في أبريل 2026، واجهت صناعة العملات الرقمية حدث مخاطر نظامية كبير في مجال التمويل اللامركزي (DeFi). تم استغلال ثغرة في إعدادات جسر KelpDAO عبر السلاسل، والمتعلق بـ LayerZero، ما أدى إلى سك غير مصرح به لرموز rsETH. وقد انتشر أثر هذا الاستغلال في النظام البيئي، متسببًا في ديون معدومة تقارب قيمتها 200 مليون $ على بروتوكول Aave، بالإضافة إلى محو أكثر من 1.3 مليار $ من إجمالي القيمة المقفلة (TVL) في قطاع التمويل اللامركزي خلال 72 ساعة فقط. لم يكشف الحادث عن مواطن ضعف في المخاطر بين الجسور عبر السلاسل وبروتوكولات الإقراض فحسب، بل أثار أيضًا نقاشًا معمقًا حول حدود الأمان في قابلية التركيب (composability) ضمن التمويل اللامركزي.
كيف أدى هجوم KelpDAO إلى ديون معدومة تقارب 200 مليون $ على Aave؟
وقع الهجوم على ثلاث مراحل. أولًا، استغل المهاجم ثغرة في إعدادات جسر KelpDAO عبر السلاسل باستخدام LayerZero، متجاوزًا فحوصات الصلاحيات وقام بسك كمية كبيرة من rsETH بشكل غير قانوني على السلسلة المصدر. في المرحلة الثانية، نقل المهاجم الرموز المسكوكة حديثًا إلى شبكة Ethereum الرئيسية وقام بسرعة بمبادلتها بأصول أخرى عبر عدة منصات تداول لامركزية (DEXs)، ما تسبب في فقدان مؤقت لارتباط rsETH بسعره المرجعي. في المرحلة الثالثة، وبما أن Aave أدرجت rsETH كأصل ضماني، استغل المهاجم الفائض من rsETH لاقتراض ETH وUSDC، ثم سحب السيولة، تاركًا وراءه ديونًا معدومة غير مغطاة بضمانات. ووفقًا لإفصاحات Aave الرسمية حتى 20 أبريل 2026، تُقدر قيمة الديون المعدومة بين 177 مليون $ و200 مليون $، ويعتمد الرقم النهائي على عمليات التصفية والاسترداد اللاحقة.
كيف تم اكتشاف ثغرة جسر rsETH عبر السلاسل وسوء إعداد LayerZero؟
يكمن السبب الجذري للهجوم في ضعف إدارة الصلاحيات على الجسر عبر السلاسل. استخدم جسر KelpDAO بروتوكول LayerZero للرسائل العامة، لكنه فشل في التحقق الصارم من عنوان العقد المرسل للرسائل أثناء الإعداد. قام المهاجم بتزوير هوية مرسل شرعي وأرسل أمر "سك" إلى السلسلة الوجهة. نفذت عقود LayerZero relayer وendpoint الرسالة بشكل طبيعي، حيث كان التحقق يقتصر على توقيع الرسالة دون فحص صحة منطق الأعمال في محتواها. يُعد هذا مثالًا كلاسيكيًا على "عدم تطابق الإعدادات مع منطق الأعمال"، وهو نمط تكرر في عدة هجمات على جسور عبر السلاسل بين 2025 و2026. ورغم أنه كان من المفترض حصر صلاحية سك rsETH بعقود محددة، إلا أن واجهة السك في الجسر كانت مكشوفة بالخطأ للمتصلين الخارجيين.
