استغل مهاجم ثغرة في عقد “Rain” القديم على شبكة سولانا يوم 28 أغسطس، وتمكن من سحب ما يقارب 1.1 مليون دولار من برامج بطاقات العملات المستقرة، وفقًا لشركة الأمن السيبراني “بلوكيد”.
كانت شركتا “أفيتشي” و”تريا” من بين المؤسسات المصرفية الرقمية المتضررة. وأعلنت الشركتان عن خسائر مجمعة تتجاوز 932,800 دولار شملت 2,321 مستخدمًا. وأشارت “بلوكيد” إلى أن برامج أخرى مدعومة من “Rain” كانت معرضة للخطر أيضًا، مما رفع إجمالي الخسائر إلى حوالي 1.1 مليون دولار.
لم يتمكن المهاجم من الوصول إلى محافظ المستخدمين الشخصية أو مفاتيحهم الخاصة. بل استهدف العقد الجانبي الذي يحتفظ بالعملات المستقرة التي أودعها المستخدمون لتمويل أرصدة بطاقاتهم.
قالت “Rain” إن أنظمة المراقبة لديها اكتشفت ثغرة تؤثر على “عدد صغير من البرامج” التي تستخدم نسخة قديمة من عقد بطاقاتها على سولانا. وأكدت الشركة أنها قامت بترقية جميع البرامج التي لا تزال تعمل بالنسخة المتأثرة.
تضيف هذه الحادثة إلى المخاوف الأوسع حول الثغرات في العقود والعمليات التشغيلية. فقد تسببت الاختراقات الأمنية في قطاع العملات الرقمية في خسائر تقدر بنحو 1.1 مليار دولار خلال النصف الأول من عام 2026، وفقًا لبحث نشرته “بلوكيد”.
ثغرة عقد Rain كشفت هشاشة البنية التحتية المشتركة للبطاقات
توفر “Rain” بنية تحتية تتيح لشركات العملات الرقمية إصدار بطاقات ممولة بالعملات المستقرة. عندما يقوم المستخدم بتمويل بطاقته، تنتقل الأموال المودعة إلى حسابات ضمان تُدار عبر عقود على السلسلة.
هذه الأرصدة منفصلة عن الأصول الموجودة في المحافظ الشخصية للمستخدمين. وبمجرد دخول الأموال إلى عقد ضمان البطاقة، يصبح أمنها معتمدًا على كود مزود البنية التحتية وصلاحيات التحكم الخاصة به.
حددت “بلوكيد” أربعة نشرات تحتوي على كود بنفس بصمة التشغيل (opcode hash) مثل العقد المعرض للخطر. وأكدت أن المهاجم تمكن من سحب الأموال من نشرتين على الأقل. أما النشرتان الأخريان فكانتا تحملان الثغرة نفسها لكن لم يتم تأكيد أي خسائر منهما.
أكدت “Rain” أن العقد القديم هو سبب الحادثة، لكنها لم تنشر تقريرًا فنيًا كاملًا يحدد كل النشرات المتضررة أو يشرح سبب استمرار بعض البرامج في استخدام النسخة القديمة.
يشبه هذا الوضع حوادث أخرى بقيت فيها بنية تحتية قديمة أو معرضة للاختراق بشكل متكرر نشطة. في تغطية ذات صلة، استغل المهاجمون نفس عقد جسر “فيروس” مرتين خلال شهرين، مما أثار أسئلة مماثلة حول ترقية النشرات المشتركة.
حادثة “Rain” لم تمثل اختراقًا لشبكة سولانا نفسها. فسلسلة الكتل تابعت معالجة المعاملات بشكل طبيعي بينما كان المهاجم يستغل كود تطبيق يعمل على الشبكة.
إعادة استخدام التوقيع تجاوزت ضوابط السحب
كان عقد “Rain” القديم يتطلب تفويضين مستقلين قبل السماح ببعض الإجراءات على الحسابات، مستخدمًا تعليمات التحقق من Ed25519 في سولانا لتأكيد التوقيعات المطلوبة.
وفقًا لتحليل “بلوكيد”، تلاعب المهاجم بتعليمات التحقق الثانية. إذ كانت إزاحات توقيعها ومفتاحها العام ورسالتها تشير إلى المعلومات الموجودة في التعليمات الأولى.
وبالتالي، قبل العقد المعرض للخطر توقيعًا واحدًا يتحكم به المهاجم كموافقتين مستقلتين، مما سمح له بتلبية متطلب التفويض دون إذن من أصحاب حسابات الضمان.
