كوريا الشمالية تصنع رمزاً مزيفاً لسرقة 286 مليون دولار من بروتوكول Drift والذكاء الاصطناعي يجعل هذه الهجمات أرخص

حدث أكبر اختراق لـ DeFi هذا الأسبوع الماضي في 1 أبريل، حيث تعرض بروتوكول Drift، أحد أكبر منصات تداول العقود الآجلة اللامركزية (perp DEXs) على شبكة Solana، لاستغلال أدى إلى اختفاء حوالي 286 مليون دولار من البروتوكول. ارتبط الهجوم بمخترقين مرتبطين بكوريا الشمالية، وحدث الاختراق بأكمله في 10 ثوانٍ فقط. ما يثير الدهشة في هذا الاختراق هو الطبيعة الدقيقة له. لم يتم كسر أي كود ولم يكن هناك خطأ في أي عقد ذكي. تشير التحقيقات من شركات التحليل الجنائي للعملات المشفرة مثل Elliptic وTRM Labs إلى اختراق أكثر حسابية بكثير. 

قضى المهاجمون من كوريا الشمالية ثلاثة أسابيع في تصنيع رمز مزيف يسمى CarbonVote، وتمويله بعدة آلاف من الدولارات ليبدو حقيقياً، وفي الوقت نفسه قاموا بالهندسة الاجتماعية لاثنين من خمسة من موقعي مجلس الأمن متعدد التواقيع في Drift لتوقيع تفويضات مخفية لم يفهموها تماماً. بعد ذلك، استخدموا ميزة في Solana تسمى "nonces" الدائمة للاحتفاظ بتلك التواقيح في الاحتياط لأكثر من أسبوع، في انتظار اللحظة المناسبة. كل ما تطلبه الأمر كان معاملة واحدة في 1 أبريل. 

وكما أشارت Elliptic، كانت هذه الهجوم هو الاختراق الثامن عشر للعملات المشفرة المرتبط بكوريا الشمالية فقط في هذا العام، حيث سحبت حوالي 300 مليون دولار من الفضاء. وبعد أربعة أيام من الاختراق، صرح كبير مسؤولي التكنولوجيا في Ledger علنًا حول الطبيعة المقلقة للاختراق، وأن الذكاء الاصطناعي يدفع تكلفة الهجمات مثل هذه "إلى الصفر". وتكتسي هذه العبارة بأهمية كبيرة لأن اختراق Drift هو دراسة حالة حول كيفية عمل هذه العمليات الآن. لم يكن المهاجمون بحاجة إلى ثغرة من يوم صفر أو إلى خبير تشفير من الطراز الرفيع. كل ما احتاجوه كان الصبر، ورمز مزيف مقنع، وبشريين يمكن التلاعب بهما. وكشف الاختراق فعليًا عن ثغرة هيكلية في التمويل اللامركزي (DeFi) كما هو الحال اليوم. حيث يبني DeFi بنية تحتية بمليارات الدولارات يحميها مجموعات صغيرة من الأشخاص يمكن خداعهم، بينما يصبح الأعداء أفضل في القيام بذلك بالضبط.

كيف سرقت كوريا الشمالية 286 مليون دولار في 10 ثانية 

كان اختراق بروتوكول Drift استغلالاً متطوراً امتد على مدار ثلاثة أسابيع من التحضير. بلومبرغ كانت أول من أبلغ عن الاختراق في 1 أبريل، عندما أكد بروتوكول Drift أن حوالي 286 مليون دولار من أصول المستخدمين قد تم تصريفها. في الواقع، بدأت هذه المخطط بالكامل في 11 مارس عندما سحب المهاجم 10 عملات ETH من Tornado Cash في حوالي الساعة 9 صباحاً بتوقيت بيونغ يانغ، واستخدمها لنشر الرمز المزيف، CarbonVote (CVT)، وهو أصل خيالي تماماً تم تمويله بعدة آلاف من الدولارات في السيولة واستمر في العمل من خلال التداول الغشاش.

على مدار الأسبوعين التاليين، بين 23 و30 مارس، فتح المهاجم حسابات "nonces" دائمة، وهي ميزة شرعية على شبكة Solana تتيح توقيع المعاملات مسبقاً والاحتفاظ بها إلى ما لا نهاية دون انتهاء صلاحيتها. خلال هذه الفترة، قام المهاجم بالهندسة الاجتماعية لاثنين من خمسة من موقعي مجلس الأمن في Drift لإقرار معاملات تبدو طبيعية، ولكن، كما TRM Labs أكدت لاحقاً، كانت تحمل تفويضات مخفية للتحكم الإداري الحاسم.

وقعت القطعة الأخيرة في 27 مارس، عندما انتقل Drift بمجلس الأمن الخاص به إلى تكوين عتبة جديد 2/5 بدون مهلة زمنية، كما أبلغ BlockSec، مما أزال فعلياً التأخير الوحيد الذي كان سيسمح لأي شخص باكتشاف ما كان قادمًا. بحلول الوقت الذي جاء فيه 1 أبريل، كانت الفخ محمّلاً بالكامل منذ أيام.