لماذا لم يتمكن Aave من تجنب ديون معدومة بقيمة 177 مليون $؟
يعتمد نموذج المخاطر في بروتوكول الإقراض اللامركزي Aave على تسعير الأوراكل على السلسلة وآليات التصفية. في هذه الحادثة، كان فقدان ارتباط rsETH بالسعر المرجعي مؤقتًا، وأتم المهاجم عمليات الاقتراض قبل انخفاض السعر. وعندما بدأ سعر rsETH بالهبوط، كانت مراكز المهاجم قد دخلت منطقة الخسارة، لكن روبوتات التصفية في Aave لم تتمكن من التنفيذ في الوقت المناسب لسببين رئيسيين: أولًا، كان عامل الضمان (collateral factor) للـ rsETH في Aave مرتفعًا نسبيًا، ما وفر هامشًا استغله المهاجم. ثانيًا، استخدم المهاجم عدة عناوين لتوزيع عمليات الاقتراض، ما جعل كل مركز يبدو صحيًا بينما كان إجمالي المخاطر ضخمًا. بالإضافة إلى ذلك، لم يعكس أوراكل Aave فورًا السعر الحقيقي للـ rsETH في منصات التداول اللامركزية، إذ أن آلية متوسط السعر المرجح بالزمن (TWAP) لديها تأخر زمني، ما أدى إلى تأخر عمليات التصفية وفشلها في منع سحب الأصول.
كيف تعزز قابلية التركيب في DeFi من تضخيم المخاطر الفردية للبروتوكولات؟
تُعد قابلية التركيب (composability) ميزة أساسية في التمويل اللامركزي، لكنها تسرّع أيضًا من انتقال المخاطر. في حادثة KelpDAO، انتشرت المخاطر بسرعة على طول سلسلة "جسر عبر السلاسل — رمز إعادة التخزين — بروتوكول الإقراض". أدى ضعف الجسر إلى سك مفرط للـ rsETH، والذي استُخدم كضمان في Aave، ما أتاح اقتراضًا مفرطًا وتحويل قيمة أصول وهمية إلى سيولة حقيقية مسحوبة. هذه الآلية غير خطية: فقد كلّف الهجوم 5 مليون $ تقريبًا، لكنه نتج عنه ديون معدومة تقارب 200 مليون $ وتدفقات خارجة من TVL تتجاوز 1.3 مليار $. بعد الحادث، سارع المشاركون في السوق لسحب السيولة من Aave وبروتوكولات الإقراض الأخرى، ما زاد من وتيرة هروب رؤوس الأموال. واعتبارًا من 20 أبريل 2026، انخفض إجمالي TVL في التمويل اللامركزي من حوالي 115 مليار $ قبل الحادث إلى أقل من 102 مليار $، أي بخسارة تتجاوز 13 مليار $.
من يقف وراء نزوح 1.3 مليار $ من TVL؟
يعكس التراجع السريع في TVL ثلاث طبقات من سلوك السوق. الطبقة الأولى تأثرت مباشرة في Aave، حيث سحب المستخدمون حوالي 4.5 مليار $ من السيولة لتجنب تجميد الأصول أو التصفية. الطبقة الثانية شملت المجمعات وبروتوكولات الرافعة المالية التي تتعامل مع Aave، والتي اضطرت، بسبب حالة عدم اليقين في سوق الإقراض الأساسي، إلى تقليص المراكز أو إيقاف الخدمات، ما أدى إلى تدفقات خارجة سلبية بقيمة 3.5 مليار $ أخرى. أما الطبقة الثالثة فكانت مدفوعة بالذعر السوقي، حيث قام المستخدمون بسحب الأصول من بروتوكولات إقراض وتخزين غير مرتبطة، ما أدى إلى انسحابات إضافية بنحو 5 مليار $. ومن الجدير بالذكر أن سرعة هذا الهروب الرأسمالي تُعد من الأسرع في تاريخ التمويل اللامركزي، حيث انخفض TVL بنسبة %11.3 خلال 72 ساعة فقط. وشهدت عملة ETH والعملات المستقرة أكبر التدفقات الخارجة، حيث انخفضت بنحو 4.8 مليار $ و5.2 مليار $ على التوالي.
