Bitget App
تداول بذكاء
شراء العملات المشفرةنظرة عامة على السوقالتداولالعقود الآجلةEarnالويب 3مربعالمزيد
التداول
التداول الفوري
شراء العملات المشفرة وبيعها بسهولة
الهامش
قم بزيادة رأس مالك وكفاءة التمويل
Onchain
استخدم Onchain لتجربة بلا سلسلة
التحويل وتداول الكتلة
حوّل العملات المشفرة بنقرة واحدة وبدون رسوم
استكشاف
Launchhub
احصل على الأفضلية مبكرًا وابدأ بالفوز
نسخ
انسخ تداول المتداول المميز بنقرة واحدة
Bots
برنامج تداول آلي مدعوم بالذكاء الاصطناعي ذكي بسيط وسريع وموثوق
التداول
العقود الآجلة لعملة USDT-M
تمت تسوية العقود الآجلة بعملة USDT
العقود الآجلة لعملة USDC-M
تمت تسوية العقود الآجلة بعملة USDC
العقود الآجلة لعملة Coin-M
تمت تسوية العقود الآجلة بالعملات المشفرة
استكشاف
دليل العقود الآجلة
رحلة من المبتدئين إلى المتقدمين في تداول العقود الآجلة
العروض الترويجية للعقود الآجلة
مكافآت سخية بانتظارك
نظرة عامة
مجموعة من المنتجات لتنمية أصولك
Simple Earn
يُمكنك الإيداع والسحب في أي وقتٍ لتحقيق عوائد مرنة بدون مخاطر.
On-chain Earn
اربح أرباحًا يوميًا دون المخاطرة برأس المال
منتج Earn المنظم
ابتكار مالي قوي للتعامل مع تقلبات السوق
المستوى المميز (VIP) وإدارة الثروات
خدمات متميزة لإدارة الثروات الذكية
القروض
اقتراض مرن مع أمان عالي للأموال
خلال 5 سنوات، تعرض بروتوكول DeFi القديم Balancer لـ 6 حوادث خسائرها تجاوزت 100 مليون، تاريخ زيارات القراصنة

خلال 5 سنوات، تعرض بروتوكول DeFi القديم Balancer لـ 6 حوادث خسائرها تجاوزت 100 مليون، تاريخ زيارات القراصنة

深潮深潮2025/11/03 15:01
عرض النسخة الأصلية
By:深潮TechFlow

بالنسبة للمراقبين، يُعد DeFi تجربة اجتماعية جديدة؛ أما بالنسبة للمشاركين، فإن التعرض للسرقة في DeFi يُعتبر درسًا مكلفًا.

بالنسبة للمراقبين، DeFi هو تجربة اجتماعية جديدة؛ أما للمشاركين، فإن التعرض للسرقة في DeFi هو درس مكلف.

الكاتب: David، TechFlow

المصائب لا تأتي فرادى، والقراصنة يختارون الهجوم في أوقات الهبوط.

في ظل الركود الأخير الذي يشهده سوق العملات المشفرة، تعرض بروتوكول DeFi العريق لضربة جديدة.

في 3 نوفمبر، أظهرت بيانات السلسلة أن بروتوكول Balancer تعرض لهجوم من قبل قراصنة. تم نقل أصول بقيمة تقارب 70.9 مليون دولار إلى محفظة جديدة، بما في ذلك 6,850 من osETH، و6,590 من WETH، و4,260 من wstETH.

لاحقًا، ووفقًا لمراقبة Lookonchain لعناوين المحافظ ذات الصلة، ارتفع إجمالي الخسائر الناتجة عن الهجوم إلى 116.6 مليون دولار.

خلال 5 سنوات، تعرض بروتوكول DeFi القديم Balancer لـ 6 حوادث خسائرها تجاوزت 100 مليون، تاريخ زيارات القراصنة image 0

وقد صرح فريق Balancer بعد الحادث:

“تم اكتشاف هجوم استغلال ثغرة قد تؤثر على مجمعات Balancer v2، ويقوم فريق الهندسة والأمن بالتحقيق في هذا الحادث بأولوية عالية، وسيتم مشاركة التحديثات المؤكدة والإجراءات التالية عند توفر المزيد من المعلومات.”

