المفاتيح المخترقة تقود خسائر العملات الرقمية في 2026
أظهرت الأشهر الثمانية الأولى من عام 2026 أن صناعة العملات الرقمية تواجه مشكلة واضحة ومتكررة. لم تتغير طرق الهجوم كثيرًا، لكن الجديد هو أن المخترقين لم يعودوا بحاجة لكسر أكواد البرامج الذكية، بل يكفيهم اختراق شخص واحد يملك صلاحيات الوصول. البروتوكولات ما زالت تثق في عدد صغير من المفاتيح والموقعين وعقد التحقق، والمخترقون يجدون أن التلاعب بالبشر أسهل من كسر العقود الذكية.
الأرقام صادمة. تشير تقارير CertiK وForbes إلى أن إجمالي خسائر اختراقات العملات الرقمية بلغ 1.3 مليار دولار في النصف الأول من 2026. كما قدّرت TRM Labs رقمًا مشابهًا، مع العلم أن خسائر التمويل اللامركزي (DeFi) قاربت المليار دولار وحدها. وقائمة rekt.news التي ترصد الاختراقات الكبيرة فوق 3 ملايين دولار، تضم أكثر من 30 حادثة منذ بداية العام، وأكبر اختراقين فقط تسببا في خسائر بلغت 575 مليون دولار معًا.
ما يميز عام 2026 ليس حجم المبالغ المسروقة، بل نوعية الهجمات. أكبر عمليات السرقة هذا العام لم تستغل أخطاء برمجية أو ثغرات في التمويل السريع أو التلاعب بأسعار الخدمات الخارجية. بل استغلت البشر. التلاعب الاجتماعي، وسرقة مفاتيح التحقق، والسيطرة على أنظمة الحوكمة، أصبحت السبب الرئيسي لمعظم الخسائر من حيث القيمة المالية. الكود البرمجي اجتاز كل عمليات التدقيق، لكن البشر المحيطين به كانوا نقطة الضعف.
اختراقان بنفس الأسلوب و575 مليون دولار خسائر
وقعت أهم حادثتين في الفترة بين 1 و18 أبريل. في 1 أبريل، تمكن المخترقون من سحب 285 مليون دولار من منصة Drift Protocol، أكبر بورصة عقود دائمة على شبكة Solana، في 128 ثانية فقط. لم يلمس الهجوم أي سطر برمجي في العقود الذكية. فقد تظاهر المخترقون لأشهر بأنهم شركة تداول كمية، وحضروا مؤتمرات واجتمعوا بفريق المنصة في أكثر من دولة، حتى بنوا ثقة كاملة قبل تنفيذ خطتهم.
عندما نفذوا هجومهم، كانوا قد حصلوا بالفعل على توقيع مسبق من مجلس أمن Drift باستخدام ميزة شرعية في Solana. أضافوا عملة وهمية باسم CVT، وأودعوا 500 مليون وحدة منها كضمان مقابل خدمة بيانات وهمية كانوا يسيطرون عليها لثلاثة أسابيع، ثم سحبوا 285 مليون دولار. وكان تقرير تدقيق سابق قد أشار إلى هذه الثغرة بالذات، لكنه صنّفها كمعلومة فقط لأن المطورين ظنوا أن لا أحد سيتعرض للمفتاح الإداري نفسه.
بعد سبعة عشر يومًا، في 18 أبريل، خسرت منصة KelpDAO نحو 290 مليون دولار عبر جسر LayerZero. الطريقة كانت مختلفة تمامًا. لم تكن مؤتمرات أو اجتماعات، بل عملية تلاعب اجتماعي بمطور في LayerZero نفسها، وسرقة مفاتيح الجلسة الخاصة به، ثم استخدامها لتسميم خدمات الربط التي تتحقق من العمليات عبر الشبكة. وبذلك تمت الموافقة على رسالة مزيفة عبر الشبكة، وصُنعت 116,500 وحدة rsETH غير مدعومة.
أُودعت هذه العملات المسروقة مباشرة في منصة Aave كضمان، وتم اقتراض عملات حقيقية مقابلها، ثم سُحبت قبل أن يتمكن الفريق الأمني من تجميع التوقيعات اللازمة لإيقاف العملية. انخفضت قيمة الأصول المجمدة في Aave بمقدار 6.28 مليار دولار خلال 48 ساعة فقط. كلا الاختراقين اجتازا عمليات التدقيق الأمني، واتبع الفريقان معايير السلامة المعتادة، لكن مفتاحًا واحدًا مخترقًا كان كافيًا لخسارة كل شيء.
خط تجميع كوريا الشمالية
ربط المحققون كلا الاختراقين بمجموعة TraderTraitor، وهي وحدة تابعة لمجموعة Lazarus الكورية الشمالية. أكدت شركات الأمن العالمية مثل Mandiant وCrowdStrike وElliptic هذا الارتباط. هذه المجموعة لم تكن وراء اختراق Bybit الشهير في فبراير 2025 بخسائر بلغت 1.5 مليار دولار فقط، بل كانت مسؤولة عن اختراقات سابقة لمنصات مثل Ronin وRadiant وWazirX.