في 1 أبريل، استخدم المهاجم تلك الموافقات الموقعة مسبقاً لإدراج CarbonVote كضمان صالح، وقام بتضخيم قيمته إلى مئات الملايين عبر تسعير الأوراكل المزيف واستحوذ على الحوكمة. من هناك، أفادت 31 معاملة سحب بمفاجأة خزائن Drift في غضون ثوانٍ. شملت أكبر شريحة وحدها أكثر من 155 مليون دولار من رموز JLP بالإضافة إلى عشرات الملايين من دولارات USDC وSOL وETH وغيرها من رموز الرقمنة السائلة التي تم تصريفها، وانهارت القيمة الإجمالية المقفلة في البروتوكول فوراً من حوالي 550 مليون دولار إلى أقل من 250 مليون دولار. 

سرعة هذا الاختراق هي مجرد جزء من هذه القصة. خطة مفصلة استمرت لمدة ثلاثة أسابيع انتهت باختراق مدته 10 ثوانٍ أظهرت مدى سهولة تحول الحوكمة، وليس الكود، إلى الحلقة الأضعف في DeFi. 

حرب كوريا الشمالية المشفرة بقيمة 300 مليون دولار في 2026 

هذا الاختراق، الذي يُزعم أن منفذيه هم مهاجمون مرتبطون بكوريا الشمالية، ليس بأي حال من الأحوال حدثاً معزولاً. في الواقع، إذا نظرت إلى بعض أكثر الاختبارات شهرة في السنوات القليلة الماضية، يتضح أن هذا جزء من حملة أكبر مدفوعة بالدولة. في هذا العام وحده، أفادت شركة Elliptic بأن استغلال Drift يجعله السرقة رقم 18 المنسوبة إلى كوريا الشمالية، مما دفع إجمالي الأموال المسحوبة إلى ما يزيد عن 300 مليون دولار حتى الآن هذا العام. إذا نظرت إلى ما هو أبعد من هذا العام، يصبح من الصعب جداً تجاهل حجم مثل هذه الهجمات من دولة واحدة. في العام الماضي، سرق الفاعلون المرتبطون بكوريا الشمالية ما بين 1.92 مليار دولار وفقاً لـ TRM Labs، بينما تضع Chainalysis هذا الرقم عند 2.02 مليار دولار في العملات المشفرة. وقد شكل هذا قفزة سنوية بنسبة 51% في الهجمات التي نفذتها هذه المجموعة، ودفع إجمالي سرقاتهم التاريخية إلى 6.75 مليار دولار.

مثلت كوريا الشمالية 76% من جميع انتهاكات الخدمات في عام 2025، مما يعني أن دولة واحدة مسؤولة عن الغالبية العظمى من السرقات التي تحدث في الصناعة. في ظل هذا الخلفية، يناسب اختراق Drift، الذي أصبح الآن ثاني أكبر استغلال في نظام Solana البيئي بعد اختراق Wormhole في عام 2022، نمطاً من الهجمات. 

ما يحدد هذا النمط هو الاتساق. كان اختراق Bybit في فبراير 2025، وهو أكبر سرقة للعملات المشفرة في التاريخ، يحتوي على إعدادات متطابقة تقريباً شملت الهندسة الاجتماعية، والوصول المخترق، وتبادل الأموال المنسق. TRM Labs تلاحظ أن مشغلي كوريا الشمالية يعتمدون بشكل متزايد على شبكات "المغاسل الصينية" لتحويل الأموال عبر سلاسل كتل مختلفة خلال ساعات.

يظهر هجوم Drift في الواقع نظاماً من فرق مدعومة من الدولة تشغل عمليات متعددة الأسابيع مع الاستطلاع، والتلاعب البشري، وبنية غسيل الأموال العالمية الموجودة بالفعل. 

الذكاء الاصطناعي يدفع تكاليف الهجوم "إلى الصفر": تحذير كبير مسؤولي التكنولوجيا في Ledger

بعد أربعة أيام من تفريغ Drift، قال تشارلز غيليميت، كبير مسؤولي التكنولوجيا في Ledger، لـ CoinDesk شيئاً أعاد صياغة الحادث بأكمله. وقال: "إن العثور على الثغرات واستغلالها يصبح سهلاً جداً جداً. التكلفة تنخفض إلى الصفر." لم يسمّ غيليميت Drift، لكنه وصف آلياتها بدقة. لا تساعد الذكاء الاصطناعي المهاجمين فقط في العثور على أخطاء الكود بشكل أسرع، بل تجعل الهندسة الاجتماعية أكثر إقناعاً، والصيد الاحتيالي أكثر تخصيصاً، وتقلل من تكلفة العمل التحضيري الذي قضاه المشغلون الكوريون الشماليون في ثلاثة أسابيع على Drift بمقدار مرتبة كاملة. وأشار أيضاً إلى مشكلة متراكمة في جانب الدفاع: مع اعتماد المزيد من المطورين على الكود المولد بالذكاء الاصطناعي، قد تنتشر الثغرات بشكل أسرع مما يمكن للمراجعين البشريين اكتشافها. وقال: "لا يوجد زر 'اجعلها آمنة'. سننتج الكثير من الكود الذي سيكون غير آمن بالتصميم." تسببت الهجمات والاستغلال في خسائر بقيمة 1.4 مليار دولار في العملات المشفرة على مدار العام الماضي، ويتوقع غيليميت أن يصبح المنحنى أكثر حدة، وليس أكثر تسطيحاً.

