ثلاثة استغلالات لجسور مشفرة من نوع "الطبع اللانهائي" خلال عشرة أيام تُظهر أن الجسور عبر السلاسل تمثل ثغرة أمنية غير قابلة للحل في عالم العملات المشفرة — ولا يمكن للمراجعات الأمنية إنقاذها.
استغلالات الجسور المشفرة هي عيب في التصميم، وليست حظاً سيئاً
الخلاصات الرئيسية
- ثلاث هجمات على جسور "إينفينيمينت" خلال عشرة أيام في أكتوبر: Initia (2.7 مليون دولار)، Cysic (727 ألف دولار)، وTHEO الخاص بـ Autheo (حوالي 1.76 مليون دولار).
- اتبع كل منها نفس الوصفة — صك رموز غير مدعومة على سلسلة واحدة، وجسّر الأصول الحقيقية قبل أن يتفاعل أحد.
- المراجعات لم تساعد. تم مراجعة Autheo بواسطة Halborn و CertiK و Avelar Labs ومع ذلك تم تفريغها.
- الجسر هو آلة سك مغلّفة بالكود. الكود يحتوي على أخطاء. هذه مشكلة تصميمية، وليست سلسلة من الحظ السيئ.
- حتى يتم تأمين الجسور أو تأمينها أو استبدالها، فإن كل رمز معبر عنه هو وعد غير مدعوم.
خلال فترة عشرة أيام في أكتوبر، تم سرقة ثلاث سلاسل كتلية بنفس الحيلة: صك رموز من العدم، ثم الانسحاب بالمال الحقيقي. فقدت Initia (https://initia.xyz) حوالي 2.7 مليون دولار في 23 أكتوبر. فقدت Cysic حوالي 727,000 دولار في 17 أكتوبر. تم تصريف رمز THEO الخاص بـ Autheo (https://autheo.com) بمقدار 1.76 مليون دولار في 13 أكتوبر. ثلاث فرق مختلفة، وثلاث قواعد برمجية مختلفة، وفشل واحد متطابق. هذه الاستغلالات في جسور العملات المشفرة ليست سلسلة من الحظ السيئ. إنها عيب في التصميم استغرق من الصناعة خمس سنوات لتصر على أنها يمكن أن تتجاوزها من خلال الهندسة.
ما الذي حدث بالفعل
كانت Initia، وهي شبكة Layer 1 مبنية على MoveVM وتشغل شبكة من الـ rollups المتشابكة، أكبر ضحية. استغل مهاجم ثغرة في تخزين النصوص المؤقتة (script-caching) في MoveVM الخاص بها — أي الآلة الافتراضية نفسها، وليس تطبيقاً مكتوباً بعجلة — لتزوير حالة السلسلة ومنح نفسه عملات WETH وiUSD وUSDC لم تكن مدعومة بأي إيداع فعلي. ثم قام بسحب ما يقارب 2.7 مليون دولار عبر LayerZero وNoble/CCTP قبل إيقاف السلسلة في الساعة 15:41:30 بالتوقيت العالمي المنسق.
التفاصيل التي يجب أن تُرعبك: وجدت شركة تحليلات السلسلة على الشبكة Bitquery أن احتياطي USDC للجسر انخفض من حوالي 1.09 مليون دولار إلى 63 دولارًا في فترة بعد الظهر الواحدة. بلغ إجمالي الأرصدة المزيفة للمهاجم حوالي 7.48 مليون دولار، لكنه تمكن من استخراج حوالي 3 ملايين دولار فقط — لأن الاحتيافي جف حرفيًا. سقطت الخسائر المتبقية على المستخدمين الصادقين الذين توقفت عمليات سحبهم عن المعالجة. كانوا يحملون سندات دين (IOUs)، والخزانة خلف تلك السندات كانت فارغة.