الجديد في 2026 كان مستوى التطور في التلاعب الاجتماعي. مخترقو Drift بنوا علاقات على مدى أشهر، بينما استهدف مخترقو KelpDAO مطورًا محددًا وسرقوا بياناته. في الحالتين، كان الخرق الأولي عبر الثقة والعلاقات البشرية، وليس عبر التكنولوجيا. قال أحد خبراء الأمن في مقابلة: “يمكن للبروتوكول أن يجتاز تدقيقًا أمنيًا مثاليًا ومع ذلك يخسر الملايين بسبب مفتاح إداري مخترق”.
من الناحية الحسابية، خسائر Drift وKelpDAO مجتمعة تبلغ نحو 575 مليون دولار، أي ما لا يقل عن 44% من إجمالي خسائر العام حتى الآن، وكلها من جهة فاعلة واحدة. إذا أضفنا اختراق Bybit، يتجاوز إجمالي خسائر المجموعة في 18 شهرًا حاجز الملياري دولار.
الجسور الرقمية تنكسر بنفس الطريقة
الجسور الرقمية التي تنقل الأصول بين الشبكات كانت دائمًا نقطة الضعف الأكبر منذ اختراق Ronin عام 2022. في 2026، شملت اختراقات الجسور منصة KelpDAO (290 مليون دولار) وAFX Trade (24.15 مليون دولار) وVerusCoin (19.14 مليون دولار). الخيط المشترك هو التحقق. يجب على الجسور التأكد من صحة الرسالة على الشبكة المصدر قبل تنفيذها على الشبكة الوجهة، وهذا التأكيد يعتمد دائمًا على مجموعة صغيرة من الموقّعين أو عقد التحقق. إذا اخترق ما يكفي منهم، ينفذ الجسر ما صُمم لفعله تمامًا: إطلاق الأموال بناءً على طلب يبدو شرعيًا.
منصة AFX Trade مثال على هشاشة النظام. في 22 يوليو، اخترقت خمسة توقيعات للتحقق الحد الأدنى المطلوب للأغلبية، وسُرقت 24.15 مليون دولار. حدث هذا بعد 49 يومًا فقط من إعلان المنصة عن تدقيق أمني ناجح، لكن التدقيق وثق عدم وجود تغطية اختبارية كاملة وترك ملاحظات دون معالجة. فترة الاعتراض على جسر المنصة كانت 200 ثانية فقط، ولم يعترض أحد.
الحل معروف لكنه نادر التطبيق. أنظمة التحقق المتعدد المستقل قبل إصدار الأموال كانت ستمنع اختراق KelpDAO وAFX Trade. لكن الدراسات تُظهر أن 47% من عقود LayerZero ما زالت تستخدم إعداد التحقق الواحد. هذه هي المشكلة الحقيقية: الحل موجود، والبنية الأساسية تدعمه، لكن لا أحد تقريبًا يطبقه.
عمليات التدقيق تراجع السطح الخطأ
نشر موقع rekt.news افتتاحية في يوليو 2026 بعنوان “سطح الهجوم الخطأ”، لخصت ما تقوله الاختراقات طوال العام: أكبر الخسائر اجتازت عمليات التدقيق لأن المدققين كانوا يفحصون الكود، والكود كان سليمًا. عمليات تدقيق العقود الذكية التقليدية تراجع الأكواد بحثًا عن ثغرات برمجية، لكنها لا تراجع ممارسات الأمن التشغيلي أو إجراءات إدارة المفاتيح أو مقاومة التلاعب الاجتماعي أو البنية التحتية الخارجية التي تغذي البيانات للعقود.
اختراق Coldcard هو المثال الأكثر وضوحًا. في 30 يوليو 2026، بدأ المخترقون بسحب عملات بيتكوين من محافظ Coldcard للأجهزة. خلل برمجي غيّر مولّد الأرقام العشوائية إلى بديل غير آمن، مما جعل مفاتيح المحافظ قابلة للتخمين حسابيًا. لا تصيد احتيالي، لا برمجيات ضارة، لا سرقة أجهزة. المخترقون أجروا العمليات الحسابية على أجهزتهم، واستخرجوا المفاتيح الخاصة مجانًا. بلغت الخسائر نحو 130 مليون دولار من آلاف المحافظ. التحديث البرمجي لم يستطع إصلاح محافظ وُلدت مفاتيحها بشكل معيب أصلاً، وكان يجب استبدالها بالكامل.
هذه الحادثة ليست اختراقًا للتمويل اللامركزي بالمعنى التقليدي، لكنها أسوأ: دليل على أن مشكلة المفاتيح المخترقة أعمق من حوكمة البروتوكولات. حتى المستخدمون الذين فعلوا كل شيء وفق دليل الحفظ الذاتي، خسروا أموالهم لأن توليد المفاتيح نفسه كان معيبًا.
