خسر متداول في Venus Protocol مبلغ 30 مليون دولار بسبب خطأ كبير، تؤكد ذلك Cyvers

أدى حادث دراماتيكي على Venus Protocol إلى خسارة أصول بقيمة تقارب 30 مليون دولار.

بينما اشتبه الكثيرون في البداية في حدوث اختراق، أكد محللو أمن البلوكشين في Cyvers لـ BeInCrypto أن الخطأ كان من جانب المستخدم، وليس ثغرة في البروتوكول نفسه.

عملية تصيد احتيالي تكلف مستخدم Venus Protocol 30 مليون دولار، وليست اختراقاً للبروتوكول

كانت PeckShield أول من أشار إلى النشاط المشبوه، مشيرة إلى أن أحد مستخدمي Venus Protocol فقد حوالي 27 مليون دولار بعد أن وقع ضحية لعملية تصيد احتيالي.

تم استنزاف مستخدم @VenusProtocol بحوالي 27 مليون دولار من العملات الرقمية بعد أن وقع في فخ عملية تصيد احتيالي. وافق الضحية على معاملة خبيثة، مما منح الموافقة على الرموز لعنوان المهاجم (0x7fd8…202a) لنقل الأصول.

— PeckShieldAlert September 2, 2025

حصل المهاجم على الوصول من خلال خداع الضحية للموافقة على معاملة خبيثة، والتي منحت صلاحيات غير محدودة لنقل الأصول من المحفظة.

شملت الرموز المسروقة حوالي 19.8 مليون دولار من vUSDT، و7.15 مليون دولار من vUSDC، و146,000 دولار من vXRP، و22,000 دولار من vETH، وحتى 285 BTCB، وهو ما وصفه المراقبون بأنه "ثروة أجيال".

كما علق محلل DeFi Ignas، مشيراً إلى أن Venus نفسها "عملت كما هو متوقع" وأن الحادثة نتجت عن استغلال المهاجم للموافقات المسبقة من المحفظة المخترقة.

“موافقة سيئة واحدة وفجأة—انتهى الأمر. هذه هي الجهة المظلمة من DeFi: الموافقات المفتوحة قوية، لكنها أيضاً قاتلة إذا لم تكن حذراً”، كتب المحلل Crypto Jargon.

تكررت هذه المشاعر في جميع أنحاء المجتمع مع عودة التحذيرات للظهور. تشمل أفضل الممارسات إلغاء الموافقات بانتظام، وتجنب الروابط غير الموثوقة، واستخدام محافظ الأجهزة بدلاً من الاعتماد فقط على المحافظ الساخنة.

أكدت Cyvers ذلك في بيان لـ BeInCrypto:

“نعم، الخطأ من جانب المستخدم وليس على مستوى البروتوكول”، أوضحت Cyvers.

لا تزال الأموال المسروقة غير مستبدلة، ومحتجزة في عنوان عقد المهاجم.

“تُظهر هذه الحادثة أن حتى مستخدمي DeFi ذوي الخبرة يظلون عرضة لخطط التصيد الاحتيالي المتطورة. من خلال خداع الضحية لمنح الموافقات على الرموز، تمكن المهاجم من استنزاف 27 مليون دولار من Venus Protocol في معاملة واحدة”، قال Hakan Unal رئيس عمليات الأمن في Cyvers.

وفي هذا السياق، حذر Unal المستخدمين من النقر أو الموافقة على أي شيء في مواقع غير مألوفة، حيث غالباً ما ينتحل المحتالون مواقع رسمية ويجرون تغييرات طفيفة على النطاق.

وعند سؤاله عن آمال الاسترداد، أشار خبير الأمن إلى أنه رغم أن مكافآت اكتشاف الثغرات خيار متاح، إلا أن خدمات الخلط تجعل استرداد الأصول شبه مستحيل.

“بينما يمكن للمستخدمين تقديم مكافأة اكتشاف ثغرة على السلسلة، في معظم الحالات، ينتهي الأمر بالأموال المسروقة في خدمات الخلط”، أضاف Unal.

استغلال Bunni DEX يستنزف 8.4 مليون دولار

في حادث منفصل، تعرضت Bunni، وهي منصة تداول لامركزية (DEX) مبنية على Uniswap v4، لاستغلال أدى إلى استنزاف أكثر من 8.4 مليون دولار عبر Ethereum وUniChain.

وعلى عكس حالة Venus، كان هذا ثغرة حقيقية على مستوى البروتوكول.

أعلنت Bunni أنها أوقفت جميع وظائف العقود الذكية عبر الشبكات بينما يحقق فريقها في الأمر:

“تأثرت تطبيق Bunni باستغلال أمني. كإجراء احترازي، قمنا بإيقاف جميع وظائف العقود الذكية على جميع الشبكات”، أكدت الشبكة.

وفقاً لـ GoPlus Security، نشأ الاستغلال من نقاط ضعف في وظيفة توزيع السيولة المخصصة (LDF) في Bunni.

شرح Victor Tran، مطور البلوكشين، كيف تلاعب المهاجم بالمنحنى من خلال صفقات ذات أحجام محسوبة بعناية.

1. Bunni هو hook سيولة يعمل فوق UniswapV4. بدلاً من استخدام نظام UniswapV4 العادي، لدى Bunni منحنى سيولة خاص بها يسمى LDF (وظيفة توزيع السيولة). 2. بعد كل صفقة، يتحقق Bunni مما إذا كان منحنى LDF الخاص به قد تغير منذ الصفقة الأخيرة. إذا حدث ذلك، ...

— Victor Tran September 2, 2025

من خلال تكرار التسبب في أخطاء حسابية أثناء إعادة توازن السيولة، تمكن المستغل من سحب رموز أكثر مما ينبغي، مستنزفاً المجمعات قبل إنهاء الهجوم بخطوتين من التبديل.

أكد Tran أن hook الخاص بـ Bunni قد تم اختراقه، بينما ظل Uniswap v4 نفسه غير متأثر.

تسلط الحادثتان الضوء على التوازن الهش بين الابتكار والأمان في التمويل اللامركزي (DeFi).

تُبرز خسارة Venus Protocol العنصر البشري، حيث يمكن لنقرة واحدة أن تمحو ثروات. في حين يكشف استغلال Bunni كيف يمكن أن تعرض عيوب الدقة في الآليات الجديدة السيولة للخطر.

في سوق تتعرض فيه مليارات الدولارات للخطر، يمكن أن يكون خطأ واحد، سواء كان بشرياً أو تقنياً، مدمراً.

لذا، مع توسع قطاع DeFi، ستظل توعية المستخدمين ودقة البروتوكولات أموراً حاسمة.