تعرض مشروع الأجهزة ذات المعرفة الصفرية Cysic للهجوم في 17 أكتوبر عبر باب مختلف — قاعدة بيانات دعم مخترقة مقترنة بعيب في كيفية معالجة الجرس لرسائل "الطرح" (mint). قام المهاجم بإنشاء 10 ملايين رمز CYS على سلسلة BNB وجسرها إلى 306.6 ETH إلى Ethereum. جمّدت المؤسسة 2.8 مليون رمز وعرضت مكافأة بنسبة 10%. رفض المهاجم العرض، ثم دفع 300 ETH و30.4 BNB إلى Tornado Cash.
كان Autheo الأكثر سينمائية. في 13 أكتوبر، قام شخص بصك ملايين من رموز THEO على شبكة Base من خلال استغلال مفترض لجسر Hyperlane — حيث قدر أحد الباحثين الكمية بـ 119 مليون، أي ما يقارب 70% من المعروض — ثم قام بتبديلها مقابل حوالي 700 ETH وبيعها. انهارت قيمة الرمز خلال ساعات. ثم قام المهاجم بشيء غريب: أرسل ما قيمته حوالي 1 مليون دولار من رموز THEO إلى محفظة شخص غريب عشوائي، وهي خطوة تبدو أقل سخاءً وأكثر محاولة متعمدة لتشويه سمعة عنوان بريء وإرباك تتبع المسؤولية.
لماذا لم تكشف عمليات التدقيق عن هذا؟
قضية Autheo هي الضربة القاضية ضد الدفاع المفضل للعملات المشفرة. تم مراجعة هذا المشروع من قبل Halborn و CertiK و Avelar Labs — ثلاث شركات أمنية ذات علامات تجارية معروفة. ومع ذلك، تم تفريغ المشروع بالكامل. هذا هو الجوهر. عمليات التدقيق تكشف عن أنماط أخطاء معروفة في مسارات كود معروفة. لكنها لا تصلح نموذجًا غير سليم هيكليًا. عندما يكمن الثغرة في منطق التخزين المؤقت للآلة الافتراضية (Initia) أو في وسيط معالجة الرسائل للجسر (Cysic، Autheo)، فلن تتمكن أي مراجعة للعقود الذكية من اكتشافها. شارة "لقد تم تدقيقنا" هي أصل تسويقي، وليست ضمانًا للأمان.
الصورة الأكبر: الجسور هي الجدار الحامل
تراجع إلى الخلف، وستجد أن كل هذه الهجمات تشترك في عنصر أساسي واحد: دالة الإصدار (mint). تعمل الجسر عن طريق قفل الأصل الحقيقي (أ) على السلسلة (X) وإصدار إيصال على السلسلة (Y). ذلك الإيصال هو وعد الجسر. إذا كسرت دالة الإصدار — أو المنطق الذي يقرر متى يُسمح بالإصدار — فيمكنك إنشاء الوعد دون إجراء الإيداع مطلقاً. هذه ليست فكرة جديدة. إنها نفس الثابت الاقتصادي الذي تسميه البنوك «مخاطر الملاءة». الفرق هو أن البنك يمتلك رأس مال، وتأمينًا، ومنظمين. أما الجسر فله عقد ذكي وأمل.
هذا مهم لأن تعدد السلاسل هو المستقبل المعلن للعملات المشفرة، والجسور هي جدارها الحامل. تجريد السلاسل، إعادة الرهان، مئات شبكات L2 وL3 الجديدة — كلها تفترض أن الأصول يمكن أن تتحرك بحرية بين السلاسل. هذا التحرك يعتمد على الجسور. والضغط الأمني لا يخف: تقدر شركة تشيناليسيس (https://www.chainalysis.com) أن المجموعات المرتبطة بكوريا الشمالية سرقت أكثر من 1 مليار دولار في عام 2026 وحده، مع إعادة تقييم اختراق بيتجت في سبتمبر إلى 387.5 مليون دولار. المهاجمون المحترفون لا يراهنون. لقد صناعوا عملية البحث عن هذه الثغرات الخاصة بالصبّ والصرف.
من يفوز ومن يخسر؟
من يخسرون سهل تسميتهم. المستخدمون الصادقون الذين يمسكون بأصول الجسر ابتلعوا الفرق بين الأرصدة المزيفة والحقيقية على Initia. وقد حرق المشروع نفسه أشهرًا من المصداقية بين عشية وضحاها. وتلقّت رواية "التدقيق = الأمان" ضربة أخرى قوية.