بالإضافة إلى ذلك، أعلنت الجهة الرسمية استعدادها لدفع 20% من الأصول المسروقة كمكافأة للقبعات البيضاء لاستعادة الأصول، وذلك خلال 48 ساعة فقط.

كان الرد سريعًا، لكنه أيضًا رسمي جدًا.

مع ذلك، إذا كنت من اللاعبين القدامى في DeFi، فلن تتفاجأ بعنوان "اختراق Balancer"، بل ستشعر بنوع من الديجافو الغريب.

باعتباره بروتوكول DeFi عريق تأسس في 2020، تعرض Balancer خلال خمس سنوات إلى ست حوادث أمنية، بمعدل حادثة واحدة تقريبًا كل عام، وهذه المرة كانت الأكبر من حيث قيمة الأصول المسروقة.

عند النظر إلى الوراء، عندما يصبح التداول في السوق صعبًا للغاية، قد لا يكون حتى تحقيق الأرباح من خلال DeFi أمرًا آمنًا.

خلال 5 سنوات، تعرض بروتوكول DeFi القديم Balancer لـ 6 حوادث خسائرها تجاوزت 100 مليون، تاريخ زيارات القراصنة image 1

يونيو 2020: ثغرة في الرموز الانكماشية، خسارة تقارب 520 ألف دولار

في مارس 2020، دخل Balancer عالم DeFi بفكرة "صانع السوق الآلي المرن". ومع ذلك، وبعد ثلاثة أشهر فقط، واجه هذا البروتوكول الطموح أول كابوس له.

استغل المهاجمون ثغرة في تعامل البروتوكول مع الرموز الانكماشية (Deflationary Token)، مما أدى إلى خسارة حوالي 520 ألف دولار.

بشكل عام، كان المبدأ أن رمزًا يُدعى STA كان يحرق تلقائيًا 1% من كل معاملة كرسوم.

استعار المهاجم 104,000 ETH من dYdX عبر قرض سريع، ثم تداول بين STA وETH 24 مرة. وبسبب عدم احتساب Balancer للرصيد الفعلي بعد كل معاملة بشكل صحيح، تم استنزاف STA في المجمع حتى بقي 1 wei فقط. بعد ذلك، استغل المهاجم الخلل الكبير في الأسعار وقام باستبدال كمية صغيرة من STA مقابل كميات كبيرة من ETH وWBTC وLINK وSNX.

مارس 2023: حادثة Euler، خسارة تقارب 11.9 مليون دولار

في هذه المرة، كان Balancer ضحية غير مباشرة.

تعرضت Euler Finance لهجوم قرض سريع بقيمة 197 مليون دولار، وتضرر مجمع bb-e-USD الخاص بـBalancer بسبب امتلاكه رموز eToken من Euler.

عندما تم اختراق Euler، تم نقل حوالي 11.9 مليون دولار من مجمع bb-e-USD الخاص بـBalancer إلى Euler، وهو ما يمثل 65% من TVL الخاص بالمجمع. وعلى الرغم من أن Balancer أوقف المجمعات المتأثرة بشكل عاجل، إلا أن الخسائر كانت قد حدثت ولا يمكن تعويضها.

أغسطس 2023: ثغرة الدقة في مجمعات Balancer V2، خسارة تقارب 2.1 مليون دولار

كان هناك تحذير مسبق لهذا الهجوم. ففي 22 أغسطس من ذلك العام، كشف Balancer عن الثغرة وحذر المستخدمين من سحب أموالهم، لكن الهجوم وقع بعد خمسة أيام.

تتعلق الثغرة بخطأ في التقريب (rounding error) في مجمعات V2 Boosted Pool. استغل المهاجمون التلاعب الدقيق لجعل حساب عرض BPT (Balancer Pool Token) ينحرف، مما سمح لهم بسحب أصول من المجمع بسعر صرف غير عادل. تم تنفيذ الهجوم عبر عدة معاملات قرض سريع، وقدرت شركات الأمن الخسائر بين 979 ألف دولار و2.1 مليون دولار.

سبتمبر 2023: هجوم اختطاف DNS، خسارة تقارب 240 ألف دولار

كان هذا هجومًا هندسيًا اجتماعيًا استهدف البنية التحتية التقليدية للإنترنت وليس العقود الذكية.