يُعد اختراق Drift الدليل الأوضح على صحة هذا التحذير. لم يلمس المهاجمون الكود أبداً، بل استهدفوا البشر الاثنين الحاملين للمفاتيح. لا يحتاج الذكاء الاصطناعي إلى كسر عقد ذكي إذا كان بإمكانه إنشاء مبرر مقنع بما يكفي لخدع موقع التوقيع المتعدد على الموافقة على معاملة لم يفهمها تماماً. يتوقع غيليميت أن ينقسم القطاع: ستستثمر الأنظمة الحرجة مثل المحافظ والبروتوكولات الأساسية بكثافة في الأمن والتكيف، لكن قد تواجه أجزاء كبيرة من النظام البيئي الأوسع للبرمجيات صعوبة في مواكبة ذلك. الإصلاحات التي يوصي بها، مثل التحقق الرسمي باستخدام البراهين الرياضية، والعزل المادي للمفاتيح الخاصة، هي هياكل سليمة ولكن تتطلب مستوى من الانضباط المؤسسي لم تبنيه معظم بروتوكولات DeFi، بما في ذلك Drift، حتى الآن. وقال: "عندما يكون لديك جهاز مخصص غير متصل بالإنترنت، فهو أكثر أماناً بالتصميم." لم يكن لمجلس أمن Drift مثل هذا العازل. توقيعان، صفر مهلة زمنية، ورمز مزيف كان كل ما تطلبه الأمر.

ماذا يحدث بعد ذلك: تعافي Drift واستجابة الصناعة

المستقبل الذي ينتظر بروتوكول Drift غير واضح تماماً، والإشارات المبكرة تقسم بالفعل قطاع الصناعة. في أعقاب الحادث مباشرة، اقترح أناتولي ياكوفينكو مساراً محتملاً للتعافي يتمثل في إصدار أيردروب لرمز على طريقة IOU (سند دين) للمستخدمين المتضررين، محاكياً بذلك خطة Bitfinex في عام 2016 بعد اختراقها الذي كلفها 72 مليون دولار. 

الفكرة بسيطة: تحميل الخسائر اجتماعياً الآن، وسداد المستخدمين تدريجياً إذا تعافى البروتوكول. لكن السياق مختلف تماماً. فقد انخفضت القيمة الإجمالية المقفلة (TVL) في Drift إلى النصف تقريباً، ولا تزال عمليات الإيداع والسحب معلقة، وعلى عكس Bitfinex، يفتقر إلى محرك إيرادات مركزي يدعم هذه الالتزامات. وقد أدى ذلك إلى ردود فعل سلبية فورية: فرموز IOU، في هذه الحالة، تخاطر بأن تصبح أدوات speculative بحتة دون مسار واضح للاسترداد.

في الوقت نفسه، تثير النشاطات على السلسلة مخاوف جديدة. فقد أشار Onchain Lens إلى أن محفظة مرتبطة بفريق Drift نقلت 56.25 مليون رمز DRIFT (ما يعادل حوالي 2.44 مليون دولار) إلى منصات مركزية للتداول بما في ذلك Bybit وGate بعد وقت قصير من الاستغلال، وهي خطوة تسبق عادةً ضغط البيع وتغذي التكهنات بشأن وضع المتورطين داخلياً خلال أزمة السيولة. 

في هذه الأثناء، تم بالفعل جسر أموال المهاجم عبر سلاسل الكتل المختلفة، ولا سيما إلى Ethereum، مما يقلل من احتمالية التعافي المعنوي مع مرور كل يوم. والتأثير الأوسع هو أن هذا الحادث لن ينتهي عند Drift. فمن المرجح أن يسرع من التدقيق الشامل في صناعة DeFi فيما يتعلق بحوكمة البروتوكولات نفسها، بدءاً من معايير أمان المحافظ متعددة التواقيح ومتطلبات فترات الانتظار (timelocks)، وصولاً إلى تصميم الأوراكل وضوابط التنفيذ. وما سيأتي بعد ذلك يعتمد على ثلاثة متغيرات: ما إذا كان Drift قادراً على تقديم خطة تعافي موثوقة، وما إذا كان يمكن تتبع أو تجميد أي جزء من الأموال، وما إذا كان هذا سيُجبر أخيراً على إصلاح هيكلي، أم سيصبح مجرد درس مكلف تتجاوزها الصناعة.