هل يمكن لتأمين DeFi تغطية الثغرات في مثل هذه الهجمات؟
توفر بروتوكولات التأمين الحالية في التمويل اللامركزي تغطية محدودة جدًا لمثل هذه الحوادث. فالحلول التأمينية السائدة مثل Umbrella عادةً ما تغطي الخسائر المباشرة الناتجة عن ثغرات العقود الذكية فقط، ولا تشمل الديون المعدومة غير المباشرة الناتجة عن "انتقال المخاطر بين البروتوكولات". في هجوم KelpDAO، لم يكن سبب ديون Aave المعدومة عيبًا في عقوده الخاصة، بل كان نتيجة إدخال غير طبيعي من بروتوكول خارجي. وما إذا كان ينبغي للتأمين تغطية مثل هذا "الخطر الناتج عن إدخال خارجي" لا يزال محل نقاش في الصناعة. علاوة على ذلك، غالبًا ما يتم استثناء الخسائر الناتجة عن فقدان الارتباط أو فشل التصفية بموجب بنود "مخاطر السوق" أو "مخاطر العمليات". واعتبارًا من 20 أبريل 2026، أعلنت عدة جهات تأمينية أنها تقيّم المطالبات المتعلقة بهذا الحادث، لكن من المتوقع أن تظل معظم الخسائر غير مغطاة. وتبرز هذه الثغرة حدود تأمين DeFi عند مواجهة المخاطر النظامية.
الملخص
يُعد استغلال جسر KelpDAO عبر السلاسل أحد أخطر حوادث الأمان في التمويل اللامركزي لعام 2026 حتى الآن. فبتكلفة هجوم تقارب 5 مليون $، تسبب في ديون معدومة تقترب من 200 مليون $ على Aave وتبخر أكثر من 1.3 مليار $ من TVL. من الدروس الرئيسية: يجب ربط صلاحيات الجسور عبر السلاسل بمنطق الأعمال بشكل محكم، ويجب على بروتوكولات الإقراض تعزيز معايير المخاطر للأصول الضمانية غير التقليدية، كما أن أطر التأمين في DeFi بحاجة ملحة للتوسع لتشمل انتقال المخاطر النظامية. وبينما تعزز قابلية التركيب كفاءة رأس المال، فإنها تتطلب أيضًا آليات أوضح لعزل المخاطر بين البروتوكولات. بالنسبة للصناعة، لا يُمثل هذا الحادث النهاية، بل لحظة محورية لتطوير معايير إدارة المخاطر في التمويل اللامركزي.
الأسئلة الشائعة
س: من يتحمل في النهاية ديون Aave المعدومة بقيمة 200 مليون $ الناتجة عن هجوم KelpDAO؟
ج: تتم تغطية الديون المعدومة مبدئيًا من احتياطيات بروتوكول Aave. وإذا لم تكن الاحتياطيات كافية، يعوض البروتوكول العجز تدريجيًا من عائدات التصفية المستقبلية والرسوم المتراكمة. وقد يتحمل مزودو السيولة في Aave بعض الخسائر بشكل غير مباشر، وذلك بناءً على قرارات حوكمة المجتمع.
س: هل سيؤثر هذا الهجوم على جسور عبر السلاسل أخرى تستخدم LayerZero؟
ج: لم يكن بروتوكول LayerZero نفسه عرضة للثغرة—بل كانت المشكلة في سوء إعداد KelpDAO لعملية التحقق من صحة الرسائل. ومع ذلك، فإن الجسور الأخرى التي تعتمد على فحوصات صلاحيات مماثلة معرضة لمخاطر استغلال مشابهة. يُوصى بشدة بأن تبادر فرق المشاريع إلى تدقيق منطق التحقق من صحة الرسائل عبر السلاسل فورًا.
س: كيف يمكن للمستثمرين تجنب مخاطر التركيب في DeFi؟
ج: ينبغي على المستثمرين الانتباه جيدًا للعلاقات بين البروتوكولات وتجنب تركيز كميات كبيرة من الأصول في استراتيجيات DeFi المتداخلة بشكل كبير. يُفضل اختيار بروتوكولات خضعت لعدة تدقيقات، وتطبق آليات عزل المخاطر، ولديها خطط تصفية ناضجة. كما أن تنويع الأصول عبر هياكل بروتوكولات مختلفة يُعد استراتيجية فعالة لإدارة المخاطر.
