مصرف DeFi للعملة المستقرة Infini يتعرّض لاستغلال بقيمة 49 مليون دولار بعد أن احتفظ المهاجم بالتحكم الإداري

سحب هاكر أكثر من 49 مليون دولار من USDC من مصرف العملة المستقرة Infini. قد يكون الاستغلال ناتجاً عن وصول داخلي إلى عقد ذكي، حيث احتفظ المطور بالوصول بعد التسليم إلى Infini. 

سمحت الصلاحيات الإدارية لعقد ذكي لمهاجم بسحب 49 مليون دولار من بروتوكول Infini، وهو مصرف DeFi للعملة المستقرة. لم يتفاعل Infini نفسه مع الاستغلال، أو يشرح طبيعة الاختراق. Infini هي شركة إصدار بطاقات عملات مشفرة، وتأخذ ضمانات بالعملات المستقرة لإجراء المدفوعات اليومية. 

روجت Infini لخدمات الدفع الخاصة بها كمصرف رقمي (نيوبانك)، يجمع بين التمويل التقليدي والعملات المشفرة. اجتذب المنتج 500% أكثر من المستخدمين في الأسابيع القليلة الماضية، مع بدء حملات البطاقات الخاصة به. يقدم المصرف الرقمي أيضاً منتجات عالية العائد، مما أدى إلى زيادة السيولة المتاحة للمهاجم.

كانت منتجات العائد بالتحديد هي التي خلقت الظروف للاستغلال، حيث أفيد بأن الأموال كانت خطوات من خزانة Morpho MEV Capital Usual USDC Vault. ولم تصدر Morpho أي تحذيرات أو تبلغ عن أموال مفقودة.

تم ملاحظة الاستغلال بعد ظهور حوت يبدو عادياً المعاملة, حيث سحبت محفظة جديدة جميع الأموال المقفلة في العقد. كانت محفظة المهاجم معروفة لـ Infini، حيث أفيد بأن المشروع طلب من المستغل إنشاء العقد الذكي. وبشكل غير معروف للمشروع، احتفظ المهاجم بصلاحيات إدارية وكان بإمكانه إجراء المكالمة لسحب جميع السيولة. 

🚨تنبيه🚨اليوم، @0xinfini تعرض لاستغلال بقيمة 49 مليون دولار $USDC بسبب استغلال المهاجم لصلاحيات إدارية محتجزة.

قام المهاجم، الذي يعمل من العنوان 0xc49b5e5b9da66b9126c1a62e9761e6b2147de3e1، بتطوير العقد الذكي في البداية كجزء من مشروع Infini. ومع ذلك، بعد… pic.twitter.com/olguOyNCJr

— 🚨 تنبيهات Cyvers 🚨 (@CyversAlerts) 21 فبراير 24، 2025

كان الإجراء الفوري للمُستغل هو تحويل الرصيد من USDC لشراء 17,696 ETH. انتقل المُستغل عبر DAI، الذي كان متاحًا من خلال البروتوكولات اللامركزية. انتقلت الأموال عبر Uniswap، وSky Protocol، و0x Protocol. سمح التحويل السريع من USDC للمخترق بنقل الأموال إلى ETH، والتي لا يمكن تجميدها، بل فقط إدراجها في القائمة السوداء من قبل البورصات.

بعد ذلك، قسم المهاجم العائدات إلى مبالغ أصغر وعناوين متعددة. استخدم المُستغل محفظة جديدة لإرسال مبلغ صغير من ETH لتغطية رسوم الغاز وإتمام المعاملة. جاء التمويل الأولي للمحفظة من Tornado Cash، مما أخفى جزءًا من الوجود على السلسلة للمخترق.

بعد ذلك، تم نقل ETH عبر سلسلة من التحويلات. في وقت كتابة هذا التقرير، لم يتم خلط الأموال بعد. 

هل هاجم مخترقو كوريا الشمالية مرة أخرى؟

يظل هوية منشئ العقد غير معروفة، حيث لم تكشف Infini عن من تم تكليفه ببناء العقد الذكي. 

يتبع اختراق Infini أكبر استغلال لـ 2025، حيث بورصة Bybit خسرت ما يصل إلى 1.5 مليار دولار من Ethereum (ETH). اتبع مخترق Bybit نهجًا مشابهًا يتمثل في تقسيم ETH قبل خلطه. أشار المحقق على السلسلة ZachXBT إلى أمثلة متعددة تُظهر أن هذا النهج هو أحد الحركات المميزة لمجموعة Lazarus المخترقة. حتى الآن، لم تربط Infini أيًا من محافظ المُستغل بعناوين Lazarus المعروفة الأخرى. 

هذه المرة، لم يتم تسريب المفاتيح الخاصة، ولم تتوقف Infini عن عمليات السحب والإيداع. 

تولى مؤسس Infini، @christianeth، المسؤولية الكاملة عن الاستغلال، موضحًا أنه كان مقصرًا في عملية نقل الصلاحيات من المطور إلى المشروع. طمأن المؤسس المستخدمين إلى أن البروتوكول لا يزال سائلًا، وسيصدر تعويضًا كاملًا في أسوأ السيناريوهات. 

“لم يتم تسريب مفتاحي الخاص، لذا لا داعي للقلق الشديد. كنت مقصرًا عند نقل الصلاحيات سابقًا. المسؤولية النهائية تقع عليّ. هذا قدّح جرس الإنذار… لا توجد مشكلة في السيولة. يمكن دفع تعويض كامل ويتم تتبع الأموال، كتب @christianeth على X.

تظهر تحليلات أخرى على السلسلة احتمال تسريب مفتاح خاص، مما سمح للمخترق بالوصول إلى العقد. لاحظت PeckShield أن المهندس الذي أصبح مخترقًا قد حددت. بعد الهجوم، قام أحد المؤسسين المشاركين لـ Infini، @0xsexybanana، بحذف حسابه على X. يُشتبه في أن عملية النهب الحالية كانت هجومًا من الداخل، حيث كان المهندس موثوقًا به بما يكفي لإنشاء عقد ذكي. 

أثارت عمليات الاستغلال الأخيرة وتراكم ETH سؤالًا حول استخدام السلسلة لغسيل الأموال وتمويل الأنظمة المعادية المحتملة. وفي الوقت نفسه، حفّزت عمليات الاستغلال ارتفاعًا طفيفًا في سعر ETH، حيث تجاوز الأصل 2,800 دولار لأول مرة منذ أسابيع. أدى فقدان ETH إلى اضطرار البورصات إلى تعويض احتياطياتها، مما أدى إلى طلب إضافي.