الكاتب: ChandlerZ، Foresight News
عالم DeFi يجد نفسه مرة أخرى في عين العاصفة.
تعرضت عدة مشاريع مبنية على بنية Balancer V2 في 3 نوفمبر لهجوم مُخطط بعناية، مع خسائر تجاوزت 120 ملايين دولار. لم يقتصر تأثير هذا الحدث على شبكة Ethereum الرئيسية فقط، بل امتد أيضًا إلى Arbitrum وSonic وBerachain وسلاسل أخرى، ليصبح بذلك حادث أمان هز الصناعة بأكملها بعد أحداث Euler Finance وCurve Finance.
أشارت التحليلات الأولية من BlockSec إلى أن هذا الهجوم هو "تلاعب سعري عالي التعقيد"، حيث استغل المهاجمون منطق حساب سعر BPT (Balancer Pool Token) من خلال استغلال خطأ التقريب في الثابت (Invariant)، مما أدى إلى تشويه الأسعار وتحقيق أرباح متكررة في عملية تبادل جماعية واحدة.
على سبيل المثال في هجوم Arbitrum، انقسم الهجوم إلى ثلاث مراحل:
-
قام المهاجم أولاً بتحويل BPT إلى الأصول الأساسية، وضبط رصيد cbETH بدقة إلى حدود التقريب (حوالي 9 وحدات)، لتهيئة الظروف لفقدان الدقة لاحقًا؛
-
بعد ذلك، أجرى تبادلًا بين wstETH وcbETH بكمية محددة (=8)، وبسبب التقريب للأسفل أثناء التحجيم، انخفضت قيمة Δx قليلاً، مما أدى إلى تقدير منخفض لـ Δy، وبالتالي صغر قيمة الثابت D في المجمع المستقر، مما خفض السعر النظري لـ BPT؛
-
أخيرًا، أعاد المهاجم تحويل الأصول الأساسية إلى BPT، محققًا أرباحًا من السعر المنخفض المصطنع.
بعبارة مختصرة، كان هذا هجومًا دقيقًا قائمًا على حدود الرياضيات والكود.
أكدت Balancer رسميًا تعرض V2 Composable Stable Pools لهجوم ثغرة. يعمل الفريق حاليًا مع كبار الباحثين الأمنيين للتحقيق، ووعد بمشاركة تقرير تحليل كامل في أقرب وقت ممكن، وتم تجميد جميع المجمعات المتأثرة القابلة للإيقاف بشكل طارئ ودخلت وضع الاسترداد. يقتصر تأثير الثغرة على V2 Composable Stable Pools فقط، ولا يؤثر على Balancer V3 أو أنواع المجمعات الأخرى.
بعد انفجار حادثة ثغرة Balancer V2، شهدت المشاريع التي قامت بعمل fork لـ Balancer تقلبات عنيفة. ووفقًا لبيانات DeFiLlama، حتى 4 نوفمبر، بلغ إجمالي القيمة المقفلة للمشاريع ذات الصلة حوالي 49.34 ملايين دولار فقط، بانخفاض يومي قدره 22.88%. من بينها، انخفضت TVL الخاصة بـ BEX، وهي DEX الأصلية لـ Berachain، بنسبة 26.4% إلى 40.27 ملايين دولار، ولا تزال تمثل 81.6% من النظام البيئي، لكن بسبب توقف السلسلة وتجميد السيولة، لا يزال تدفق الأموال مستمرًا. أما الضحية الأخرى Beets DEX فقد كان أداؤها أكثر سوءًا، حيث انهارت TVL بنسبة 75.85% خلال 24 ساعة، وانخفضت بنسبة تقارب 79% خلال الأيام السبعة الماضية.
