- يعاني بروتوكول USPD المستقر من اختراق متطور، حيث قام المهاجمون بصك 98 مليون USPD وتصريف أكثر من مليون دولار من السيولة.
- استغلت الثغرة عيباً في تهيئة الوكيل، مستخدمة عقداً ظلياً لتجاوز التحقق والبقاء غير مكتشفة لأشهر.
- تستمر هجمات التمويل اللامركزي عبر النظام البيئي، بما في ذلك الاستغلال الأخير في Yearn Finance وBalancer، مما يسلط الضوء على مخاطر العقود الذكية المستمرة.
عانى بروتوكول التمويل اللامركزي US Permissionless Dollar من اختراق أمني أدى إلى صك غير مصرح به للعملات المستقرة الخاصة به وتصريف أكثر من مليون دولار من السيولة.
ووفقًا لتقرير الحادث من الحساب الرسمي لفريق USPD على منصة X، أودع المهاجم حوالي 3122 ETH كضمان واستغل خطأً برمجيًا مكنه من صك حوالي 98 مليون رمز USPD في معاملة واحدة.
أنشأت العملية عشرة أضعاف كمية الرموز مقابل الإيداع الأولي ومكنت المهاجم من تصريف 237 stETH إضافية كضمان. تم تحويل العملات المستقرة المسروقة لاحقًا إلى حوالي 300,000 دولار من USDC من خلال منصة التبادل اللامركزية Curve.
أصدر مطورو بروتوكول USPD وحسابات أمان سيبراني متعددة، مثل PeckShield Alert، تحذيرًا للمستخدمين فور تحديد الاختراق، قائلة:
«لقد أكدنا استغلالًا حرجًا لبروتوكول USPD أدى إلى صك غير مصرح به وتصريف السيولة. يرجى عدم شراء USPD. ألغِ جميع الموافقات على الفور.»
استغل هاكر USPD الوكلاء (Proxies) لخداع البروتوكول في الصك
ال DeFi ذكر تقرير البروتوكول أن الاختراق استغل متجه هجوم معقد باسم «CPIMP»، اختصارًا لـ Clandestine Proxy In the Middle of Proxy. أوضح USPD أن المهاجم سبق التمهيد لتهيئة الوكيل في 16 سبتمبر أثناء النشر باستخدام Multicall3 معاملة.
2/ لم يكن هذا عيبًا في منطق العقد الذكي الخاص بنا.
خضع بروتوكول USPD لمراجعات أمنية صارمة من قبل شركات من الطراز الأول @NethermindEth و Resonance. كودنا خاضع بالكامل لاختبارات الوحدة ويلتزم بمعايير الصناعة الصارمة. يظل المنطق نفسه آمنًا.
— UPD.IO | Universal Private Dollar (@UPD_io) 4 ديسمبر 2025
استخدم المهاجم CPIMP للاستيلاء على الحقوق الإدارية بصمت قبل اكتمال تنفيذ نصوص البروتوكول، وانتظر أشهرًا لبدء صك العملات دون إذن. نفذ عقدًا «ظلًا» يقوم بتوجيه المكالمات إلى كود USPD المراجع، ثم نفذ بشكل خفي التلاعب بحزمة الأحداث وتزوير خانات التخزين لإقناع Etherscan بعرض العقد المراجع الأصلي.
«سمح هذا التمويه للمهاجم بالاختباء في العيان لأشهر، متجاوزًا أدوات التحقق والفحوصات اليدوية. اليوم، استخدموا وصولهم المخفي لترقية الوكيل، وصك ~98M USPD، وتصريف ~232 stETH»، كتبت USPD.
أعاد المحلل البلوك تشيني إيميت غاليك التأكيد على تحليل بروتوكول DeFi، مضافًا إليه أن تهيئة الوكيل تسببت في الهجوم أثناء النشر.
«ادعى المهاجم حقوق المسؤول، وثبت تنفيذًا ظليًا خدع Etherscan لإظهار العقد المراجع. تم اختراق البروتوكول لأشهر»، استنتج.
