- تم تفريغ صندوق OCA/USDC في PancakeSwap V2 على شبكة BSC مؤخرًا من خلال عملية اختراق استغلت القروض الفورية، مما أدى إلى فقدان ما يقرب من 500,000 دولار.
- تسمح القروض الفورية للمستخدمين بالاقتراض من الأصول الرقمية دون ضمانات، ولكن يجب سداد المبلغ المقترض بالإضافة إلى الرسوم ضمن نفس كتلة المعاملة.
- انتهى هجوم قرض فوري مشابه على شبكة BSC بفرار المهاجم بحصوله على أكثر من 100,000 دولار.
تم استغلال خزان PancakeSwap V2 لـ OCAUSDC على BSC في معاملة مشبوهة تم اكتشافها اليوم. أدى الهجوم إلى فقدان ما يقرب من 500,000 دولار من سوق USDC، تم تصريفها في معاملة واحدة.
ووفقًا للتقارير من منصات الأمن السيبراني على البلوكشين، استغل المهاجم ثغرة في منطق OCA() للبيع الانكماش، مما منحهم الوصول إلى تعديل احتياطيات الخزان. كان المبلغ النهائي الذي هرب به المهاجم يقدر بحوالي 422,000 دولار.
شمل الاستغلال استخدام القروض الفورية والمبادلات الفورية مقترنة باستدعاءات متكررة لوظيفة swapHelper الخاصة بـ OCA. هذا أزال توكنات OCA مباشرة من خزان السيولة أثناء المبادلات، مما أدى إلى تضخيم سعر OCA على الزوج بشكل مصطنع وتمكين تصريف USDC
كيف حدث استغلال OCA/USDC؟
تم تنفيذ الهجوم وفقًا للتقارير عبر ثلاث معاملات. الأولى لتنفيذ الاستغلال، والتاليتان لخدمة كرسوم إضافية للمبنيين.
"إجمالي 43 BNB بالإضافة إلى 69 BNB تم دفعها إلى 48club-puissant-builder، تاركًا ربحًا نهائيًا يقدر بـ 340 ألف دولار"، كتبت Blocksec Phalcon على X حول الحادث، مضافة أن معاملة أخرى في نفس الكتلة فشلت أيضًا عند الموضع 52، على الأرجح لأنها سبقت بالمهاجم.
تسمح القروض الفورية على PancakeSwap للمستخدمين باقتراض مبالغ كبيرة من الأصول الرقمية دون ضمانات؛ ومع ذلك، يجب سداد المبلغ المقترض بالإضافة إلى الرسوم ضمن كتلة المعاملة نفسها.
تُستخدم بشكل أساسي في استراتيجيات المراجحة والتصفية على سلسلة Binance Smart Chain، وعادة ما يتم تسهيل القروض بواسطة وظيفة المبادلة الفورية لـ PancakeSwap V3.
تم رصد هجوم آخر باستخدام القروض الفورية منذ أسابيع مضت
في ديسمبر 2025، سمح استغلال لمهاجم بسحب حوالي 138.6 WBNB من خزان السيولة على PancakeSwap لزوج DMi/WBNB، محققًا ربحًا يقدر بحوالي 120,000 دولار.
أظهر هذا الهجوم كيف أن مزيجًا من القروض الفورية وتعديل احتياطيات الزوج الداخلية لـ AMM عبر دالتي sync() و callback يمكن استخدامه لاستنزاف الخزان تمامًا.
أنشأ المهاجم أولاً عقد الاستغلال واستدعى دالة f0ded652()، وهي نقطة دخول متخصصة إلى العقد، وبعد ذلك يستدعي العقد flashLoan من بروتوكول Moolah، طلبًا لحوالي 102,693 WBNB.
عند استلام القرض الفوري، يبدأ العقد استدعاء onMoolahFlashLoan(…). أول شيء يفعله الاستدعاء هو اكتشاف رصيد توكن DMi في خزان PancakeSwap للتحضير لتعديل احتياطيات الزوج.
جدير بالذكر أن الثغرة لا تكمن في القرض الفلاشي (flash loan)، بل في عقد PancakeSwap، مما يتيح التلاعب بالاحتياطيات من خلال مزيج من عملية Swap الفلاشي ودالة sync() دون وجود حماية ضد الاستدعاءات الخبيثة.
أذكى العقول في عالم العملات الرقمية يقرأون بالفعل نشرتنا الإخبارية. هل تريد الانضمام؟ انضم إليهم.
إخلاء مسؤولية. المعلومات المقدمة ليست نصيحة تداول. Cryptopolitan.com لا تتحمل أي مسؤولية عن أي استثمارات تتم بناءً على المعلومات المقدمة في هذه الصفحة. نوصي بشدة بإجراء بحث مستقل و/أو الاستعانة بمستشار مؤهل قبل اتخاذ أي قرارات استثمارية.
هانا كولي مور
هانا كاتبة ومحرّرة تمتلك خبرة تمتد لأكثر من عقد في كتابة المدونات وتغطية الفعاليات في مجال العملات الرقمية. في موقع كريبتوبوليتان، تساهم هانا في صفحة الأخبار من خلال تغطية وتحليل أحدث التطورات في مجالات التمويل اللامركزي (DeFi)، والأصول الواقعية (RWA)، وتنظيم العملات الرقمية، والذكاء الاصطناعي، وتقنيات الحدود الجديدة. تخرجت هانا من جامعة أركاديا بدرجة البكالوريوس في إدارة الأعمال.