الفائزون أقل وضوحاً. البنى التي لا تتطلب جسوراً — الإصدار الأصلي، التسوية القائمة على النوايا، رول أبس ذات طبقة تسوية واحدة — حصلت للتو على عرض تسويقي مجاني. شركات الأمن وشركات التأمين حصلت على تفويض أكبر. والمهاجمون أثبتوا، للمرة الثالثة في عشرة أيام، أن هذا هو أغلى استغلال عالي العائد في عالم العملات المشفرة.
النتيجة الثانوية أكثر هدوءاً لكنها أكبر: قصة "التجريد الشبكي" — فكرة أن المستخدمين لا يحتاجون إلى معرفة الشبكة التي يتواجدون عليها — تحمل الآن مسؤولية خفية. كل طبقة تخفي جسراً عن المستخدم تخفي أيضاً مخاطر سيولة الجسر. التجريد هو فوز في تجربة المستخدم وكابوس في إدارة المخاطر.
هل حدث هذا من قبل؟
نعم، وكانت عام 2022 هو العام الذي ذهبت فيه الجسور إلى الذبح: رونين (625 مليون دولار)، وورم هول (325 مليون دولار)، ونوماد (190 مليون دولار). صنفت تشيناليسيس الجسور منذ فترة طويلة كأعلى هدف لهجوم من حيث القيمة، وبلغت إجمالي الخسائر عبر الجسول في الفترة من 2021 إلى 2024 أكثر من 2.5 مليار دولار. ما يختلف الآن هو مكان وقوع الهجمات. كان رونين عملية هندسة اجتماعية ضد المدققين. كانت وورم هول ونوماد أخطاء في منطق العقود الذكية. كانت إنيشيا خطأ في الآلة الافتراضية نفسها، وكانت سيسيك وأوثيو أخطاء في البرمجيات الوسيطة للجسور. قامت الصناعة بترقيع الطبقات العليا من المكدس — لذا انتقل المهاجمون ببساطة إلى الأسفل، حيث يكون الكود أحدث وأكثر تعقيدًا وأقل خضوعًا للمراجعة.
إلى أين يتجه هذا في السنوات الثلاث المقبلة؟
ثلاث توقعات. أولاً، يصبح "الإصدار اللانهائي" — وهو سكّ العملات غير المدعومة واستنزاف الاحتياطي — الهجوم الافتراضي على الجسور، لأنه لا يتطلب اختراق المفاتيح ويتوسع وفقاً لما تمثله الجسور من احتياطي. ثانياً، ستُعامل الجسور كوسطاء ماليين كما هي وظيفياً: من المتوقع أن تنتقل متطلبات التحقق من الاحتياطي، وإثبات القدرة على السداد، وإلزام التأمين من مجرد زخارف تسويقية إلى متطلبات أساسية، وقد يقود هذا التنظيم. ثالثاً، تتوقف الهياكل المعمارية الفائزة عن الجسور. سيستمر إصدار العملات المستقرة الأصلية على كل سلسلة، وتسوية النوايا حيث يتنافس محلّلو الطلبات لملء طلب المستخدم دون وجود جسر سكّ في المنتصف، والطبقات المتراصة التي تشارك طبقة تسوية أساسية مشتركة، في أكل خبز الجسور تدريجياً. لن تموت الجسور. لكنها ستُخفض من كونها بنية تحتية افتراضية إلى أنابيب متخصصة ومضمّنة.