بعد تجاوز فحص التوقيع، استخدم المهاجم تعليمة AddCollateralAdmin لمنح نفسه صلاحيات إدارية على حسابات فردية، ثم استدعى WithdrawCollateralAsset لنقل عملات USDC وUSDT من تلك الحسابات.
سجلت “بلوكيد” 2,945 إضافة صلاحيات إدارية و5,288 عملية سحب، وحددت 8,233 معاملة اختراق أساسية على مدى حوالي ساعتين و29 دقيقة.
تمت العملية بوتيرة آلية، إذ قال “بلوكيد” إن أول عمليتي سحب ناجحتين حدثتا بفارق ثلاث ثوانٍ فقط، مما يشير إلى أن المهاجم أعد نظامًا لاستهداف حسابات متعددة مسبقًا.
لم يأذن المستخدمون بالمعاملات الضارة، فالاختراق حدث على مستوى العقد، مما يعني أن الحمايات ضد التصيد الاحتيالي أو توقيعات المحافظ الخبيثة لم تكن لتمنع عمليات السحب هذه.
كشفت ثغرة مختلفة على مستوى التطبيق مؤخرًا عن بروتوكول آخر عندما أدت ضوابط ضمان معيبة إلى اختراق DeFi بقيمة 75 مليون دولار. وفي الحالتين، استمرت الشبكات الأساسية في العمل بشكل طبيعي بينما سمح منطق التطبيق بنشاط غير مصرح به.
المهاجم نقل الأموال عبر جسر “دي بريدج”
تجمعت عملات USDC وUSDT المسحوبة في محفظة واحدة على سولانا تم تحديدها بالعنوان FVNFzqAny8spWdPmYw6RQ9TkYa29ueFFiqCFD1gQnCEj.
قام المهاجم بتبادل العملات المستقرة مقابل عملة SOL عبر منصات التداول اللامركزية، ثم تتبعت “بلوكيد” الأموال من سولانا إلى إيثيريوم عبر بروتوكول الجسر العابر للسلاسل “دي بريدج”.
دخل ما يقارب 455.9 إيثيريوم إلى خدمة “تورنادو كاش” لخلط العملات بين الساعة 19:20 و19:49 بالتوقيت العالمي، وفقًا لـ”بلوكيد”. تقوم هذه الخدمة بخلط الودائع وتسمح بعمليات سحب إلى عناوين غير مرتبطة علنًا بالمحافظ المرسلة الأصلية.
لذلك أصبح تتبع الحركات اللاحقة أكثر صعوبة عبر سجلات سلسلة الكتل العامة، وأكدت “بلوكيد” أن الأموال المسروقة لم يتم استردادها بعد دخولها إلى “تورنادو كاش”.
أضاف استخدام البنية التحتية العابرة للسلاسل مرحلة أخرى إلى مسار غسيل الأموال. كما أن جسور العملات الرقمية أصبحت أهدافًا مباشرة، حيث استنزف اختراق تحويل مزيف 11.5 مليون دولار من جسر “فيروس” على إيثيريوم في وقت سابق من عام 2026.
ربطت “بلوكيد” عنوانين على إيثيريوم بالتمويل الأولي لنشاط مهاجم “Rain” على سولانا. ولم تحدد “Rain” أو سلطات إنفاذ القانون علنًا الأشخاص الذين يسيطرون على تلك العناوين.
تصريحات الشركة حول اكتشاف الهجوم وتتبع الأموال تمثل نتائجها الخاصة، و”بلوكيد” تقدم خدمات الأمن والمراقبة لشركات العملات الرقمية، بما في ذلك مصدري بطاقات العملات المستقرة.
“أفيتشي” و”تريا” تكشفان خسائر المستخدمين
أفادت “أفيتشي” أن المهاجم أزال 500,859.22 دولار من أرصدة بطاقات تخص 1,685 مستخدمًا، وأكدت الشركة أنها ردت لجميع المتضررين أموالهم كاملة وقدمت استردادًا نقديًا بنسبة 10% بعد الحادثة.
كشفت “تريا” عن خسائر تبلغ حوالي 431,945 دولار شملت 636 عميلًا، وقالت في تحديث رسمي إن كل عميل متضرر يتم تعويضه.
