اقتراض 19,762 إيثيريوم مغلفاً من Aave بقيمة 44.6 مليون دولار بعد اختراق Binance
الحقائق الرئيسية
اقترضت محفظة ضمن مجموعة مرتبطة بالمهاجم 19,762 وحدة من الإيثيريوم المغلف، بقيمة قاربت 44.6 مليون دولار وقت العملية، بعد إيداع 60 مليون دولار من عملة USDT ضماناً في سوق Aave V3 على شبكة إيثيريوم. جرت العمليتان بين 20:58 و21:01 بالتوقيت العالمي في 29 أكتوبر، وفق تحليل LlamaRisk المنشور على منتدى حوكمة Aave. وتظهر هذه المعاملة استخدام أموال مرتبطة بالاختراق للاقتراض عبر البروتوكول، بينما قالت Aave إن المركز مفرط الضمان ولا يعرّض مورديها للخطر. وقدرت الشركة في 30 أكتوبر الضمان القائم بـ59.9 مليون دولار مقابل دين قدره 43.8 مليون دولار. ويظل المركز، بحسبها، خاضعاً للتصفية وفق الآليات المعتادة.
بدأت التحويلات التي ربطها تحليل LlamaRisk بالحادث عند 20:24 بالتوقيت العالمي في 29 أكتوبر، حين أرسلت محفظة ساخنة لـBinance على شبكة إيثيريوم نحو 63 من الأصول، إضافة إلى 167,464 إيثيريوم، إلى عنوان واحد في معاملة واحدة. وتلقى العنوان لاحقاً 28,006 إيثيريوم أخرى من محفظة ساخنة ثانية لـBinance. وقدرت Binance الأثر الإجمالي للحادث بنحو 6.3 مليارات دولار، وقالت إنها جمدت نحو 3 مليارات دولار من الأصول على السلسلة حتى بيانها الأولي. وأعلنت الشركة أنها ستغطي الخسائر من صندوق SAFU وأموالها. وهذه الأرقام تخص تقدير Binance للحادث الأوسع، فيما يمثل اقتراض Aave جزءاً من حركة الأموال المرتبطة بالمهاجم.
قالت Binance إن تحقيقها الأولي يرجح احتمال ارتباط الحادث بحاسوب محمول مخترق لمهندس في DevOps، مكّن المهاجم من دخول حاوية خدمة وإرسال معاملات سحب غير مصرح بها. وأضافت أنها لم تجد دليلاً على تسرب مفاتيح المحافظ الخاصة. وعلقت الشركة الإيداعات والسحوبات مؤقتاً أثناء استكمال الفحوص الأمنية، مع إشراك جهات إنفاذ القانون وشركاء استخبارات البلوكشين لتتبع الأموال ومحاولة استردادها. وقالت إن الإيداعات لم تتأثر، وإن السحوبات المعلقة كان متوقعاً استئنافها خلال يوم أو يومين، بحسب ما نقلته وكالة أسوشيتد برس في 30 أكتوبر. وأضافت Binance أنها ستنشر مراجعة تقنية بعد اكتمال التحقيق والتحقق من الوقائع.
ونسبت شركة TRM Labs الهجوم، بدرجة ثقة عالية، إلى وحدة TraderTraitor الكورية الشمالية، بينما قالت Binance إنها تعمل مع جهات إنفاذ القانون لتأكيد هوية المسؤولين. وذكرت أسوشيتد برس أن TRM قدرت ما نُقل من محافظ Binance بنحو 6.36 مليارات دولار عبر 10 سلاسل بلوكشين، وأن معظم التحويلات جرت خلال نحو 20 دقيقة. وتأتي الواقعة بعد اختراق منصة Bybit في فبراير 2025، الذي بلغت خسائره نحو 1.5 مليار دولار؛ وقال مكتب التحقيقات الفيدرالي حينها إن كوريا الشمالية ووحدة TraderTraitor مسؤولتان عنه. وتظل نسبة حادث Binance إلى المجموعة تقديراً من TRM، فيما لم تعلن Binance تأكيداً لهوية المهاجم. وتركز الشركة على استكمال التحقيق وتتبع الأصول بالتعاون مع الجهات المختصة.
رداً على حركة الأموال، جمدت Aave 175 احتياطياً في أسواق V3 عبر 16 شبكة، و117 احتياطياً في V4 عبر أربع شبكات، وفق بيانها في 30 أكتوبر. ونُفذت معاملات التجميد بين 21:42 و23:04 بالتوقيت العالمي في 29 أكتوبر. ويمنع الإجراء فتح مراكز إيداع أو اقتراض جديدة، لكنه يبقي السداد والسحب والتصفية متاحة، كما لا يسمح بإضافة ضمانات إلى الاحتياطيات المجمدة. وأبقت Aave سوق Horizon للأصول الواقعية مفتوحة، وقالت إنها لم توقف أي سوق. واختارت تجميد الأسواق لأن قصر الإجراء على احتياطيات الرموز المسروقة كان سيترك للمهاجم مسارات أخرى؛ أما خفض الحدود فكان سيتطلب تصويتاً للحوكمة ونحو خمسة أيام لاستعادتها.
وفي قياس أوردته Aave حتى 00:55 بالتوقيت العالمي في 30 أكتوبر، تراجع كل من الإيثيريوم والبيتكوين نحو 4% منذ سحب الأموال. وانخفضت عملتا الحوكمة AAVE وLINK نحو 9% لكل منهما، بينما تراجعت UNI نحو 8% وARB نحو 6% خلال الفترة نفسها، وفق القياس ذاته. كما استبدل حاملو GHO نحو 4.6 ملايين وحدة مقابل USDT بين 21:49 و22:07 بالتوقيت العالمي في 29 أكتوبر. وتراجع سعر GHO من نحو 0.998 دولار قبل السحب إلى 0.997 دولار، بحسب LlamaRisk. وربطت Aave هذه التحركات بفترة الحادث، ولم تقدمها بوصفها أسعار إغلاق أو أداءً يومياً مستقلاً.
وقالت Aave إن الأسواق ستظل مجمدة إلى أن تتوقف أموال المهاجم عن الحركة وتتضح إجراءات الاحتواء لدى Binance. وبعد ذلك ستعمل مع Aave Labs ومقدمي الخدمات الآخرين على فك تجميد مرحلي، مع تقييم ترتيب إعادة فتح الاحتياطيات ومراقبة الاستخدام، من دون تحديد موعد أو جدول زمني. وحذرت من أن سحب الموردين الكبار لأموالهم أثناء استمرار التجميد قد يرفع الاستخدام وأسعار الاقتراض، فيما يخفض السداد وحده هذين المؤشرين خلال الفترة نفسها. وتظل عمليات السداد والسحب والتصفية متاحة وفق قواعد التجميد المعلنة. أما Binance فقالت إن استئناف السحوبات سيُعلن رسمياً بعد الفحوص الأمنية.