بالإضافة إلى البروتوكولات المذكورة أعلاه، شهدت DEXs الأخرى المبنية على بنية Balancer أيضًا عمليات سحب مذعورة. انخفضت PHUX بنسبة 26.8% في يوم واحد، وJellyverse بنسبة 15.5%، بينما انهارت Gaming DEX بنسبة 89.3% تقريبًا، وتم إفراغ السيولة تقريبًا. حتى المشاريع الصغيرة والمتوسطة التي لم تتأثر مباشرة مثل KLEX Finance وValue Liquid وSobal، سجلت عمومًا تدفقات خارجة تتراوح بين 5% و20%.
بدء سلسلة من ردود الفعل، Berachain تجري فورك طارئ
هذه الثغرة التي نشأت من Balancer V2 سرعان ما تسببت في سلسلة من ردود الفعل الأكبر.
تعرضت Berachain، وهي سلسلة عامة ناشئة مبنية على Cosmos SDK، لهجوم من قبل القراصنة خلال ساعات قليلة، حيث استخدم BEX أيضًا بنية عقود Balancer V2. بعد اكتشاف الخلل، أعلنت المؤسسة بسرعة "إيقاف السلسلة بالكامل".
أفيد أن مجمعات السيولة مثل USDe Tripool في BEX تعرضت للتهديد، بحجم أموال متأثرة يقارب 12 ملايين دولار. استغل المهاجمون نفس منطق الثغرة في Balancer، وسرقوا الأموال من خلال عدة تفاعلات مع العقود الذكية. ونظرًا لأن بعض الأصول ليست رموزًا أصلية، كان على الفريق استخدام فورك صلب لاسترجاع بعض الكتل لاستعادة وتتبع الأموال.
في الوقت نفسه، اتخذت عدة بروتوكولات في نظام Berachain البيئي، بما في ذلك Ethena وRelay وHONEY، تدابير دفاعية متزامنة:
-
حظر تحويل USDe عبر السلاسل؛
-
إيقاف الإيداعات المتعلقة بسوق الإقراض؛
-
إيقاف سك واسترداد HONEY؛
-
إبلاغ البورصات المركزية بقائمة سوداء للعناوين المشبوهة.
ذكرت مؤسسة Berachain أن إيقاف شبكة Berachain كان مخططًا له، وستستأنف الشبكة عملياتها قريبًا. أثرت ثغرة Balancer بشكل رئيسي على مجمعات Ethena/Honey الثلاثة، من خلال معاملات عقود ذكية معقدة نسبيًا. ونظرًا لأن الثغرة أثرت على أصول غير أصلية (وليس فقط BERA)، فإن عملية الاسترجاع/التقدم ليست مجرد فورك صلب بسيط، لذا سيتم إيقاف الشبكة حتى يتم تحديد حل شامل.
في 4 نوفمبر، أعلنت مؤسسة Berachain أن ملف الفرك الصلب قد تم توزيعه، وتمت ترقية بعض العقد. قبل إعادة تشغيل الشبكة وتوليد الكتل مرة أخرى، ترغب المؤسسة في التأكد من أن الشركاء الأساسيين للبنية التحتية (مثل أوراكل التصفية) قد حدثوا RPC الخاص بهم، حيث سيكونون العقبة الرئيسية أمام استئناف تشغيل الشبكة. بعد الانتهاء من طلبات RPC للخدمات الأساسية، سيتعاون الفريق مع الجسور عبر السلاسل وشركاء CEX والمؤسسات الحافظة لاستعادة الخدمات.
في الوقت نفسه، تواصل مشغل روبوت MEV في Berachain مع المؤسسة بعد إيقاف السلسلة، وادعى أنه "قبعة بيضاء" قام بسحب الأموال، وأرسل رسالة على السلسلة. وأعرب عن استعداده لتوقيع سلسلة من المعاملات مسبقًا لإعادة الأموال بعد إعادة تشغيل الشبكة.
