بعد اكتشاف ثغرة استغلها مخترق لمدة تقارب شهرًا كاملًا لسرقة ما يقرب من 40% من رسوم التداول، يعود توكن Prism من جديد عبر عقد ذكي جديد على شبكة إيثريوم. التوكن يمنح حامليه حصة من رسوم التداول لمجرد الاحتفاظ به.
ماذا حدث للتوكن القديم؟
انهار سعر توكن PRISM الأصلي، الذي تخلت عنه المشروع الآن، بنسبة 91% خلال 24 ساعة حتى الساعة 2:13 مساءً بتوقيت شرق الولايات المتحدة يوم الثلاثاء، مقارنة بارتفاع عملة البيتكوين بنسبة 4%، وفقًا لبيانات CoinGecko. كان سعر التوكن حوالي 16 دولارًا، بعد أن كان قد وصل إلى 1,145 دولارًا في 3 يونيو، وتبلغ قيمته السوقية الآن حوالي 82,000 دولار مع حجم تداول يومي يبلغ 288,000 دولار.
كيف تمت سرقة الرسوم؟
أوضح فريق Prism في منشور على منصة X يوم الثلاثاء أن المخترق استخدم عقودًا مساعدة مصممة خصيصًا لإنشاء 2,500 مركز جديد لكسب الرسوم، متجاوزًا الحد الأقصى البالغ 5,000 مركز الذي يسمح به تصميم التوكن. وقد كانت هذه المراكز الإضافية تحول ما يقرب من 40% من رسوم التداول بعيدًا عن الحاملين العاديين.
اختبار مبكر لأداة DeFi جديدة
تعتبر هذه الحادثة بمثابة اختبار ضغط مبكر لأحد اللبنات الأساسية الجديدة في التمويل اللامركزي (DeFi). تم بناء Prism كـ “خطاف” (hook) ضمن إصدار Uniswap v4، وهو كود يسمح للتوكن بأن يعمل أيضًا كمجمع سيولة، بحيث أن مجرد الاحتفاظ به يمنحك حصة من رسوم التداول دون الحاجة إلى التجميد اليدوي (staking). الهدف هو جعل حاملي التوكن هم نفسهم مزودي السيولة. لكن هذه الثغرة أظهرت كيف يمكن لثغرة واحدة في هذا الكود أن تعيد توجيه المكافآت التي يعتمد عليها النموذج بأكمله.
كتب فريق Prism في المنشور: “لم تكن هذه سرقة لأصل أساسي، بل كانت إفسادًا لطبقة الرسوم – وهي الشيء الذي جعل Prism ذا قيمة للاحتفاظ به”.
سبب الثغرة: فحص مفقود
بحسب الإفصاح، كان سبب الثغرة هو عدم وجود فحص واحد في العقد الذكي الأصلي. في العقد القديم، كان يمكن نقل مركز كسب الرسوم إلى عناوين لم تكن مخصصة أبدًا لاحتواء مثل هذا المركز، بما في ذلك مدير مجمع السيولة (pool manager) والعقد الذكي للتوكن نفسه. هذه العناوين تقع خارج المحاسبة الداخلية للتوكن، لذا فإن المركز الموضوع هناك استمر في كسب الرسوم مع أنه لا يعود لأحد. وقد أنشأ هذا “حصة وهمية” يمكن سحب حصتها من رصيد المجمع، وفقًا للفريق.
أوضح الفريق أن تصحيح الثغرة في العقد القديم لم يكن ممكنًا لأن المراكز الوهمية موجودة بالفعل داخل المجمع ولا يمكن إزالتها، لذلك قاموا ببناء عقد جديد بدلاً من ذلك.
ما الجديد في العقد الجديد؟
قال فريق Prism أن العقد الجديد يغلق هذا المسار. الآن يمكن للمركز أن يعود فقط لمحفظة يدعمها رصيد التوكن الخاص بها، وأي محاولة لنقل مركز إلى مدير المجمع أو إلى العقد نفسه ستفشل فورًا. وأكد الفريق أن عدد مراكز كسب الرسوم لم يعد يتجاوز 5,000 مركز الذي يضمنه التصميم، وأن الرسوم ستصل فقط إلى الحاملين الحقيقيين.
من يقف وراء إعادة الإطلاق؟
كتب الفريق الذي يعيد إطلاق Prism أنهم لم يكونوا هم من ابتكروا المشروع، بل “وجدوا هذا المشروع مثل أي شخص آخر” واشتروا التوكن من السوق المفتوح بأموالهم الخاصة. تم التوقيع على الإفصاح من قبل حساب وهمي (pseudonymous) هو @0xsolazy. لم يوضح الفريق كيف سينتقل حاملو التوكن القديم إلى العقد الجديد.
تأثير محدود رغم صغر الحجم
على الرغم من صغر حجمه، استطاع Prism جذب عدد من المشاريع التي تبني على آلية الرسوم الخاصة به. مشروع Spectrum، وهو أداة لإطلاق سلال من التوكنات، يستخدم Prism وقد نشر سلالاً عبر شبكات إيثريوم، Base، وسلسلة Robinhood، وفقًا لموقع Spectrum. قام Prism بالترويج للعديد من هذه السلال، بما في ذلك واحدة تضم توكنات Sky، Aave، Maple، Curve، Spark، Ondo، وEthena.
كان الضرر محدودًا، لأن Prism لم يحقق انتشارًا واسعًا بعد. قال الفريق أن الخسائر المطلقة كانت صغيرة فقط لأن حجم التداول كان منخفضًا، محذرًا من أن التسريب كان سيزداد مع نمو التوكن لو كان قد حقق نجاحًا أكبر. ولم ينشر Prism أي مراجعة مستقلة للثغرة أو للإصلاح.
الأسئلة الشائعة (FAQ)
- س: ماذا كان الهدف من توكن Prism الأصلي؟
ج: كان توكن Prism الأول يهدف لمنح حامليه حصة من رسوم التداول تلقائيًا بمجرد الاحتفاظ به، دون الحاجة إلى تجميده يدويًا (staking)، مما جعل الحاملين هم أنفسهم مزودي السيولة. - س: كيف تمكن المخترق من سرقة الرسوم؟
ج: استغل المخترق ثغرة في العقد الذكي القديم تسمح بإنشاء مراكز وهمية لكسب الرسوم بعدد يتجاوز الحد المسموح به (5,000 مركز). قام بإنشاء 2,500 مركز إضافي، أدت إلى تحويل ما يقرب من 40% من رسوم التداول بعيدًا عن الحاملين الحقيقيين. - س: ماذا تغير في العقد الجديد؟
ج: قام فريق Prism بإطلاق عقد ذكي جديد يمنع إنشاء هذه المراكز الوهمية. الآن، يمكن للمركز أن يعود فقط لمحفظة يملك رصيد كافٍ من التوكن، ولا يمكن نقله إلى عناوين غير مخصصة مثل مدير المجمع أو العقد الذكي نفسه، مما يضمن وصول الرسوم للحاملين الفعليين فقط.
