفظة.

علاوة على ذلك، تُظهر سجلات البلوكتشين أن الأموال وصلت وتمت إزالتها خلال ثوانٍ. وبالتالي، فإن التوقيت السريع ترك نافذة للتدخل اليدوي أو اتخاذ إجراءات دفاعية.

سرعة السحب أشارت إلى أن المهاجم لم يكن بحاجة إلى أذونات جديدة. بل كان لديه الوصول مسبقًا قبل حدوث التحويل.

بالإضافة إلى ذلك، أكدت أدوات الأمان أنه لم تتم أي معاملات موافقة جديدة خلال الحادثة. مما استبعد هجمات التصيد أو التوقيع التقليدية.

ثم قام المحققون بمراجعة النشاط التاريخي على السلسلة المرتبط بالمحفظة. وركزوا على الموافقات القديمة على الرموز التي لم تُلغَ أبدًا.

كشفت هذه المراجعة عن موافقة سابقة لا تزال تسمح بالإنفاق من قبل طرف ثالث. وأصبحت تلك الأذونات الخاملة نقطة الدخول للاستغلال.

الموافقة القديمة مكنت من الاستغلال

تتبّع المحققون السبب الجذري إلى معاملة موافقة أُجريت في 1 يناير 2026. منحت تلك المعاملة حقوق الإنفاق للعنوان 0x616000e384Ef1C2B52f5f3A88D57a3B64F23757e.

في ذلك الوقت، لم تثر الموافقة قلقًا عامًا. وظلت الأذونات نشطة ولم تُلغَ.

لقد كلفت موافقة قديمة 13.3 مليون دولار.

تلقى عنوان الضحية 0xba15E9b644685cB845aF18a738Abd40C6Bcd78eD حوالي 13.3 مليون دولار عبر معاملة تجريد حساب وتم تفريغها خلال ثوانٍ.

يعود السبب الجذري إلى استدعاء approve() تم في 1 يناير 2026، يمنح حقوق الإنفاق… pic.twitter.com/vDVhX8emXD

— QuillAudits 🥷 (@QuillAudits_AI) 26 يناير 2026

استخدم العنوان المهاجم، 0x6cAad74121bF602e71386505A4687f310e0D833e، هذه الموافقة لاحقًا.

سمحت له بالوصول الكامل للأموال الواردة. بمجرد وصول الأموال، نفذ المهاجم عمليات نقل دون تأخير. وأزال الرصيد بالكامل في إجراء منسق واحد.

حركات الأموال بعد السحب

بعد السحب، قام المهاجم بتحويل الأصول المسروقة من الرموز إلى WETH ثم إلى ETH. قللت هذه الخطوات من التعرض لتتبع مستوى الرموز.

ثم نقل المهاجم الأموال عبر محافظ متعددة. كانت التحويلات سريعة ومنتشرة عبر عدة عناوين.

أنشأ هذا الأسلوب نمط معاملة معقد. غالبًا ما يستخدم المهاجمون أنماطًا كهذه لإبطاء جهود التتبع.

تُظهر تحليلات البلوكتشين أن جزءًا من ETH لا يزال على السلسلة. وتقف هذه الأموال في عناوين لا تزال مرتبطة بالمهاجم.

قراءة ذات صلة: خسائر بقيمة 25 مليون دولار: ماشّي liquidation مقابل 1,000 ETH بعد هبوط السوق

ملاحظات مستمرة على السلسلة

يواصل مراقبو الأمان مراقبة المحافظ المرتبطة بالمهاجم. ومع ذلك، لم يجد المحققون أي خدمات خلط خلال التحركات الأولية.

وجود الأموال على السلسلة يترك مجالًا للتتبع. يعتمد المحللون على توقيت المعاملات وروابط العناوين.

تُظهر الحادثة كيف يمكن أن تظل الموافقات القديمة نشطة. غالبًا ما ينسى مالكو المحافظ هذه الأذونات مع مرور الوقت. تضيف الحادثة إلى حالات حديثة تتعلق بالموافقات القديمة. وتؤكد على ضرورة مراجعة الأذونات بانتظام.

حتى آخر البيانات، لم تتم أي معاملات استرداد. لا تزال الأموال المسروقة تحت سيطرة المهاجم.