الأمان أولاً أم اللامركزية؟
"نحن نعلم أن هذا مثير للجدل، لكن عندما تكون أصول المستخدمين بقيمة حوالي 12 ملايين دولار مهددة، فإن حماية المستخدمين هي الخيار الوحيد." هكذا صرح Smokey The Bera، الشريك المؤسس لـ Berachain، ردًا على تساؤلات المجتمع حول "المركزية".
اعترف في بيانه أن Berachain لم تصل بعد إلى مستوى اللامركزية الخاص بـ Ethereum، وأن آلية التنسيق بين المدققين أشبه بـ"غرفة قيادة أزمة" وليست شبكة إجماع مؤتمتة. في الواقع، توقفت العقد على السلسلة في أقل من ساعة من ظهور الثغرة، مما أظهر كفاءة القرار المركزي، لكنه كشف أيضًا عن مستوى المركزية في الحوكمة.
انقسمت ردود فعل المجتمع فورًا.
يرى المؤيدون أن هذا يعكس مسؤولية الفريق تجاه أمان المستخدمين، ويعتبرونه "لامركزية واقعية"؛ بينما يتهم المعارضون هذا القرار بأنه خيانة صريحة لمبدأ "الكود هو القانون"، وانتهاك لعدم قابلية التغيير على السلسلة.
علق المحقق على السلسلة ZachXBT قائلاً: "عندما تكون أموال المستخدمين في خطر شديد، فهذا قرار صعب لكنه صحيح."
لكن بعض المطورين المتشددين قالوا بصراحة: "إذا كان من الممكن إيقاف البلوكشين يدويًا في أي وقت، فما الفرق بينها وبين النظام المالي التقليدي؟"
ظل حادثة DAO يظهر من جديد
أعادت هذه الأزمة إلى أذهان العديد من العاملين في الصناعة حادثة اختراق DAO على Ethereum عام 2016. في ذلك الوقت، قررت Ethereum استرجاع المعاملات عبر فورك صلب لاستعادة 50 ملايين دولار مسروقة، مما أدى إلى انقسام المجتمع إلى Ethereum (ETH) وEthereum Classic (ETC).
بعد تسع سنوات، يظهر خيار مماثل مرة أخرى.
الفرق هذه المرة أن البطل هو سلسلة عامة لا تزال في مراحلها الأولى من التطوير، ولا تملك مستوى كافٍ من اللامركزية أو حجمًا مدعومًا بإجماع عالمي.
رغم أن التدخل البشري في Berachain منع خسائر أكبر، إلا أنه أثار مرة أخرى تساؤلات فلسفية حول "هل يمكن للبلوكشين أن يحكم نفسه حقًا".
بمعنى ما، هذا أيضًا مرآة لنظام DeFi: الأمان والكفاءة واللامركزية - لم يتحقق التوازن بينها أبدًا.
عندما يستطيع القراصنة تدمير عشرات الملايين من الدولارات في ثوانٍ، غالبًا ما تضطر "المثالية" لإفساح المجال لـ"الواقع".
ذكرت Balancer رسميًا أن الفريق يعمل مع كبار الباحثين الأمنيين، ويخطط لنشر تقرير تحليل كامل بعد الحادث، ويحذر المستخدمين من رسائل الاحتيال من فرق أمان مزيفة.
من جانبها، تتوقع Berachain استئناف إنتاج الكتل ووظائف التداول تدريجيًا بعد اكتمال الفرك الصلب.
ومع ذلك، فإن استعادة الثقة أصعب من إصلاح الثغرات. بالنسبة لسلسلة عامة ناشئة، فإن إيقاف السلسلة هو حل مؤقت، لكنه قد يترك ندوبًا طويلة الأمد في المجتمع. سيشك المستخدمون في مدى حقيقة لامركزيتها، وسيقلق المطورون بشأن ما إذا كان هناك ضمان بعدم إمكانية التلاعب.
قد يكون عالم DeFi يعيد تعريف اللامركزية، ليس كترك مطلق، بل كإجماع على الحد الأدنى من التنازلات في أوقات الأزمات.