يمثل هذان الإفصاحان 932,804.22 دولار من الخسائر المقدرة، كما ذكرت “بلوكيد” أن “سولاير باي” كان من البرامج المتضررة، لكن لم يتوفر رقم مؤكد بشكل مستقل لخسائره.
يبدو أن الفرق بين خسائر “أفيتشي” و”تريا” المعلنة وتقدير “بلوكيد” البالغ 1.1 مليون دولار يشمل برامج أخرى مدعومة من “Rain”، ولم يتم نشر تفصيل كامل حتى الآن.
انخفضت عملة “أفيتشي” بنسبة 49% من أعلى مستوى يومي لها بعد تقارير الاختراق، ووصلت إلى أدنى مستوى عند 0.217 دولار قبل أن تتعافى جزئيًا. كما تراجعت عملة “تريا” بأكثر من 10% في مرحلة ما.
تلك التحركات السعرية جاءت بعد التقارير العامة عن الهجوم، على الرغم من أن ظروف السوق الأوسع قد تكون أثرت أيضًا على التداول.
“Rain” ترقي النشرات المتأثرة من العقد
قالت “Rain” إن جميع برامج البطاقات التي تستخدم العقد القديم تمت ترقيتها، وأكدت عدم رصد أي نشاط غير مصرح به إضافي بعد إتمام التغييرات.
كما أشارت إلى أن المستخدمين المتضررين سيتم تعويضهم بالكامل، لكنها لم تكشف ما إذا كانت ستعوض برامج البطاقات مباشرة أم أن مقدمي الخدمات الأفراد سيتحملون التكاليف.
لا تزال عدة أسئلة معلقة، فلم تنشر “Rain” السجل الكامل لإصدارات العقد المعرض للخطر، أو تاريخ إدخال الثغرة، أو سبب بقاء النشرات القديمة نشطة، كما لم تكشف عما إذا كان أي تدقيق قد حدد خلل التفويض قبل الهجوم، ولا يوجد أي تقرير عن استرداد الأموال المودعة في “تورنادو كاش”.
تعيد هذه الحلقة طرح أسئلة حول ما إذا كانت عمليات التدقيق الدورية توفر حماية كافية بعد دخول العقود إلى مرحلة الإنتاج. ووجدت أبحاث صناعية حديثة أن المؤسسات تريد بشكل متزايد مراقبة مستمرة إلى جانب عمليات التدقيق الأمني التقليدية، خاصة للعقود التي تحتفظ بأصول المستخدمين.
كان من شأن تقرير فني مفصل أن يسمح للباحثين الخارجيين بتأكيد الثغرة وتحديد ما إذا كان كود مماثل لا يزال نشطًا في أماكن أخرى. كما قد يراجع مزودو البطاقات كيفية تتبعهم لإصدارات العقود وتقييد الصلاحيات الإدارية عبر البنية التحتية المشتركة.
يمكن للمستخدمين الاحتفاظ بالسيطرة على محافظهم الشخصية مع الاستمرار في مواجهة المخاطر بعد إيداع الأموال في برنامج بطاقات. فالأمن في النهاية يعتمد على العقود التي تحتفظ بالضمانات والمزود الذي يديرها والمشغلين الذين يستجيبون عند ظهور الثغرات.
الأسئلة الشائعة
ما الذي حدث في اختراق “Rain” على سولانا؟
استغل مهاجم ثغرة في عقد قديم يستخدم لإدارة ضمانات بطاقات العملات المستقرة، مما سمح له بسحب حوالي 1.1 مليون دولار من عدة برامج بطاقات دون الحاجة إلى مفاتيح المستخدمين الخاصة، وذلك عبر التلاعب بتعليمات التحقق من التوقيعات.
هل تم تعويض المستخدمين المتضررين؟
نعم، أكدت شركتا “أفيتشي” و”تريا” أنهما ردتا الأموال لجميع المستخدمين المتضررين، كما أعلنت “Rain” أن جميع البرامج المتأثرة تمت ترقيتها وأن المستخدمين المتضررين سيتم تعويضهم بالكامل، دون الكشف عن تفاصيل إضافية حول آلية التعويض.
أين ذهبت الأموال المسروقة؟
قام المهاجم بتحويل العملات المستقرة إلى عملة سولانا (SOL)، ثم نقلها عبر جسر “دي بريدج” إلى شبكة إيثيريوم، وأودعها في خدمة خلط العملات “تورنادو كاش”، مما جعل تتبع الأموال واستردادها أمرًا صعبًا جدًا.
