قد يكون ثغرة DeFi القادمة مخبأة بالفعل في المجمعات السامة

يتم تداول مليارات الدولارات يومياً عبر البورصات اللامركزية، وتظهر أحدث الأرقام من DefiLlama أن حجم التداول في البورصات اللامركزية وصل إلى حوالي 5 مليارات دولار في آخر 24 ساعة. تقوم المجمعات بتقييم الأسعار والمسارات المتاحة من مختلف مقدمي السيولة لإيجاد أفضل الصفقات. وللتوضيح، بينما يجمع 0x البيانات من حوالي 150 خدمة، يعرض واجهة برمجة التطبيقات (API) للquote في Uniswap للمستخدم كل من السعر والمسار.

توفر العديد من الخدمات أيضاً ما يُعرف بمحاكاة المعاملة، والتي تفترض أن النتائج ستطابق ما سيحدث في الواقع. تشير أبحاث جديدة من شركة بنية DeFi إنسو، نُشرت في 16 يوليو 2026، إلى أنه يمكن التلاعب بالثقة، وقد حددت الشركة مجموعات تفعل ذلك بالضبط.

يتمدد الخطر ليشمل ما هو أبعد من هذين العقدَين. غالباً ما تعتمد المحافظ وتجمعات البورصات اللامركزية والتطبيقات الموجهة للمستخدمين على المحاكاة خارج السلسلة لإيجاد أفضل الصفقات للمستخدمين. وجدت إنسو أن المجموعة يمكنها استغلال هذه العملية من خلال عرض سعر جذاب أثناء المحاكاة للفوز بالمسار، ثم تقديم سعر أسوأ عند تنفيذ المعاملة الفعلية على البلوكشين.

تُسمّي إنسو هذه الإعدادات "مجمعات سامة". فهي تستغل الفجوة بين التداول المحاكي وما يحدث فعلياً على السلسلة. ومن خلال التحقق من قيم مثل tx.gasprice وtx.origin وblock.coinbase، يمكن للعقد الذكي أن يميز متى يتم محاكاة المعاملة فقط، ويتصرف بشكل طبيعي أثناء المعاينة، ثم يغير سلوكه عند تنفيذ التداول الفعلي.

حالتان حيتان، ونوعان من الأضرار

بعد إجراء تحليل لمدة شهرين لبيانات RPC وتتبع المعاملات وبيانات العقود الذكية بدعم من Curve Finance ومخالطين من Oku، تمكنت إنسو من تحديد المجمعات التي تعمل على شبكتي Ethereum وPolygon.

على شبكة إيثريوم، استخدمت مجموعة Curve USDC/USDT مؤشر سعر معدل للتلاعب لجعل التداولات المحاكية تبدو أفضل من الحقيقية. أثناء المحاكاة، طبق المؤشر سعراً مخفضاً. ولكن عند تنفيذ التداول الفعلي، اختفى هذا الخصم، تاركاً المستخدمين بحصيلة أقل مما توقعوا. وكان التلاعب صعب الاكتشاف أيضاً لأن المؤشر اعتمد على مصادر أسعار Chainlink المشروعة، ويغير مخرجاته فقط عند اكتشافه للمحاكاة.

حسبت إنسو أن عروض أسعار المجموعة كانت مبالغاً فيها بنحو 225,000 دولار، على الرغم من أن هذا لا يعني أن 225,000 دولار قد سُرقت. كان صافي ربح المشغل المسجل 34,592.87 دولار، مع وجود حوالي 23,440 دولار كرسوم طبيعية من Curve. كما رصدت إنسو 129,070 عملية تبادل تلقى فيها المستخدمون عروض أسعار أقل مما كان ينبغي عليهم تلقيه، وشهدت 37,425 معاملة فاشلة تكبدت مستخدموها تكاليف غاز عليها.

أحدثت حالة Polygon اضطراباً أكبر من الربح. استخدمت مجموعة USDC/WETH تعتمد على hook من Uniswap v4 رسوماً تقارب 98.9% عندما ارتفعت أسعار الغاز فوق 100 gwei، واستخدمت إشارات أخرى للكشف عن المحاكاة. وعلى الرغم من أن المجموعة حققت أرباحاً ضئيلة، إلا أنها ظهرت مراراً وتكراراً على أنها تقدم أفضل مسار أثناء المحاكاة، لتفشل المعاملات الفعلية لاحقاً. مما أدى إلى إهدار الغاز والموارد الأخرى عبر الموجهات وأنظمة التداول.

سجلت إنسو 37,467 عملية تبادل فاشلة، مما يضع معدل الفشل عند 99.1%. شاركت حوالي 93% من تلك المعاملات المرتدة في عمليات MEV والمضاربة الآلية. وذكرت أن عملية تبادل واحدة عبر البورصات فقط دارت عبر حوالي 2,525 محفظة مستهلكة وتسببت في 3,509 معاملة فاشلة.

إعادة التفكير في أمن DeFi

لم تتصرف مجموعة Curve بشكل خبيث طوال الوقت، مما جعل اكتشافها أصعب. وجدت إنسو أن إعداد الخصم الخاص بها تغير 26 مرة عبر 48 نافذة مراقبة، مع ظهور المجموعة لسلوك خبيث خلال حوالي 59% من ساعات المراقبة. بعبارة أخرى، قد تبدو المجموعة آمنة أثناء فحص واحد ثم تتحول إلى عدوانية لاحقاً، مما يجعل مراجعات الكود الثابت وفلاتر السمعة أقل موثوقية.

وجدت إنسو أيضاً علامات على أن هذا النهج قد يكون قد تم تكراره. ووفقاً للتقرير، استخدم المشغل نفسه حسابات ذكية EIP-7702 مرتبطة بتنفيذ مشترك لنشر 18 عقداً للمؤشرات السعرية خلف ما لا يقل عن ست مجموعات مماثلة.

لم يكن التأثير محدوداً على البوتات والتجار المحترفين. تقول إنسو أن MetaMask وجهت 6,625 عملية تبادل عبر مجموعة Curve السامة، مما يظهر كيف يمكن أن تؤثر الثغرات في بنية التوجيه أيضاً على المستخدمين العاديين.

لا تلوم إنسو Curve أو Uniswap أو المحافظ التي تفاعلت مع هذه المجمعات. وتجادل بأن أنظمتها بُنيت حول افتراض معقول: أن مجموعة السيولة ستتصرف بنفس الطريقة أثناء المحاكاة كما تفعل عند تنفيذ التداول الفعلي.

"لقد قضت الصناعة سنوات في تحسين اكتشاف الأسعار،" قال ميلوس كوستانتيني، المؤسس المشارك ونائب الرئيس الأول للمنتجات في إنسو. وأضاف: "تشير نتائجنا إلى أن التحدي التالي هو التحقق من سلامة التنفيذ.".

أصبحت كلتا المنصتين المحددتين غير نشطتين بعد إفصاح إنسو. ويُذكر أن hook في Polygon كان غير نشط منذ 15 مايو، بينما تم الآن تعيين خصم مجموعة Curve إلى الصفر. تقول إنسو إنها أضافت كشف المجمعات السامة إلى Enso Shield، باستخدام سياق مباشر على السلسلة وسلوك عروض الأسعار التاريخية بدلاً من الاعتماد على محاكاة واحدة.