أكبر اختراقات واحتيالات العملات المشفرة في 2026 حتى الآن

أدت اختراقات الجرائم الإلكترونية والاحتيال واستغلالات العملات المشفرة إلى خسائر إجمالية تجاوزت 1.3 مليار دولار خلال النصف الأول من 2026، حيث سيطرت عدة حوادث كبيرة على إجمالي المبلغ المسجَّل. TL;DR

• أدت عمليات اختراق وعمليات احتيال واستغلالات العملات المشفرة إلى خسائر إجمالية بلغت 1.316 مليار دولار خلال النصف الأول من 2026.
• مثلت DAO التابعة لـ Kelp وبروتوكول Drift وضحية واحدة للاحتيال الاحتيالي الموجَّه (phishing) ما يقارب 65% من هذا الإجمالي.
• تمكنت أكبر الحوادث من اختراق البنية التحتية لـ RPC أو الصلاحيات الإدارية أو أنظمة التوقيع أو الأجهزة المتميزة، بدلًا من اختراق كود العقود الذكية العامة.
• تم إعداد هذا الترتيب في 17 يوليو، ما يترك 167 يومًا، أو 45.8% من السنة، لوقوع حوادث جديدة والتعافي وتعديل نسب الإسناد بما قد يغيّر القائمة.

بلغت خسائر أمن العملات المشفرة 1.316 مليار دولار عبر 344 حادثًا خلال النصف الأول من 2026، وفقًا لتقرير CertiK الأمني للنصف الأول. تم تجميد أو استرداد نحو 115.3 مليون دولار، ما خفّض الخسارة المعدّلة إلى حوالي 1.2 مليار دولار. ويحتاج التحسن الظاهري مقارنةً بعام 2025 إلى سياق. ضم إجمالي النصف الأول من العام السابق حادث اختراق Bybit الاستثنائي بقيمة 1.45 مليار دولار. وبمجرد استبعاد هذا الحدث وحده، يقدّر CertiK أن الخسائر المماثلة زادت بحوالي 28% في 2026. وتوزيع تلك الخسائر لا يقل أهمية عن الإجمالي. بلغ متوسط تكلفة الحادث حوالي 3.82 مليون دولار، بينما كانت الخسارة الوسيطة لا تتجاوز 138,703 دولار. وعليه، كان المتوسط أعلى بأكثر من 27 مرة من الوسيط، ما يشير إلى أن عددًا صغيرًا من الأعطال الشديدة هو من دفع النتيجة الإجمالية. وحدّثت ثلاث حوادث فقط، هي Kelp DAO وبروتوكول Drift وسرقة phishing مستهدفة بقيمة 284 مليون دولار، ما يقارب 65% من جميع الخسائر المبلّغ عنها في النصف الأول. ترتيب الخسائر يحتاج أكثر من رقم واحد غالبًا ما تقارن تقارير حوادث العملات المشفرة أرقامًا تقيس أشكالًا مختلفة من الضرر.

الخسارة الإجمالية

قيمة ما تم إزالته من بروتوكول أو من الضحية قبل عمليات الاسترداد.

الاستخراج المحقّق

الأصول التي حوّلها المهاجم بنجاح إلى قيمة اقتصادية قابلة للنقل.

الخسارة الصافية

المبلغ المفقود حتى الآن بعد التجميد والاسترداد والسداد والاسترجاع.

التزامات المستخدمين

المطالبات المستحقة على منصة ما، والتي قد تكون أكبر أو أصغر من العائدات الأصلية التي حققها المهاجم.

التعرّض الاسمي

القيمة النظرية لأصول تم إصدارها أو وضعها على المحك بشكل احتيالي، حتى عندما لم يتمكن المهاجم من تحويل كامل المبلغ إلى نقد.

يعتمد الترتيب أدناه في المقام الأول على الخسائر الإجمالية المبلّغ عنها. وتُذكر عمليات الاسترداد والتقييمات المتنازع عليها والاختلافات بين عائدات المهاجم والتزامات المنصة بشكل منفصل. بالنسبة للحوادث التي تنطوي على إنشاء رموز غير مدعومة، تكون عمليات الاستخراج المحقّق أكثر دلالة من القيمة الاسمية للإمداد الاحتيالي. وإلا فقد يُصنَّف مهاجم أنشأ 100 مليون دولار من رمز غير سائل لكن استخرج 1 مليون دولار من ضمان حقيقي—بشكل غير صحيح—على أنه سرق كامل 100 مليون دولار. أكبر الخسائر المشفّرة المبلّغ عنها في 2026

