#KelpDAOBridgeHacked

تعرض نظام التمويل اللامركزي لأحد أخطر الاختراقات الأمنية حتى الآن، حيث تعرضت Kelp DAO لعملية استغلال ضخمة أدت إلى خسائر تقدر بحوالي $292 مليون. الهجوم، الذي وقع في 18 أبريل، استهدف جسر Kelp DAO العابر للسلاسل المدعوم من LayerZero وأدى إلى سرقة 116,500 رمز rsETH، مما أحدث صدمة عبر العديد من بروتوكولات التمويل اللامركزي.

ما يجعل هذا الحادث مقلقًا بشكل خاص ليس فقط حجم الخسارة، ولكن التأثير المتسلسل الذي أحدثه عبر النظام البيئي الأوسع، بما في ذلك عملاق الإقراض Aave، والنزاع المتزايد بين مزودي البنية التحتية حول من هو المسؤول.

كيف حدث الهجوم
يذكر المحققون أن المهاجم قام بتمويل محفظته باستخدام Tornado Cash قبل حوالي 10 ساعات من تنفيذ الاستغلال، وهي طريقة شائعة لإخفاء أصول المعاملات. تشير التحليلات المبكرة، بما في ذلك الرؤى التي شاركها محقق البلوكتشين ZachXBT، إلى احتمال تورط مجموعة Lazarus، وهي جماعة قرصنة مرتبطة بكوريا الشمالية ومعروفة بعمليات استغلال متطورة في التمويل اللامركزي.

يبدو أن الجذر الفني للهجوم هو اختراق لعقد RPC المستخدم ضمن شبكة LayerZero اللامركزية للتحقق (DVN). يُزعم أن المهاجم سمم عقدي مدققين أثناء شن هجوم DDoS على باقي العقد. سمح هذا الاضطراب بالتحقق من رسالة عابرة للسلاسل مزورة.

نتيجة لذلك، تم خداع عقدة الجسر في Kelp DAO لإصدار 116,500 rsETH على شبكة إيثريوم الرئيسية، على الرغم من أن الأصول لم تُفتح بشكل شرعي أبدًا.
تصاعد النزاع: من المسؤول؟
بعد الاستغلال، اندلع جدال حاد بين Kelp DAO و LayerZero.

تدعي LayerZero أن Kelp DAO استخدمت "تكوين DVN واحد-من-واحد"، مما أنشأ نقطة فشل واحدة. وفقًا لـ LayerZero، توصي أفضل الممارسات الصناعية باستخدام عدة مدققين مستقلين لمنع نوع الهجوم هذا بالذات. وتزعم أن Kelp DAO تجاهلت إرشادات التنويع.

ومع ذلك، ترفض Kelp DAO بشدة هذا الادعاء. تؤكد الفريق أن إعداد واحد-من-واحد كان التكوين الافتراضي المقدم في وثائق LayerZero لنشر OFT المبكر. كما يجادلون بأن ممثلي LayerZero كانوا قد وافقوا سابقًا على الهندسة المعمارية، مما يعني أنه لا يمكن تحميل المسؤولية بعد فوات الأوان.

انتشار العدوى إلى Aave
انتشرت العواقب بسرعة خارج Kelp DAO. قام المهاجم بإيداع 89,567 rsETH كضمان واقترض حوالي $190 مليون من WETH و wstETH، مما يعرض Aave لمخاطر ديون سيئة كبيرة.

تقدر مختبرات Aave الخسائر المحتملة بين $124 مليون و $230 مليون، اعتمادًا على ما إذا كانت الخسائر ستتم مشاركتها بين المساهمين أو ستظل محصورة في شبكات معينة.

ردًا على ذلك، أوقف Aave فورًا أسواق rsETH عبر عدة إصدارات، وخفض معلمات الضمان إلى الصفر، وفعّل ضوابط الطوارئ للمخاطر. انخفض رمز الحوكمة الخاص بالبروتوكول AAVE بنسبة 10%، ووفقًا للتقارير، خرج أكثر من $10 مليار من إجمالي القيمة المقفلة من المنصة وسط عمليات سحب ذعر.

إجراءات الحوكمة الطارئة
في Arbitrum، اتخذ المدققون إجراءات سريعة من خلال تجميد حوالي 71.1 مليون دولار من ETH المرتبط بالاستغلال. تم نقل الأموال إلى محفظة آمنة بانتظار قرارات الحوكمة، مع احتمال تعويض المستخدمين.

كما يُذكر أن السلطات والباحثين الأمنيين يشاركون أيضًا في تتبع هوية المهاجم وتحركات الأموال.

ماذا يحدث بعد ذلك؟
أوقفت Kelp DAO جميع عقود rsETH عبر عدة سلاسل، لكن المشكلة الأساسية لا تزال غير محلولة: من المحتمل أن البروتوكول يفتقر إلى احتياطيات خزانة كافية لتغطية خسارة $292 مليون.
تشمل السيناريوهات المحتملة للإنقاذ تدخل LayerZero لحماية سمعة نظامها البيئي، أو استخدام DAO الخاص بـ Aave أموال الخزانة لتغطية الديون السيئة، أو خسارة اجتماعية أوسع عبر حاملي rsETH. ومع ذلك، لم يتم تأكيد أي من هذه الحلول بعد.

حتى الآن، يُعد الحادث واحدًا من أكثر عمليات الاستغلال ضررًا في التمويل اللامركزي لعام 2026، كاشفًا عن نقاط ضعف حاسمة في البنية التحتية العابرة للسلاسل وإعادة إشعال النقاشات حول اللامركزية مقابل الأمان في أنظمة التشفير الحديثة.
📌 تفصيل:
https://www.gate.com/announcements/article/50593
‍#GateSquare #CreatorCarnival #ContentMining #Gate13周年