أظهر تقرير أمان صناعة الويب3 الأخير من Gate Research، استنادًا إلى البيانات من SlowMist، وقوع ثمانية حوادث أمان في مارس 2025، مما أدى إلى خسائر إجمالية بنحو 14.43 مليون دولار. تباينت الحوادث في النوع، حيث تمثلت الاختراقات الحسابية وثغرات العقود الذكية في الغالبية، بنسبة 62.5% من الإجمالي. يوفر التقرير تحليلاً مفصلاً للأحداث الرئيسية، بما في ذلك هجوم الثغرة في العقد الذكي على 1inch وحادثة Zoth التي تتضمن عيوبًا في العقد وتسرب المفتاح الخاص. تم تحديد اختراقات الحسابات وثغرات العقود على أنها التهديدات الرئيسية للأمان لهذا الشهر، مما يؤكد على الحاجة المستمرة إلى تعزيز التدابير الأمان عبر الصناعة.

مجرد

• في مارس 2025، شهدت صناعة الويب3 ثمانية حوادث أمنية، مما أدى إلى خسائر إجمالية بقيمة 14.43 مليون دولار - انخفاض كبير مقارنة بالشهر السابق.
• معظم هذه الحوادث تشمل طرق الهجوم مثل الثغرات في العقود الذكية وانتهاكات الحسابات، التي تمثل معًا 62.5% من جميع حالات الأمان في صناعة العملات الرقمية.
• الحوادث الرئيسية في هذا الشهر شملت استغلال ثغرة في العقد الذكي استهدف 1inch (مما أدى إلى خسائر بقيمة 5 ملايين دولار، تم استعادة 90% منها) وهجومان منفصلان على Zoth - أحدهما يتضمن ثغرة في العقد والآخر تسرب مفتاح خاص - مما أدى إلى خسائر تقدر بـ 8.575 مليون دولار.
• بالنسبة لتوزيع بلوكشين، تعرض مشروع واحد فقط لخسائر على سلسلة الكتل العامة BSC هذا الشهر.

نظرة عامة على حادث الأمان

وفقًا للبيانات من SlowMist، تم تسجيل ثمانية حوادث أمنية بين 1 مارس و 30 مارس 2025، مما أسفر عن خسائر إجمالية تقدر بحوالي 14.43 مليون دولار. تشمل الهجمات في المقام الأول ثغرات العقود الذكية، واختراق الحسابات، وطرق استغلال أخرى. بالمقارنة مع فبراير 2025، انخفضت الخسائر الإجمالية بنسبة 99% شهريًا. كانت الثغرات في العقود الذكية والحسابات المخترقة هما الأسباب الرئيسية لهذه الهجمات، حيث بلغ عدد الحوادث المماثلة خمس حوادث تمثل 62.5%. تظل حسابات X الرسمية (المعروفة سابقًا باسم تويتر) هدفًا رئيسيًا للقراصنة.

هذا الشهر، حدث الحادث الأمني الوحيد على سلسلة كتل عامة على BSC، حيث تعرضت Four.meme لخسائر تجاوزت 180،000 دولار. وهذا يسلط الضوء على الحاجة المستمرة لتحسينات في تدقيق العقود الذكية وآليات مراقبة المخاطر والرصد على السلسلة داخل نظام BSC.

واجهت العديد من مشاريع سلسلة الكتل الاختراقات الأمنية الرئيسية هذا الشهر، مما أدى إلى أضرار مالية كبيرة. ومن بين أبرز هذه الاختراقات كانت منصة RWA staking platform Zoth، التي تعرضت لهجومين منفصلين: الأول يتعلق باختراق أدى إلى خسائر بقيمة 8.29 مليون دولار، والثاني بسبب ثغرة في العقد الذكي أدت إلى أضرار بقيمة 285,000 دولار. بالإضافة إلى ذلك، فقد فقد مجمع الصرف اللامركزي 1inch 5 ملايين دولار بسبب ثغرة في العقد.

الحوادث الأمنية الرئيسية في مارس

وفقا للكشف الرسمي، تم الإبلاغ عن خسائر تزيد عن 13.5 مليون دولار من الانتهاكات الأمنية الرئيسية في مارس. كانت التهديدات الرئيسية تسربات المفتاح الخاص وثغرات العقد الذكي.