1. Kelp DAO – 292 مليون دولار في 18 أبريل، تسبب المهاجمون في أن يقوم عقد جسر Kelp على Ethereum بإطلاق نحو 116,500 rsETH دون حرق مقابل للرموز على سلسلة المصدر. وجدت تحقيقات Chainalysis أن المهاجمين اخترقوا عقدي RPC داخليين مستخدمين في LayerZero عبر شبكة Decentralized Verifier Network، في الوقت نفسه كانوا يعطّلون نقطة نهاية RPC خارجية عبر هجوم حجب خدمة موزع. أفادت العقد المُعبث بها بعملية حرق على سلسلة المصدر لم تحدث قط. وبما أن إعدادات جسر Kelp كانت تعتمد على مُحقق واحد، لم تكن هناك حاجة إلى شبكة مستقلة ثانية للتحقق مما إذا كان الحرق المبلّغ عنه حقيقيًا. استقبل عقد الوجهة رسالة مُنسّقة وموقعة بشكل صحيح، ثم أطلق الأصول تمامًا كما تمت برمجته. كانت نقطة الفشل في البنية التحتية التي تزود العقد بالمعلومات، لا في تنفيذ العقد لتلك المعلومات. أوقف Kelp العقود المتأثرة بسرعة كافية لإيقاف محاولة سحب ثانية تضمنت نحو 40,000 rsETH، ثم قيمتها قرابة 95 مليون دولار. وبعد ذلك، جمّد مجلس أمان Arbitrum 30,766 ETH مرتبطة بنشاط المهاجم اللاحق. نسبت Chainalysis وLayerZero العملية إلى Lazarus Group التابعة لكوريا الشمالية، على وجه التحديد إلى فصيلة TraderTraitor التابعة لها. وقد تم الإسناد من قِبل أطراف مشاركة مباشرة في التحقيق، رغم أن استنتاجات تتعلق بجهات برعاية حكومية قد لا تزال تتطور مع ظهور أدلة إضافية. إن تجميد المبلغ لا يمحو فشل المحاسبة الأصلي للجسر. ينبغي التعامل مع الخسائر الإجمالية والأموال القابلة للاسترداد وعائدات المهاجم وأي نقص متبقٍ في الدعم بوصفها أرقامًا منفصلة.
2. Drift Protocol – 285 مليون دولار خسر بروتوكول Drift حوالي 285 مليون دولار في 1 أبريل بعد أن استحوذ المهاجمون على التحكم الإداري في Security Council. وفقًا لـ Chainalysis، قضى أفراد قدموا أنفسهم كممثلين لشركة تداول كمية أشهرًا في بناء علاقات مع مساهمي Drift. تم إقناع أعضاء Security Council في نهاية المطاف بالتوقيع على معاملات باستخدام ميزة durable-nonce في Solana، التي تسمح بالاحتفاظ بالمعاملات الموقعة بشكل صحيح وتنفيذها في وقت لاحق. نقلت تلك المعاملات التحكم الإداري إلى عنوان يتحكم فيه المهاجم. وبمجرد الحصول على تلك الصلاحية، أزال المهاجمون حدود السحب، ووافقوا على رمز يُدعى CVT شبه بلا قيمة كضمان، ومنحوه تقييمًا اصطناعيًا، ثم أودعوا 500 مليون وحدة. تم استخدام الوضع الناتج لسحب USDC وSOL وETH وأصول أخرى تحمل قيمة خارجية حقيقية. حدث الاستيلاء الإداري عبر معاملتين تم تنفيذهما بفارق ثانية واحدة، لكن عمليات السحب اللاحقة استمرت خلال فترة أطول. لذلك، وصف خسارة 285 مليون دولار بالكامل على أنها وقعت خلال 10 ثوانٍ سيكون غير دقيق. اعتمدت Chainalysis جزءًا من إعادة بنائها على تحقيق Drift الخاص ولاحظت أن الحساب لم يكن قد تم التحقق منه بشكل مستقل بعد عبر مراجعة كاملة من طرف ثالث. كانت الأدلة الأولية متوافقة مع عمليات سابقة لكوريا الشمالية، لكن الإسناد الرسمي ظل قيد الانتظار. ناقشت Drift لاحقًا نحو 295 مليون دولار كخسائر مستخدمين. ويبدو أن الرقم الأعلى يمثل التزامات المنصة وليس عائدات المهاجم الأولية، ولا ينبغي التعامل معه كتقدير بديل للمقدار نفسه.
3. خسارة phishing مستهدفة أبلغ عنها CertiK – 284 مليون دولار خسر شخص واحد حوالي 284 مليون دولار في حادث واحد لهندسة اجتماعية موجّهة (social-engineering) خلال يناير، وفقًا لـ CertiK. لم يُكشف علنًا عن هوية الضحية ولا عن تسلسل الهجوم الكامل. وهذا يحد من الاستنتاجات التي يمكن استخلاصها بشكل مسؤول بشأن إعدادات المحفظة، وطريقة الهندسة الاجتماعية الدقيقة، واحتمالات الاسترداد. ومع ذلك، فإن الحجم مهم. أنتجت محفظة واحدة يتحكم بها بشكل خاص ضررًا ماليًا قريبًا من اختراق Drift، وتجاوزت الخسائر المجمعة لمعظم استغلالات البروتوكولات الأصغر التي سُجلت خلال النصف الأول من العام. حسبت CertiK خسائر phishing بقيمة 366.3 مليون دولار عبر 63 حادثًا في النصف الأول. انخفض عدد حالات phishing بنسبة 52.3% مقارنة بالفترة نفسها في 2025، لكن الخسائر تراجعت فقط بنسبة 10.8%. أدّت أربع حوادث إلى نحو 85% من إجمالي خسائر phishing. تشير البيانات إلى تغير في اختيار الأهداف أكثر من اختفاء phishing. لا تزال الحملات الواسعة شائعة، لكن النتيجة المالية باتت تتحدد بشكل متزايد من خلال عدد قليل من العمليات التي جرى إعدادها بعناية والموجهة إلى أشخاص أو مؤسسات تتحكم بثروة كبيرة على السلسلة.
4. Step Finance – حوالي 40 مليون دولار قالت Step Finance إن حوالي 40 مليون دولار تم سحبها من خزانتها في 31 يناير بعد اختراق الأجهزة المستخدمة من قبل أعضاء فريقها التنفيذي. وفي تحديثها الرسمي للحادث، قالت إن المشروع استرد نحو 3.7 مليون دولار من أصول Remora ومبلغًا إضافيًا قدره 1 مليون دولار في مراكز أخرى.