ما الذي يصلح الوضع فعلاً؟
الحل الواضح هو الحل الصحيح. نمط اختراقات 2026 له ثلاث نقاط ضعف، ولكل نقطة حل معروف لم يطبقه معظم البروتوكولات:
- إدارة المفاتيح: استخدام محافظ MPC وأجهزة أمان مع توقيعات تتطلب عدة أطراف يزيل خطر المفتاح الواحد الذي سهّل اختراق Drift. تأخير زمني على الإجراءات الإدارية مع مراقبة على السلسلة يمنح فرق الأمان وقتًا للاستجابة.
- التحقق من الجسور: أنظمة التحقق المتعدد المستقل قبل إصدار الأموال هي الحل المباشر لفشل KelpDAO. LayerZero تدعم هذا بشكل طبيعي، لكن معظم التطبيقات ما زالت تعمل بإعداد التحقق الواحد.
- الأمن التشغيلي: لا يمكن لأي تدقيق كود حماية من التلاعب الاجتماعي. البروتوكولات التي تدير أموالاً بمئات الملايين تحتاج برامج أمن تشغيلي مخصصة: توثيق صارم لجميع الصلاحيات، ومتطلبات توقيع متعدد لا يمكن تجاوزها، وتدريب أمني يعتبر التلاعب الاجتماعي تهديدًا رئيسيًا.
خلل Cosmos EVM يقدم درسًا مختلفًا أيضًا: كان معروفًا منذ أبريل لكن خطورته قُللت حتى تم استغلاله في أغسطس على ثلاث شبكات متتالية. وبالمثل، هجوم Term Labs أغسطس الماضي أظهر أن الحوكمة بدون مشاركة فعالة هي مجرد سطح هجوم آخر. عندما لا يصوت أحد، تصبح الحوكمة نقطة ضعف. آليات النصاب والإيقاف المؤقت للتصويت والحراس الذين يمكنهم الاعتراض على المقترحات المشبوهة هي أدوات قياسية لم تطبقها المنصة.
ماذا نراقب في النصف الثاني؟
ستحدد الأشهر المتبقية من 2026 ما إذا كانت الصناعة ستتعامل مع هذه الإخفاقات كدروس مستفادة أو كتكاليف مقبولة لممارسة الأعمال. هناك خمس مؤشرات تحكي القصة:
- نسبة تبني التحقق المتعدد على LayerZero ومدى انخفاض استخدام التحقق الواحد.
- تبني التأخير الزمني على المفاتيح الإدارية في البروتوكولات الكبيرة فوق 100 مليون دولار.
- أي نسب جديدة لهجمات إلى مجموعة Lazarus تعني أن عملياتها ما زالت تعمل.
- سرعة معالجة خلل Cosmos EVM عبر شبكات IBC التي تعمل بنفس الكود.
- قدرة شركات التأمين على السلسلة على تغطية المطالبات واستمرار أسعار الأقساط.
هذا المقال لأغراض إعلامية فقط ولا يشكل نصيحة مالية أو استثمارية. استثمارات العملات الرقمية تحمل مخاطر كبيرة. قم دائمًا بإجراء بحثك الخاص قبل اتخاذ قرارات الاستثمار. المعلومات دقيقة اعتبارًا من 4 سبتمبر 2026.
الأسئلة الشائعة
كم خسر قطاع التمويل اللامركزي بسبب الاختراقات في 2026؟
على الأقل 1.3 مليار دولار في النصف الأول من 2026، حسب تقارير CertiK وForbes. أكبر اختراقين (Drift وKelpDAO) تسببا في خسائر مجمعة بلغت 575 مليون دولار، ومن المتوقع أن يرتفع الرقم النهائي للعام بعد احتساب خسائر النصف الثاني.
لماذا تستمر اختراقات الجسور الرقمية؟
لأن الجسور تعتمد على مجموعة صغيرة من المدققين للتأكد من صحة الرسائل عبر الشبكات قبل تحويل الأموال. إذا اخترق مخترقون عددًا كافيًا من هؤلاء الموقعين، ينفذ الجسر عمله بشكل طبيعي ويطلق الأموال بناءً على طلب يبدو شرعيًا. المشكلة الأساسية أن معظم الجسور تركّز الثقة في عدد قليل جدًا من الأطراف، وكثير منها ما زال يعمل بنظام التحقق الواحد رغم توفر بدائل أكثر أمانًا.
هل يمكن لعمليات تدقيق العقود الذكية منع هذه الاختراقات؟
لا، على الأقل ليس النوع الحالي من التدقيقات. التدقيقات التقليدية تفحص الكود بحثًا عن أخطاء برمجية مثل إعادة الدخول أو الفائض، لكنها لا تغطي إدارة المفاتيح أو الأمن التشغيلي أو مقاومة التلاعب الاجتماعي أو البنية التحتية الخارجية. اختراق KelpDAO حدث في طبقة خارج نطاق كل عمليات التدقيق، واختراق Drift حدث عبر تلاعب اجتماعي استمر شهورًا. كلا البروتوكولين كان لديه تدقيقات نظيفة وقت الاختراق.
