تعرض أحد كبار المستثمرين في عملة إيثيريوم لخسارة كارثية بعد أن أدى اختراق المفتاح الخاص إلى جعل محفظة متعددة التوقيعات عديمة الفائدة فعلياً، مما سمح للمهاجم بسحب ما يقرب من 27.3 مليون دولار من الأصول المشفرة والبدء في غسل العائدات من خلال برنامج تورنادو كاش.
وقد أثار الحادث، الذي تم التنبيه إليه لأول مرة من قبل شركة أمن البلوك تشين PeckShield، موجات صدمة جديدة في مجتمع التمويل اللامركزي وأعاد المخاوف بشأن ممارسات إعداد المحافظ وإدارة المفاتيح والمخاطر الخفية المرتبطة بالمراكز النشطة على السلسلة.
"تم سحب ما يقارب 27.3 مليون دولار من حساب Multisig الخاص بأحد الحيتان بسبب اختراق المفتاح الخاص"، هذا ما كتبه PeckShield في تنبيه على X.
"قام الشخص الذي قام بغسل الأموال بتبييض 12.6 مليون دولار (4,100 إيثيريوم) عبر برنامج تورنادو كاش، ويحتفظ بحوالي 2 مليون دولار من الأصول السائلة."
الوجبات السريعة الرئيسية
- أدى خطأ في تكوين التوقيع المتعدد من نوع 1 من 1 إلى تحويل أداة الأمان إلى نقطة فشل واحدة بمجرد اختراق المفتاح الخاص.
- إن التحكم في محفظة مرتبطة بمراكز التمويل اللامركزي النشطة يمكن أن يضاعف الخسائر إلى ما هو أبعد بكثير من استنزاف الأموال الأولي.
- يُظهر الاستخدام المنظم لعملة تورنادو كاش أن العديد من عمليات سرقة العملات المشفرة ذات القيمة العالية هي عمليات مخططة وليست هجمات اندفاعية.
- معظم الخسائر الكبيرة في العملات المشفرة تنجم عن أخطاء في إدارة المفاتيح والموافقة بدلاً من عيوب في بروتوكولات البلوك تشين.
كيف أصبحت التوقيعات المتعددة نقطة فشل واحدة
كشف محققو سلسلة الكتل لاحقًا أن المحفظة كانت مُهيأة بنظام توقيع متعدد من نوع 1-of-1. هذا الإعداد يعني أن توقيعًا واحدًا فقط يكفي لتأكيد المعاملات، مما يُلغي التكرار الذي يُعطي التوقيعات المتعددة ميزتها الأمنية. بمجرد اختراق المفتاح الخاص، سيطر المهاجم سيطرة كاملة على المحفظة.
بحسب المحقق سبيكتر، تم إنشاء محفظة التوقيعات المتعددة في 11 أبريل 2025، الساعة 07:48:11 بالتوقيت العالمي المنسق. وبعد 35 دقيقة فقط، في الساعة 08:23:23، حدث تدفق هائل للأموال من عنوان التوقيع الرئيسي.
تشير سرعة استنزاف الأموال إلى احتمال تعرض المفتاح للاختراق أثناء إعداد المحفظة، ربما من خلال أداة غير آمنة، أو تنزيل خبيث، أو مساعدة من طرف ثالث تبين أنها ضارة.
الاستنزاف المنهجي والغسيل على سلسلة التوريد
تُظهر بيانات البلوك تشين أن المهاجم لم يتسرع في الخروج بمعاملة واحدة. بل تم تحويل الأموال وفق نمط منظم يشير إلى غسيل أموال متعمد وليس بيعاً بدافع الذعر.
تم إرسال ما يقارب 4,100 إيثيريوم، بقيمة تقارب 12.6 مليون دولار أمريكي آنذاك، عبر منصة تورنادو كاش على دفعات من 100 إيثيريوم. ونفذ المهاجم 41 عملية تحويل منفصلة، وهي طريقة شائعة الاستخدام لتقليل إمكانية التتبع وتجنب لفت الانتباه الفوري لأنظمة المراقبة الآلية.
تُظهر آثار Etherscan المرتبطة بالعنوان، الذي تم تحديده جزئيًا على أنه 0x1fCf…367d23Ac، تفاعله المتكرر مع Tornado Cash مع الاحتفاظ بالسيطرة على أصول إضافية.
إلى جانب الإيثيريوم، لا تزال المحفظة تحتوي على رموز أخرى تشمل Wrapped Ether وOKB وTrust Wallet Token وBitfinex LEO وFetch وNexo. وتشير تقديرات PeckShield إلى أن حوالي مليوني دولار من الأصول السائلة لا تزال تحت سيطرة المهاجم.
الموقف الذي رفع مستوى المخاطرة
ما يجعل هذا الاختراق أكثر خطورة من مجرد استنزاف محفظة عادية هو ما تمكن المهاجم من الوصول إليه بعد السرقة الأولية. وقد أكدت شركة PeckShield أن التوقيع المتعدد المخترق لا يزال يتحكم في مركز كبير نشط على منصة Aave.
وأشار بيكشيلد إلى أن "المصرف يتحكم أيضًا في التوقيع المتعدد للضحية، والذي يحافظ على طول الرافعة المالية".
تشير التقارير إلى أن المحفظة تحتوي على ما قيمته حوالي 25 مليون دولار من عملة الإيثيريوم (ETH) كضمان، مقابل حوالي 12.3 مليون دولار من عملة داي (DAI) المقترضة. إن السيطرة على هذا الرصيد تحوّل الحادثة من مجرد سرقة إلى حدث خطر مستمر.