بيان حول حادث أمني حديث

في ساعات ما بعد الظهر الأولى من 31 يناير (APAC)، تم سحب حوالي $40M من خزانة Step Finance. وكان ذلك نتيجة اختراق أجهزة فريقنا التنفيذي.

وبمجرد اكتشاف الاختراق، بدأنا العمل فورًا…

— Step☀️ (@StepFinance_) 2 فبراير 2026

وضعت تقديرات onchain في وقت سابق الخسارة أقرب إلى 27 مليون دولار، لأن تركيزها كان على نحو 261,854 SOL التي تم تحديدها مبدئيًا وتركتها المحافظ الخاصة بالخزانة. وأدرجت القيمة اللاحقة لدى Step مجموعة أوسع من الأصول المتأثرة. إن استخدام تقدير Step الإجمالي البالغ 40 مليون دولار مع الإبلاغ عن المبلغ المسترد بشكل منفصل يعطي صورة أكثر اكتمالًا من اختيار رقم واحد دون شرح سبب اختلاف التقديرات. يمكن أيضًا أن تمتد العواقب المالية للهجوم إلى ما يتجاوز المبلغ المحوّل إلى المهاجم. قد تجعل التمويلات الطارئة والنفقات القانونية وتعويضات المستخدمين وتعطيل العمليات وفقدان الإيرادات الأثر التجاري النهائي أكبر من السحب الأولي على السلسلة. 5. Humanity Protocol – 36 مليون دولار تعرض Humanity Protocol لهجوم في 9 يونيو بعد أن كشف جهاز مخترق بيانات المحفظة والمفاتيح الخاصة المرتبطة بحسابات المشروع ذات الصلاحيات المتميزة. وفي تفسيرها الرسمي، قالت Humanity إن المهاجم نسخ المفاتيح الخاصة من الجهاز واستخدمها لتنفيذ الهجوم على السلسلة. كما ذكرت المشروع أن عقد Ethereum H محمي عبر multisig نظيف منفصل، وأن جسره الرئيسي على الشبكة الرئيسية (mainnet) لم يكن مخترقًا.