ستستمر USPD في التحقيقات، وتتعهد بتقديم مكافأة للمهاجم
ردًا على الهجوم، أعلنت USPD أنها تعمل عن كثب مع إنفاذ القانون ومجموعات الأمن الأبيض لتتبع وتجميد الأموال المسروقة. «لقد علمنا عناوين المهاجم مع جميع منصات التبادل المركزية (CEXs) واللامركزية (DEXs) الرئيسية لتجميد تدفق الأموال»، كشفت الفريق.
كما ذكرت البروتوكول أنه على استعداد لحل الموقف مع المهاجم إذا تم إرجاع الأموال بعد خصم مكافأة أمان قياسية بنسبة 10%. وعد البروتوكول بوقف جميع إجراءات إنفاذ القانون إذا قبلوا العرض، وشجعوا المهاجم على التواصل معهم مباشرة أو إعادة 90% من الأصول المسروقة لرؤية القضية محلولة.
"نحن محبطون للغاية لأنه على الرغم من التدقيق الدقيق والالتزام بأفضل الممارسات، فقد وقعنا ضحية لهذا المتجه الهجومي الناشئ والمعقد للغاية. نحن نبذل كل ما في وسعنا لاستعادة الأصول،" قالت USPD لمجتمعها.
وفقًا لـ CoinMarketCap، لم يتأثر ربط العملة المستقرة بالدولار الأمريكي حتى الآن، لكن حجم التداول انخفض بنسبة 20% خلال آخر 24 ساعة إلى حوالي 2.56 مليون دولار.
كانت اختراقات بروتوكولات العملات المستقرة في التمويل اللامركزي (DeFi) أكبر بكثير مما واجهته USPD، بما في ذلك اختراق إيولر فاينانس في عام 2023 الذي أدى إلى خسائر تزيد عن 197 مليون دولار بعد صرف العملات المستقرة من صناديق الإقراض الخاصة به.
بروتوكولان في التمويل اللامركزي في وضع التعافي بعد اختراقات نوفمبر
في يوم الاثنين الماضي، أصبحت ييرن فاينانس أحدث بروتوكول يعاني من اختراق في رمزها الفهرسي للإقراض السائل yETH. قام المهاجم بصك عدد غير محدود فعليًا من الرموز وسرق حوالي 3 ملايين دولار من الإيثريوم.
كانت ييرن فاينانس قد تعرضت سابقًا لاختراق بقيمة 9 ملايين دولار في صندوق تبادل العملات المستقرة yETH الخاص بها في 30 نوفمبر، ولكن كما ذكر كريبتوبوليتان في يونيو أن DFS اقترحت لوائح جديدة للعملات المستقرة تهدف إلى مواءمتها مع قانون GENIUS ACT مع الحفاظ على ضوابطها الحالية. ويشمل ذلك التغطية الكاملة بالاحتياطيات والتدقيق المستقل. في يوم الأربعاء، بدأت بالفعل في استرداد الأموال المسروقة. حتى الآن، نجح الفريق في استرداد 2.39 مليون دولار، والتي سيتم إعادتها إلى المودعين المتضررين.
بالنسبة لـ Balancer، وهو بروتوكول DeFi آخر خسر 128 مليون دولار عبر اختراق v2، أعلن الأسبوع الماضي عن خطط لاسترداد حوالي 8 ملايين دولار لمقدمي السيولة.
إذا كنت تقرأ هذا، فأنت متقدّم بالفعل. ابق هناك مع نشرتنا الإخبارية.
إخلاء مسؤولية. المعلومات المقدمة ليست نصيحة تداول. Cryptopolitan.com لا تتحمل أي مسؤولية عن أي استثمارات تتم بناءً على المعلومات المقدمة في هذه الصفحة. نوصي بشدة بإجراء بحث مستقل و/أو الاستعانة بمستشار مؤهل قبل اتخاذ أي قرارات استثمارية.
فلورنس موتشاي
تغطي فلورانس منذ 6 سنوات أخبار العملات الرقمية، والألعاب، والتكنولوجيا، والذكاء الاصطناعي. وقد زودتها دراستها لعلوم الحاسوب في جامعة ميرو للعلوم والتكنولوجيا، ودراسة إدارة الكوارث والدبلوماسية الدولية في MMUST بالمهارات اللغوية والملاحظة والتقنية اللازمة. عملت فلورانس في مجموعة VAP Group وككاتبة تحريرية في عدة وسائل إعلام متخصصة في العملات الرقمية.