• استغل الهجاجون ثغرة في عقد Fusion v1 القديم، مما أدى إلى سرقة حوالي 5 ملايين دولار من USDC و wETH. تم سحب الأموال من حلول المُحللين، وليس مباشرة من محافظ المستخدمين النهائيين.
• منصة الرهن السيولة Zoth التي تقدم خدمات الرهن السيولة حدثت بها حادثة أمنية في مارس: في 6 مارس، أدى خطأ في حساب الضمان إلى خسارة تقدر بحوالي 285،000 دولار؛ في 21 مارس، اكتسب هاكر امتيازات المسؤول وقام بترقية العقد إلى نسخة خبيثة، سرق في حوالي 8.29 مليون دولار من USD0++، والتي تم تحويلها في نهاية المطاف إلى 4،223 ETH.

1inch

نظرة عامة على المشروع: 1inch هو منصة تبادل لامركزية (DEX) تستخدم خوارزميات ذكية لتحديد مسارات تداول مثلى عبر عدة منصات تبادل، مما يحسن كفاءة التداول واستخدام رأس المال. وفقًا لموقعه الرسمي، قامت 1inch بدمج أكثر من 3.2 مليون مصدر سيولة، وقامت بتيسير تداول تراكمي يزيد عن 596 مليار دولار، وخدمت أكثر من 21.7 مليون مستخدم من خلال أكثر من 134 مليون عملية تداول.

نظرة عامة على الحادث:

في 5 مارس، أدى الثغرة في عقد Fusion v1 القديم إلى فقدان ما يقرب من 5 ملايين دولار. صمم الهاجم مسار عملية احتيالية للاستفادة من العقد القديم وسحب الأموال - وتحديدا USDC و wETH - من حلول الموجه بدلاً من المستخدمين الفرديين. أظهرت التحقيقات بعد الحادث أن الثغرة كانت موجودة فقط في العقود الذكية القديمة. من خلال صياغة مسار عملية معين، استدعى الهاجم وظائف تحولت من خلالها الأموال من الموجه. النسخة الحالية من الاتفاق لا تحتوي على هذه الثغرة.

وفقًا لتحليل بعد الحادث من Decurity، دخل فريق 1inch في مفاوضات مع الهاجم. حاليًا، تم استعادة حوالي 90٪ من الأموال المسروقة، مع البقية التي تم الاحتفاظ بها من قبل الهاجم كمكافأة للعثور على الثغرة. تأثرت الهجمات بشكل رئيسي بحلول الإرث التي لم يتم تحديثها. لم يتأثر أصول المستخدمين المباشرة، ولم يتم اكتشاف أي تدفق كبير من محافظ المستخدمين. هذا الحادث أبرز الحاجة الملحة لإهمال وتحديث العقود القديمة في الوقت المناسب.

التوصيات بعد الحادثة:

• تعزيز إدارة العقود التقليدية وضوابط الوصول: يجب إيقاف تشغيل العقود الذكية المهجورة (مثل Fusion v1) بالكامل، مع تجميد الأذونات أو نقلها بالقوة، للقضاء على الأسطح الهجومية المحتملة المتبقية للتوافق مع الإصدارات السابقة. يجب أيضا تحسين منطق التحكم في الوصول عن طريق التحقق من مصادر الاتصال وفرض فحوص صارمة للأذونات لمنع الاستغلال من خلال مسارات الاتصال غير المقصودة.
• تحسين عمليات التدقيق والتغطية: يجب تضمين الوحدات الطرفية المتعلقة بالعقود الأساسية (على سبيل المثال، حلال المشكلات) في نطاقات التدقيق الرسمية، مع تحديد حدود المخاطر بوضوح لكل مكون. يجب أن تثير أي إعادة هيكلة هيكلية، أو ترقيات لغات، أو تغييرات في الواجهة عمليات إعادة تدقيق، ويجب الاحتفاظ بتقييمات المخاطر التاريخية للإصدارات التقليدية.
• بناء أنظمة رصد واستجابة طوارئ في الوقت الحقيقي: يجب نشر أنظمة رصد أمان على السلسلة الرئيسية لاكتشاف سلوكيات المعاملات الغير طبيعية في الوقت الفعلي. يجب وضع آلية استجابة سريعة - مثل تجميد الإذن، وقنوات الاتصال الطارئة، واستراتيجيات العودة - لتقليل نافذة الوقت المتاحة لفقدان الأصول.
• إنشاء آليات حوافز لتشجيع التعاون الأخلاقي: يمكن لبرامج مكافأة الثغرات واتفاقيات الكشف المسؤول مع قراصنة الهواتف الرمادية تحفيز الإبلاغ الأخلاقي عن الثغرات، مما يسهم في تعزيز الموقف الأمني العام للمشروع.

