تحقيق ينسب إلى THORChain تحويل أموال مسروقة بقيمة 6.3 مليارات دولار
الحقائق الرئيسية
قال المحقق على السلسلة ZachXBT إن أموالاً مسروقة بنحو 6.3 مليارات دولار من Binance ونحو 388 مليون دولار من Bitget انتقلت عبر THORChain واجتمعت في العنوان نفسه، في مسار قد يشير إلى مهاجم واحد. ونقل موقع RootData هذه الأرقام عن ZachXBT في 30 أكتوبر، فيما لم يتسن التحقق مباشرة من منشوره الأصلي. وتعيد هذه التدفقات إلى الواجهة قدرة بروتوكولات المبادلة بين الشبكات على نقل الأصول، والحدود التي تضعها بنيتها أمام طلبات حظر عناوين بعينها. وبالتوازي، أعلنت Binance أن الأثر الإجمالي المقدر للحادث بلغ نحو 6.3 مليارات دولار. وقالت المنصة إنها عملت مع شركاء في قطاع البلوك تشين على تجميد أصول متأثرة بقيمة تقارب 3 مليارات دولار على السلسلة حتى 30 أكتوبر.
وبحسب تحليل Bitquery، سُحبت الأموال من 17 محفظة ساخنة تابعة لـBinance عبر 9 شبكات بين الساعة 20:04 والساعة 23:56 بالتوقيت العالمي في 29 أكتوبر. وقالت Binance إن تحقيقها الأولي يرجح اختراق حاسوب محمول لمهندس في DevOps، ما أتاح الوصول إلى حاوية خدمة وإرسال معاملات سحب غير مصرح بها. وأضافت أنها لم تجد دليلاً على تسرب مفتاح خاص لمحفظة. وقالت المنصة إنها ستغطي الخسائر من صندوق SAFU وأموال الشركة، وإن أموال المستخدمين آمنة. وتضع هذه التفاصيل رواية Binance للحادث في سياق عمليات السحب التي وثقها تحليل Bitquery، من دون أن تغير تقدير المنصة للأثر الإجمالي المعلن.
وذكر Bitquery أن 2.7 مليار دولار جُمّدت أو أُنقذت، بينما حُوّل 729 مليون دولار من العملات المستقرة إلى ETH وTRX قبل وصول عمليات التجميد. ولا ينسب هذا التحليل كل تلك التحويلات إلى THORChain، كما لا يحدد أن تجنب التجميد كان الدافع المؤكد وراءها. وبحسب Bitquery، ظل المهاجم يحتفظ بنحو 3.2 مليارات دولار عند الساعة 06:43 بالتوقيت العالمي في 30 أكتوبر، معظمها من ETH وBTC. وقالت Binance إنها جمّدت نحو 3 مليارات دولار من الأصول على السلسلة بالتعاون مع شركاء القطاع. وتعكس الأرقام المعلنة مسارات متوازية للأموال: أصول جرى تجميدها أو إنقاذها، وأخرى حُولت قبل التجميد، ورصيد ظل في حوزة المهاجم عند التوقيت الذي أورده التحقيق.
وتعود خلفية الخلاف بشأن التعامل مع عناوين المهاجمين إلى اختراق Bitget في 24 سبتمبر، حين خسرت المنصة نحو 387.5 مليون دولار من بنية محافظها الساخنة، بحسب تقرير THORChain للربع الثالث. وقال التقرير إن جزءاً من الأموال المسروقة جرى تبديله عبر الشبكة في الأيام التالية. وفي 26 سبتمبر، طلبت الرئيسة التنفيذية لـBitget، غرايسي تشين، من THORChain رفض خدمة عناوين المهاجم، لكن الشبكة رفضت الطلب في اليوم نفسه. وقالت THORChain إنها لا تملك آلية لحظر مبادلة أو مرسل أو مستلم بعينه. ويضع ذلك البروتوكول أمام مطلب منصة متضررة بالحد من انتقال الأموال، مع بقاء قرارات الحظر الفردي خارج الآليات التي وصفها تقريره.
وقالت THORChain إن مشغلي العقد يستطيعون إيقاف سلسلة أو الشبكة عند وجود خطر على الملاءة، لكن الإيقاف يشمل جميع المستخدمين في الوقت نفسه. وذكر التقرير أن الشبكة توقفت يومين في أواخر أغسطس بعدما اختلفت العقد على حالتها، عازياً ذلك إلى عقود في طبقة تطبيق Rujira أعطت نتائج مختلفة بين العقد. وتوضح واقعة التوقف أن لدى المشغلين خياراً جماعياً لتعليق النشاط، بينما لا تتيح آلية لحظر عنوان منفرد وفق ما أعلنته الشبكة. وعلى صعيد الاستخدام، عالجت THORChain نحو 1.38 مليار دولار من التداولات بين 25 و29 سبتمبر، أي أكثر من نصف إجمالي حجمها في سبتمبر. وجاء ذلك بالتزامن مع مرور جزء من الأموال المسروقة من Bitget عبر الشبكة، وفق تقريرها الفصلي.
وعلى مستوى أداء الشبكة، قال تقرير الربع الثالث إن THORChain عالجت نحو 3.82 مليارات دولار من التداولات وجمعت نحو 5.77 ملايين دولار من الرسوم، وكان الرقمان يقاربان ضعف مستوييهما في الربع الثاني. وتضع هذه الأرقام نشاط سبتمبر ضمن ربع شهد ارتفاعاً في حجم التداول والرسوم، فيما أظهرت واقعة Bitget كيف ارتبط استخدام الشبكة بتدفقات أثارت اعتراض منصة متضررة. أما عملة RUNE، فأغلقت عند 0.619 دولار في 29 أكتوبر ثم عند 0.672 دولار في 30 أكتوبر، وفق بيانات EL7 اليومية. وفيما يتعلق بالخطوة التالية للشبكة، أشار تقريرها إلى أن إصدار v3.21 كان مخططاً لشهر أكتوبر لمعالجة تراجع مرتبط بعملية churn ومشكلات في طبقتي التطبيق والتوقيع.