https://t.co/VjouykTSPw

— Humanity (@Humanityprot) 12 يونيو 2026

تتراوح التقديرات المنشورة بين حوالي 31 مليون دولار و36 مليون دولار، ويرجع ذلك جزئيًا إلى تقييم الرموز المفقودة H عبر أسعار سوق مختلفة وفي مراحل مختلفة من الحادث. كانت المشكلة الهيكلية الأهم هي تركيز عدة بيانات اعتماد متميزة على نقطة نهاية واحدة مخترقة. لا يوفر ترتيب التوقيع المتعدد حماية ذات معنى إلا عندما يتم فصل مفاتيحه عبر أشخاص وأجهزة ومواقع وبيئات إدارية. يمكن لعدة بيانات اعتماد محفوظة على الكمبيوتر نفسه أو القابلة للاسترجاع منه أن تحقق عتبة توقيع على السلسلة مع الاستمرار في العمل كنقطة فشل عملية واحدة. 6. Resolv Protocol – حوالي 26.8 مليون دولار تم استغلال Resolv Protocol في 22 مارس بعد أن اختبر مهاجم البنية التحتية السحابية للشركة وحصل على وصول إلى دور مفتاح مُدار عبر AWS Key Management Service. استخدم Resolv خدمة خارجية (offchain) للتفويض بإنشاء USR بعد أن يودع المستخدمون ضمانات. وبحسب تحليل حادث CertiK، قدم المهاجم ودائع USDC مشروعة صغيرة نسبيًا، ثم استخدم دور الخدمة المخترَف للتفويض بإنشاء حوالي 80 مليون USR عبر معاملتين. تحقق العقد من أن التفويض صادر من الخدمة المعتمدة. وفرض حدًا أدنى للإخراج لكنه لم يفرض حدًا أقصى مرتبطًا بالضمان المودع من المستخدم. وبمجرد اختراق خدمة الامتياز، استطاع المهاجم إنتاج توقيعات صحيحة تشفيرياً لكن دون دعم اقتصادي. لا يعني ذلك أن خدمات إدارة المفاتيح السحابية غير مناسبة بطبيعتها لبنية العملات المشفرة. المشكلة الأكبر تتعلق بالقدر الذي منحته التصميمات من سلطة اقتصادية غير مقيدة إلى دور خدمة واحد. قد يتحول المفتاح المحمي إلى نقطة فشل كارثية عندما لا يفرض العقد الذي يستقبل توقيعاته على نحو مستقل نسب الضمان أو حدود الإصدار أو حدود المعاملات أو سرعة عمليات السحب. 7. Truebit – 26 مليون دولار تم استغلال Truebit في 8 يناير عبر ثغرة overflow في حساب عدد صحيح داخل عقد bond-curve تم نشره في 2021. كان قد تم تجميع العقد باستخدام Solidity 0.5.3، قبل إدخال حماية تلقائية من overflow في Solidity 0.8.0. قدم مهاجم قيمة كبيرة بشكل استثنائي تسببت في أن تلتف الحسابات العددية إلى رقم قريب من الصفر. وهذا أتاح سك كميات كبيرة من TRU مقابل ما يقرب من ETH ضئيل، ثم استردادها مقابل ETH حقيقي كان مملوكًا للعقد. قدرت Chainalysis الخسارة الأساسية بـ 26.2 مليون دولار. ووضعت CertiK المجموع الأقرب إلى 26.6 مليون دولار، بما في ذلك حوالي 224,000 دولار تم استخراجها بواسطة مهاجم ثانٍ. لم تكن عملية التنفيذ المعرّضة للخطر موثقة بشكل علني على Etherscan. ولم يمنع ذلك المهاجمين من فحصها. يمكن تفكيك كود بايتات العقد (bytecode)، ويمكن تحديد سلوكيات المترجم القديمة، ويمكن اختبار الثغرات المشتبه بها عبر محاكاة أو عبر فروع (forks) على البلوك تشين. يُعد Truebit أوضح استثناء رئيسي للنمط الأوسع الذي ظهر في 2026. فقد جاءت خسارته من منطق تنفيذ علني، لا من سلطة تشغيلية مخترقة. كما يوضح سبب وجوب بقاء العقود غير النشطة ضمن نطاق التدقيق والمراقبة وبرامج مكافآت الأخطاء طالما كانت تحتفظ بالأموال أو الصلاحيات. لماذا لا يُصنَّف Echo Protocol على أنه عملية سرقة بقيمة 76.7 مليون دولار يوصف Echo Protocol أحيانًا بأنه تكبد خسارة بقيمة 76.7 مليون دولار لأن مهاجمًا استخدم مفتاح مسؤول (administrator) مخترقًا لسك 1,000 eBTC غير مدعومة تحمل تلك القيمة الاسمية. لم يستخرج المهاجم 76.7 مليون دولار من أصول حقيقية. وبحسب Merkle Science، تم إيداع 45 من eBTC الاحتيالية في بروتوكول إقراض Curvance. وقام المهاجم باقتراض حوالي 11.29 WBTC بقيمة تقارب 867,000 دولار، قبل أن يتم حرق الـ 955 eBTC غير المدعومة المتبقية. إذًا، الأرقام الدقيقة هي:

• الإصدار الاحتيالي: حوالي 76.7 مليون دولار من eBTC ذات قيمة اسمية.
• الأصول الحقيقية المستخرجة: حوالي 867,000 دولار من WBTC.
• الإمداد غير المدعوم المتبقي: تم حرقه بعد الحادث.

إن تصنيف كامل القيمة الاسمية بوصفها مسروقة سيبالغ في تضخيم الضرر المحقق بنحو 90 مرة تقريبًا. ومع ذلك، لا يزال Echo يكشف مشكلة مهمة تتعلق بالمخاطر المرتبطة بالضمان. تعرف أداة oracle لدى Curvance القيمة السوقية التي تم تعيينها لـ eBTC بشكل صحيح، لكنها لم تستطع تحديد أن هذه الرموز تحديدًا تم إنشاؤها دون دعم. سلامة السعر ليست هي نفسها سلامة الإصدار. تحتاج بروتوكولات الإقراض التي تقبل ضمانات مُصدرة خارجيًا إلى ضوابط لإنشاء إمداد غير معتاد، وتغييرات في سلطة سك الرموز، وإيداعات ضمان مفاجئة، والتحقق من الدعم، وخطر الصلاحيات الإدارية على مستوى المُصدر. لا يستطيع تغذية السعر الصحيحة وحدها الإجابة عن تلك الأسئلة. العطل المشترك كان في طبقة التحكم لم تشترك أكبر حوادث 2026 في ثغرة واحدة في الكود. بل اشتركت في نقاط ضعف داخل الأنظمة المسؤولة عن تحديد ما يُسمح للكود بفعله. وبمصطلحات البنية التحتية التقليدية، تعالج طبقة التنفيذ النشاط العادي، بينما تحدد طبقة التحكم الصلاحيات والتهيئة ومصادر البيانات الموثوقة والإجراءات الاستثنائية.

وتقابل هذه الفروقات بشكل وثيق أكبر الحوادث:

Kelp: قام المُحقق (verifier) بقبول نسخة مُفبركة من نشاط سلسلة المصدر.

Drift: نقلت التواقيع الصحيحة التحكم الإداري.

Step: الأجهزة التنفيذية المخترقة كشفت سلطة الخزانة.

Humanity: نقطة نهاية مخترقة كشفت مفاتيح متميزة.

Resolv: دور خدمة مخترق أنشأ تفويضات صحيحة تشفيرياً لكن دون دعم اقتصادي.

Echo: مفتاح مسؤول واحد يمكنه منح سلطة سك غير مقيدة.

Truebit: كان الاستثناء عيبًا حسابيًا في كود عقود قديم.

سجلت CertiK 204 حادثة تتعلق بثغرات في الكود خلال النصف الأول من العام، ما أدى إلى خسائر تقارب 151.6 مليون دولار. وتسببت اختراقات المحافظ في خسائر بلغت 444.5 مليون دولار عبر 33 حادثًا فقط. وهذا يعني متوسطًا قدره حوالي 743,000 دولار لكل حادثة ثغرة في الكود، و13.5 مليون دولار لكل حادثة اختراق محفظة. وبالمتوسط، كان اختراق المحفظة أغلى بنحو 18 مرة. لا يعني ذلك أن تدقيق العقود الذكية أقل أهمية. بل يوضح أن تدقيق العقد مع استبعاد مُوقّعيه واعتمادياته على RPC وواجهاته الإدارية وأدواره السحابية وضوابط الطوارئ يترك جزءًا كبيرًا من النظام المالي دون اختبار. خمسة ضوابط تعالج الأعطال الفعلية فرض حدود اقتصادية بعد المصادقة يجب أن تثبت التوقيع الصالح هوية من وافق على إجراء ما. ولا ينبغي أن يمنح سلطة اقتصادية غير محدودة. لا يزال يمكن تقييد سك الرموز والجسور والموافقة على الضمانات والسحوبات عبر أحجام المعاملات القصوى والحدود المتحركة ونسب الضمان وفواصل زمنية وتأخيرات وحدود مخصصة لكل