بفضل صلاحية التوقيع على نظام التوقيع المتعدد، يستطيع المهاجم سحب الضمانات، أو تعديل معايير الاقتراض، أو دفع المركز عمداً نحو التصفية. أي تحرك مفاجئ قد يكون له آثار متتالية، ليس فقط على الضحية، بل أيضاً على بروتوكولات التمويل اللامركزي المعنية إذا حدثت عمليات تصفية في ظل ظروف سوق مضطربة.
يُسلّط هذا الضوء على مشكلة رئيسية لمستخدمي التمويل اللامركزي المتقدمين: لم تعد المحافظ مجرد أدوات تخزين، بل أصبحت مراكز تحكم لمراكز مالية معقدة. وعند فقدان الوصول إليها، قد يتجاوز الضرر بكثير الأصول المسروقة.
مؤشرات على حل وسط أوسع
لاحظ محللو البيانات على سلسلة الكتل أيضًا تفاعل المهاجم مع العقود المتعلقة بالملكية والتحكم، مما يشير إلى أن الاختراق كان أعمق من مجرد عملية نقل غير مصرح بها. وهذا يعزز المخاوف من أن المفتاح الخاص قد تم كشفه بالكامل بدلاً من إساءة استخدامه مؤقتًا.
تشير شركات الأمن إلى أنه حتى عندما يوزع المستخدمون مفاتيح التوقيع عبر الأجهزة أو المواقع، فإنهم يظلون عرضة لهجمات التصيد الاحتيالي، والبرامج الضارة، واستبدال شرائح SIM، واختراق النسخ الاحتياطية، والموافقات الخبيثة على المعاملات. في بيئات التوقيع المتعدد، يمكن لنقطة ضعف واحدة أن تقوض النظام بأكمله.
حوت تحت الضغط بالفعل
تشير معلومات إضافية من Onchainlens إلى أن الحوت كان يعاني بالفعل قبل الهجوم. ففي مايو، أفادت التقارير أن المحفظة نفسها تكبدت خسائر بعد سحب أكثر من 2,500 إيثيريوم من OKX وتحويل الأموال إلى Kiln Finance.
بحلول شهر يوليو، كان الحوت قد راهن بما مجموعه 9,918 إيثيريوم، بقيمة تقارب 22.5 مليون دولار آنذاك، ولم يحصل إلا على 105.5 إيثيريوم كمكافآت رهن. حتى قبل الاختراق، قُدّر إجمالي خسائر العنوان بحوالي 4.26 مليون دولار.
أدى هذا الاختراق فعلياً إلى القضاء على أي فرصة للتعافي، مما حوّل الوضع الصعب أصلاً إلى واحدة من أكبر الخسائر الفردية لهذا العام.
ليست حالة معزولة
تندرج هذه الحادثة ضمن نمط أوسع لسرقات العملات الرقمية ذات القيمة العالية، والتي تعتمد بشكل أقل على ثغرات البروتوكول وأكثر على أخطاء المستخدمين. في حالة منفصلة وقعت في وقت سابق من هذا العام، خسر مستثمر مجهول أكثر من 3 ملايين دولار بعد موافقته دون علمه على عقد خبيث. وقد تم تحويل هذه الأموال أيضاً إلى إيثيريوم (ETH) وتمريرها عبر منصة تورنادو كاش.
تؤكد هذه الهجمات حقيقة قاسية في أمن العملات المشفرة: معظم الخسائر لا تأتي من سلاسل الكتل المعطلة، ولكن من المفاتيح المخترقة، وتكوينات المحفظة السيئة، والموافقات الخادعة.
دروس مستفادة من خطأ بقيمة 27 مليون دولار
لا يكمن العبرة من هذا الاختراق في أن محافظ التوقيعات المتعددة غير آمنة، بل في أن قوتها تعتمد كلياً على إعداداتها وسلامة مفاتيحها. فالتوقيع المتعدد من نوع 2 من 3 أو 3 من 5 يقلل بشكل كبير من خطر الخسارة الكاملة نتيجة اختراق مفتاح واحد، بينما لا يفعل ذلك التوقيع المتعدد من نوع 1 من 1.
بالنسبة لكبار حاملي العملات الرقمية ومستخدمي التمويل اللامركزي المتقدمين، يُعد هذا الحادث بمثابة تذكير بضرورة التعامل مع إعداد المحافظ الرقمية بنفس العناية التي تُولى لحفظ الأصول المؤسسية. ويشمل ذلك استخدام أدوات موثوقة، والتحقق من مصادر البرامج، وعزل أجهزة التوقيع، وفهم ما تسمح به كل موافقة بدقة.
كما توضح نتائج شركة بيكشيلد، بمجرد أن يتمكن المهاجم من توقيع المعاملات، تصبح السرعة عائقاً أمام التعافي. وعندما يشمل هذا الوصول مراكز التمويل اللامركزي النشطة، قد تتفاقم التداعيات إلى ما هو أبعد من السرقة الأولية.
أصبحت الخسارة البالغة 27.3 مليون دولار محصورة فعلياً خلف برنامج تورنادو كاش، مع فرص ضئيلة للاسترداد. وما تبقى هو دراسة حالة مكلفة تُظهر كيف يمكن لمفتاح واحد مخترق أن يُقوّض حتى مظهر الحماية القوية.