Zoth

نظرة عامة على المشروع: زوث هو منصة إيثريوم لإعادة إيداع RWA التي تربط بين التمويل التقليدي ونظام DeFi من خلال تجزئة الأصول. يتيح للمستخدمين إيداع الأصول الحقيقية المتوافقة لكسب عوائد على السلسلة والمشاركة في آليات إعادة الإيداع لتحقيق كفاءة رأس المال الأكبر. وفقًا لموقعه الرسمي، يبلغ إجمالي القيمة المقفلة لـ Zoth (TVL) 35.4 مليون دولار وأكثر من 250 مليون دولار من الأصول المسجلة، مما يدل على وجوده القوي عند تقاطع الأنظمة المالية على السلسلة والتقليدية. تستمر المنصة في توسيع نظامها البيئي لإعادة الإيداع من خلال شراكات مع مُصدري RWA وبروتوكولات السيولة.

نظرة عامة على الحادث:

في مارس 2025، تعرضت زوث لحادثين كبيرين في مجال الأمان، مما أدى إلى خسائر إجمالية تقدر بحوالي 8.575 مليون دولار.

• 6 مارس: خلل في تصميم منطق الضمان في زوث سمح للمهاجمين باستغلال حسابات غير دقيقة في عملية تقييم الضمان في العقد. تجاوز المهاجم فحوص التحقق من الضمان عن طريق استدعاء وظائف معينة مرارًا وتكرارًا واستخراج ما يقرب من 285،000 دولار في الأموال الزائدة. كشف هذا الحادث عن نقاط ضعف في كيفية تعامل العقد مع تقييم الأصول وحدود نسب الضمان وظروف الحدود.
• 21 مارس: تم استهداف زوث مرة أخرى في هجوم متنسق بشكل كبير ومدبر. بعد عدة محاولات فاشلة، نجح المهاجم في السيطرة على حساب الناشر واستخدمه لترقية البروتوكول عبر عقد وكيل إلى إصدار خبيث. تسببت هذه الترقية في منح المهاجم السيطرة الكاملة على منطق العقد، مما سمح لهم بسحب الخزائن المعزولة التي تحتوي على رموز USD0++ المرتبطة بالضمان. سرق المهاجم ما يقرب من 845 مليون دولار USD0++، ثم تبادلها بسرعة بـ DAI وحولها إلى 4,223 ETH - ما يعادل حوالي 8.29 مليون دولار.

بعد الحوادث، قام فريق زوث على الفور بتنشيط بروتوكول الاستجابة للطوارئ الخاص به وشراكة مع شركة Crystal Blockchain BV لأمن سلسلة الكتل لإجراء تحقيق. كما عملوا عن كثب مع شركاء إصدار الأصول لتأمين حوالي 73% من إجمالي قيمة الأصول على المنصة. في بيان عام، أعلنت زوث برنامج جوائز بقيمة 500،000 دولار لتحفيز تقديم المعلومات التي يمكن أن تساعد في استرداد الأموال المسروقة.

اعتبارًا من 31 مارس، تظل الأصول المسروقة غير متحركة إلى حد كبير ومركزة في عنواني محفظتين (تحتوي على مجموع 4،223 ETH). فريق Gate قام بنشر أنظمة مراقبة سلسلة الكتل والتعاون مع شركات تحليل سلسلة الكتل العالمية ومنصات Web2 ووكالات إنفاذ القانون العالمية لتتبع حركات الهاجم. وقد التزم زوث بإصدار تقرير كامل بعد تحليل الحادث وخطة لاستعادة وإعادة بناء بمجرد اكتمال التحقيق.

توصيات بعد الحادث:

• تعزيز امتياز النواة وترقية الإدارة: تم تصدير هذا الحادث من خلال التخلي عن مفتاح النشر الخاص بالمطور، مما سمح بترقية عقد خبيثة - مما كشف عن نقاط الضعف الحرجة في التحكم في الامتياز وعملية الترقية. في المستقبل، يُوصى باعتماد محافظ متعددة التوقيع، وتنفيذ أذونات وصول متدرجة، وإنشاء آليات قائمة بيضاء للترقية، وفرض إجراءات حوكمة أو تدقيق أمان على السلسلة لضمان سلامة الترقية.
• تنفيذ رصد الوقت الحقيقي وضوابط المخاطر التلقائية: أظهر تدفق الأموال السريع نقصًا في الكشف في الوقت المناسب. يجب أن تنشر المنصة رصد المعاملات في الوقت الحقيقي وأنظمة تنبيه الهجوم وآليات تجميد الأصول على السلسلة لتقليل نافذة الاستجابة في هجمات المستقبل.
• تحسين حفظ الأصول ومنطق التحكم في الوصول: يوحي السحب الناجح من الخزائن المعزولة بعدم كفاية التحكم في الوصول داخل آلية الحفظ. لضمان أن تتم حماية عقود الأصول الرئيسية بواسطة عدة طبقات من ضوابط المخاطر، يجب أن يتم إدخال قيود الاستدعاء الديناميكية وكشف السلوك غير الطبيعي وتحقق مسار العملية.
• تؤسس استجابة الطوارئ والتعاون بين الفِرَق: قام الفريق بالرد بسرعة من خلال التنسيق مع شركات الأمن وإدارة إنفاذ القانون، وإصدار تحديثات حول التقدم، وإطلاق برنامج المكافآت - مما استقر بشكل فعال الوضع. بالنسبة للحوادث المستقبلية، يجب اعتماد بروتوكول رد الطوارئ الموحد، يغطي خمس مراحل رئيسية: المراقبة، التنبيه، التجميد، التحقيق، والتواصل، مع التزام بالشفافية المستمرة.

ملخص

في مارس 2025، تعرضت مشاريع DeFi المتعددة لانتهاكات أمان، مما أدى إلى خسائر تصل إلى عشرات الملايين من الدولارات. حيث أبرزت حادثتان ملحوظتان - استغلال ثغرة العقد الذكي على 1inch وهجوم تصاعدي على Zoth - مجددًا المخاطر النظامية مثل التعرض للعقود القديمة، وامتيازات الإدارة المركزية، وآليات الترقية الخاطئة، وأطر استجابة المخاطر الغير كافية. بينما تمكنت 1inch من استعادة معظم الأموال المسروقة من خلال التفاوض السريع مع المهاجم، وتصرفت Zoth بسرعة لبدء التعاون بين الفرق وحماية 73% من أصولها، فإن كلتا الحالتين كشفتا عن مجالات للتحسين في هياكل الحوكمة، ومراقبة الوصول، والتدقيق الأمني، والرصد في الوقت الحقيقي عبر العديد من بروتوكولات DeFi.

تؤكد هذه الحوادث أهمية تنفيذ أنظمة مراقبة على السلسلة، وآليات تجميد الأصول التلقائية، وهياكل تحفيز لكشف الرمادي. ليحافظ مشاريع الديفي على ثقة المستخدمين على المدى الطويل، يجب أن تُعامل الأمان كعنصر تصميم أساسي من البداية - وليس كتفكير متأخر. تذكر Gate.io المستخدمين بضرورة البقاء على اطلاع على تطورات الأمان وحماية أصولهم الشخصية بنشاط.


المراجع:

1. Slowmist،https://hacked.slowmist.io/
2. 1inch،https://1inch.io/
3. X,https://x.com/SlowMist_Team/status/1897958914114879656
4. Decurity,https://blog.decurity.io/yul-calldata-corruption-1inch-postmortem-a7ea7a53bfd9
5. X,https://x.com/PeckShieldAlert/status/1906894141193376021
6. Zoth,https://zoth.io/
7. X,https://x.com/zothdotio/status/1906343855181701342
8. X,https://x.com/CyversAlerts/status/1903021017460600885
9. X,https://x.com/PeckShieldAlert/status/1903040662829768994

بوابة البحث
بوابة البحث هي منصة بحث شاملة حول تكنولوجيا البلوكشين والعملات المشفرة تقدم محتوى عميقًا يشمل التحليل الفني والرؤى حول المواضيع الساخنة واستعراضات السوق والأبحاث الصناعية وتوقعات الاتجاهات وتحليلات السياسات الاقتصادية.

انقرهنالزيارة الآن

تنصل
الاستثمار في سوق العملات المشفرة ينطوي على مخاطر كبيرة، ويُوصى بأن يُجري المستخدمون أبحاثًا مستقلة ويفهموا تمامًا طبيعة الأصول والمنتجات التي يقومون بشرائها قبل اتخاذ أي قرار استثماري. Gate.io ليست مسؤولة عن أي خسائر أو أضرار ناتجة عن مثل هذه القرارات الاستثمارية.