اخترق القراصنة مسجل النطاق EuroDNS عبر وسائل الهندسة الاجتماعية، واستولوا على نطاق balancer.fi. تم إعادة توجيه المستخدمين إلى موقع تصيد يستخدم عقدًا خبيثًا باسم Angel Drainer لخداع المستخدمين لمنح الإذن بالتحويل.

ثم قام المهاجمون بغسل الأموال المسروقة عبر Tornado Cash.

على الرغم من أن Balancer لم يكن مسؤولًا مباشرة عن هذا الحادث، إلا أن استغلال العلامة التجارية للبروتوكول في عمليات التصيد يجعل من الصعب الحماية منه.

يونيو 2024: اختراق Velocore، خسارة تقارب 6.8 مليون دولار

على الرغم من أن Velocore مشروع مستقل، إلا أن اختراقه لم يكن مرتبطًا مباشرة بـBalancer. لكن باعتباره تفرعًا من Balancer، استخدم Velocore نفس تصميم مجمع CPMM (صانع السوق ذو الناتج الثابت)، مما يجعله امتدادًا للبروتوكول، وكأن الاختراق وقع في مكان آخر لكن الآلية من Balancer.

بشكل عام، استغل المهاجمون ثغرة تجاوز السعة في عقد مجمع CPMM على طراز Balancer في Velocore، من خلال التلاعب بمعامل الرسوم (feeMultiplier) ليزيد عن 100%، مما أدى إلى خطأ في الحساب.

وفي النهاية، استخدم المهاجمون قرضًا سريعًا مع عملية سحب مصممة بعناية لسرقة حوالي 6.8 مليون دولار.

نوفمبر 2025: الهجوم الأحدث، خسارة تتجاوز 100 مليون دولار

تم توضيح المبدأ التقني لهذا الهجوم بشكل مبدئي. ووفقًا لتحليل الباحثين الأمنيين، تكمن الثغرة في فحص التحكم في الوصول لدالة manageUserBalance في بروتوكول Balancer V2، والتي تتعلق بفحص صلاحيات المستخدم.

وبحسب تحليلات Defimon Alerts وDecurity، كان من المفترض أن يتحقق النظام عند التحقق من صلاحية السحب في Balancer V2 من أن المتصل هو المالك الحقيقي للحساب، لكن الكود كان يتحقق بشكل خاطئ من أن msg.sender (المنفذ الفعلي) يساوي op.sender الذي يوفره المستخدم.

وبما أن op.sender هو معلمة يمكن للمستخدم التحكم بها، تمكن المهاجمون من تزوير الهوية وتجاوز التحقق من الصلاحيات وتنفيذ عملية WITHDRAW_INTERNAL (السحب الداخلي).

بعبارة أبسط، هذه الثغرة سمحت لأي شخص بانتحال شخصية مالك أي حساب وسحب الرصيد الداخلي مباشرة. مثل هذا الخطأ الأساسي في التحكم بالوصول يعد خطأ مبتدئًا، وظهوره في بروتوكول ناضج يعمل منذ 5 سنوات أمر يثير الدهشة.

قراءة في تاريخ اختراقات Balancer

ماذا يمكن أن نتعلم من هذا "تاريخ الاختراقات"؟

شعوري هو أن بروتوكولات DeFi في عالم العملات المشفرة تبدو "جميلة من بعيد وخطرة عن قرب"، فبينما تبدو هادئة من الخارج، إلا أن هناك الكثير من الديون التقنية التي يجب سدادها عند التعمق فيها.

على سبيل المثال، أحد ابتكارات Balancer هو السماح بتخصيص أوزان حتى 8 رموز مختلفة في مجمع واحد.

مقارنة بتصميم Uniswap البسيط، فإن تعقيد Balancer يزداد بشكل أسي.

مع كل رمز جديد يضاف، تتضخم مساحة الحالة للمجمع بشكل كبير. وعندما تحاول موازنة أسعار وأوزان وسيولة 8 رموز مختلفة في مجمع واحد، يزداد سطح الهجوم. هجوم الرموز الانكماشية في 2020 وثغرة التقريب في 2023 كلاهما ناتج عن سوء التعامل مع شروط الحدود الناتجة عن التعقيد.