زاوية المتداول
هذا لا يتعلق بمكان ذهاب سعر أي توكن. إنه يتعلق بمكان وجود أموالك. تعامل مع "الأصول المعلقة داخل عقد الجسر" كفئة خطر مستقلة — منفصلة عن البروتوكول نفسه. حيثما تسمح السيولة، فضّل الأصول الأصلية أو المصدرة مباشرةً على النسخ المغلفة والمجسرة، لأن التوكن المغلف يرث قدرة السداد الخاصة بأي جسر قام بطبعه. انتبه للمشاريع التي تنشر إثباتات احتياطية في الوقت الفعلي أو تحمل تأميناً من طرف ثالث؛ فهذه هي المشاريع التي تعامل الجسر كبنك بدلاً من كونه عقد ذكي. ولاحظ "الهدية" التي قدمها Autheo إلى محفظة عشوائية: إنها هجوم نسب، مصمم لإبطاء إنفاذ القانون وخلق نفي معقول. توقع المزيد من ذلك.
حان موعد سداد الفاتورة
من المرجح ألا يكون اختراق العملات المشفرة التالي الذي تبلغ قيمته تسعة أرقام مجرد خطأ في المفاتيح الخاصة أو تلاعب بمزود بيانات القروض السريعة. بل سيكون شخص ما يقوم بصك مليار دولار من سندات الوعد بالدفع عبر وظيفة الصك في الجسر، ثم يفر قبل أن يفرغ الاحتياطي. الحقيقة غير المريحة هي أن خمس سنوات من "التدقيق، التدقيق، التدقيق" لم تغلق الثغرة — لأن الثغرة ليست في الكود. بل هي في المفهوم. بنينا اقتصادًا متعدد السلاسل بأكمله على افتراض أن آلة الصك يمكن تأمينها من خلال تغطية اختبار كافية. كان أكتوبر 2026 هو موعد سداد الفاتورة. السؤال الوحيد هو ما إذا كانت الصناعة تقرأ الفاتورة قبل وصول الفاتورة التالية.
FAQ
ما هو استغلال جسر "الطبع اللانهائي"؟ إنه هجوم يقوم فيه شخص بطبع رموز غير مدعومة بلا حدود على سلسلة واحدة وجسرها إلى الخارج كأصول حقيقية. يأتي المصطلح من وصف المحلل على السلسلة Spreek لاختراق Initia: حيث "أنشأ المهاجم رموزًا قابلة للجسر على Initia دون دعم وجسرها للخارج، مما أفرد عقد الجسر.".
لماذا تتعرض الجسور عبر السلاسل للاختراق باستمرار؟ يجب على الجسر أن يطبع رمز إيصال كلما تم قفل أصل. إذا تمكن المهاجم من كسر المنطق الذي يحمي عملية الطبع هذه، فيمكنه إنشاء إيصالات بدون إيداعات واسترداد ضمانات حقيقية. هذا فشل في السيولة، وليس مجرد ثغرة أمنية — وهو أمر متأصل في طريقة عمل الجسور.
هل تمنع التدقيقات اختراقات الجسور؟ ليس بشكل موثوق. كانت Autheo قد خضعت لتدقيق من قبل Halborn و CertiK و Avelar Labs قبل استغلالها في أكتوبر 2026، ومع ذلك تم تفريغها. تكتشف التدقيقات أنماط الأخطاء المعروفة في الكود الذي تم مراجعته؛ لكنها لا تصلح نموذجاً غير سليم هيكلياً ولا تكتشف الأخطاء في طبقة التخزين المؤقت (caching layer) للآلة الافتراضية.
هل أصولي المقننة عبر الجسور آمنة؟ أي رمز عبر جسراً يحمل خطر عدم كفاية السيولة الخاص بذلك الجسر. الأصول الأصلية لا تحمل ذلك. حيثما أمكن، فضّل الأصول الأصلية أو المصدرة مباشرة على النسخ المعبأة أو المقننة عبر الجسور، وفضّل المشاريع التي تنشر إثباتات احتياطية في الوقت الفعلي.
ما الذي يُصلح هذه المشكلة فعلياً؟ الإصدار المحلي، التسوية القائمة على النوايا، والجسور المضمونة أو المؤمّنة — بالإضافة إلى معاملة مشغّلي الجسور كوسطاء ماليين خاضعين لإثبات الاحتياطيات. الحل طويل الأمد هو تقليل عدد الأصول التي تحتاج إلى جسر، وليس تحسين الجسور نفسها.