والأسوأ من ذلك، أن Balancer اختار مسار التطوير السريع. من V1 إلى V2، ثم إلى مجمعات Boosted Pool، مع كل ترقية يتم إضافة ميزات جديدة فوق الكود القديم. هذا التراكم من "الديون التقنية" جعل قاعدة الشيفرة هشة كبرج من المكعبات؛

مثل الهجوم الأخير الناتج عن مشكلة في الصلاحيات، فهذا الخطأ الأساسي في التصميم لا ينبغي أن يظهر في بروتوكول يعمل منذ 5 سنوات، وربما يدل ذلك على أن صيانة الكود قد خرجت عن السيطرة.

وربما، في عصر تهيمن فيه السردية والأرباح والمشاعر على التقنية، لم يعد من المهم ما إذا كان هناك ثغرات في الكود الأساسي أم لا.

وبالطبع، لن يكون Balancer الأخير، فأنت لا تعرف أبدًا متى سيظهر "البجعة السوداء" الناتجة عن قابلية التركيب في DeFi. إن شبكة الاعتماد المعقدة في عالم DeFi تجعل تقييم المخاطر شبه مستحيل.

حتى لو كنت تثق في كود Balancer، هل يمكنك الوثوق بجميع عمليات الدمج والشركاء؟

بالنسبة للمراقبين، DeFi هو تجربة اجتماعية جديدة؛ أما للمشاركين، فإن التعرض للسرقة في DeFi هو درس مكلف؛ أما بالنسبة للصناعة ككل، فإن نضج DeFi هو ثمن لا بد من دفعه للوصول إلى النضج.

لكن نأمل ألا يكون هذا الثمن باهظًا جدًا.

خلال 5 سنوات، تعرض بروتوكول DeFi القديم Balancer لـ 6 حوادث خسائرها تجاوزت 100 مليون، تاريخ زيارات القراصنة image 2

0

إخلاء المسؤولية: يعكس محتوى هذه المقالة رأي المؤلف فقط ولا يمثل المنصة بأي صفة. لا يُقصد من هذه المقالة أن تكون بمثابة مرجع لاتخاذ قرارات الاستثمار.

منصة PoolX: احتفظ بالعملات لتربح
ما يصل إلى 10% + معدل الفائدة السنوي. عزز أرباحك بزيادة رصيدك من العملات
احتفظ بالعملة الآن!

You may also like

حكم Custodia هو "مطب سرعة" وليس عقبة أمام البنوك المشفرة، بحسب TD Cowen

أقرت محكمة الاستئناف الأمريكية للدائرة العاشرة الأسبوع الماضي قرارًا سابقًا صادرًا عن محكمة مقاطعة في وايومنغ، مفاده أن الاحتياطي الفيدرالي ليس ملزمًا بمنح Custodia حق الوصول إلى الحساب الرئيسي. وقالت مجموعة الأبحاث في واشنطن التابعة لـ TD Cowen بقيادة جاريت سيبيرغ في مذكرة: "نرى أن هذا بمثابة مطب سرعة وليس حاجزًا أمام حسابات العملات الرقمية الرئيسية".

The Block2025/11/04 02:52
حكم Custodia هو "مطب سرعة" وليس عقبة أمام البنوك المشفرة، بحسب TD Cowen

استثمارات Ripple في العملات الرقمية تصل إلى 4 مليارات دولار مع استحواذها على شركة التكنولوجيا Palisade المتخصصة في المحافظ

قالت Ripple إن استحواذها على Palisade سيساعدها على توسيع “قدرات الحفظ” لديها لخدمة “شركات التكنولوجيا المالية، الشركات الأصلية في مجال الكريبتو، والشركات الكبرى.” وأضافت الشركة أنها استثمرت هذا العام حوالي 4 مليارات دولار بعد قيامها بعدة عمليات استحواذ، بما في ذلك Hidden Road مقابل 1.25 مليار دولار ومنصة العملات المستقرة Rail مقابل 200 مليون دولار.

The Block2025/11/04 02:52
استثمارات Ripple في العملات الرقمية تصل إلى 4 مليارات دولار مع استحواذها على شركة التكنولوجيا Palisade المتخصصة في المحافظ