خطر كبير! شركة الأمن السيبراني تكتشف ثغرة في Aptos: 70 مليار دولار من العملات المشفرة تحت خطر نظامي.

شركة الأمن السيبراني Hexens اكتشفت ثغرة من نوع "الخلط النمطي" في آلة Move الافتراضية لسلسلة Aptos، حيث تصل نسبة نجاح الهجوم إلى 90%. تقييم Hexens يشير إلى أنه إذا تم استغلالها بشكل ضار، فإن المخاطر النظامية التي تمس الجسور عبر السلاسل، وإصدار العملات المستقرة، والبورصات قد تصل إلى 70 مليار دولار.
(ملخص سابق: كريغ سالم، كبير المسؤولين القانونيين في Grayscale، يصرح: ثغرة Zcash غير محتملة الاستغلال قبل إصلاحها)
(خلفية إضافية: هاكر القبعة البيضاء يكشف عن ثغرة يوم الصفر في Cosmos! إعادة تشغيل العقدة قد تؤدي إلى تعليق كامل وشلل، بينما تعاملت الجهة الرسمية مع الإبلاغ كبريد عشوائي)

فهرس المحتوى

Toggle

• خادم بقيمة 3،000 دولار، 18 محاولة ناجحة من أصل 20 محاكاة
• SEAL911 تتصدى طوال الليل، تم الإصلاح السريع خلال 48 ساعة
• "يكاد يكون غير قابل للاستغلال"؟ التحقق من طرف ثالث يكذب الادعاءات الرسمية
• من 250 مليون إلى 70 مليار دولار: تضخم تقديرات المخاطر طبقة تلو الأخرى

خادم بتكلفة أقل من 3،000 دولار، وفريق من هاكر القبعة البيضاء، يكفيان لتعريض أصول مشفرة بقيمة 70 مليار دولار للخطر؟ هذا ما خلصت إليه شركة Hexens في محاكاة هجوم على سلسلة Aptos. تمكن الباحثون من إعادة إنتاج الهجوم في ظروف قريبة من الشبكة الفعلية، بنسبة نجاح تصل إلى 90%.

فاهي كرابتيان، كبير المسؤولين التقنيين في Hexens، هو مكتشف هذه الثغرة. المشكلة المخبأة في آلة Move الافتراضية (البيئة الأساسية لتنفيذ العقود الذكية) في Aptos، أطلقت عليها Hexens اسم "ثغرة ذاكرة التخزين المؤقت القديمة" (stale-cache bug)، والتي تؤدي إلى "الخلط النمطي".

ببساطة، يتم تضليل البرنامج ليعتبر أحد الموارد على السلسلة كموارد آخر. بتشبيه مع بنية إيثريوم، يعادل هذا السماح للكود الذي يتحكم به المهاجم بكتابة مساحة تخزين عقود أخرى، متجاوزًا تمامًا ضمانات الأمان النمطية التي تهدف لغة Move إلى الحفاظ عليها.

خادم بقيمة 3،000 دولار، 18 محاولة ناجحة من أصل 20 محاكاة

لاختبار قابلية الثغرة للاستغلال فعليًا، بنى فريق Karapetyan بيئة محاكاة قريبة من حجم الشبكة الرئيسية: أكثر من 30 عقدة مدققة، توزيع الرهان قريب من الواقع، بالإضافة إلى تدفق معاملات حقيقي وضغط تنفيذ عالٍ. بلغت تكلفة إنشاء هذه البيئة حوالي 3،000 دولار فقط؛ وإذا تم تنفيذ الهجوم فعليًا، فإن التكلفة ستكون أقل، ولا يحتاج المهاجم إلى صلاحيات المدقق أو معرفة داخلية أو أي وصول مميز.

أجرى الفريق حوالي 20 اختبارًا في بيئة المحاكاة، نجحوا في 17 إلى 18 مرة، أي بنسبة نجاح تقارب 90%. حتى في حال فشل 2 إلى 3 مرات، فإن ذلك لا يؤدي إلى تعطل الشبكة، ويمكن للمهاجم الانتظار بصبر للنافذة التالية.

SEAL911 تتصدى طوال الليل، تم الإصلاح السريع خلال 48 ساعة

في 25 فبراير 2026، أبلغت Hexens رسميًا عن الثغرة عبر برنامج مكافآت الأخطاء في Aptos.

أعلنت Aptos أنه عند تلقي الإبلاغ، كان الفريق الداخلي يعالج المشكلة بالفعل. في نفس اليوم، قام فريق الطوارئ التطوعي في صناعة التشفير "SEAL911" بفتح غرفة عمليات، وأصبح هذا الفريق في السنوات الأخيرة خط الدفاع الأول الأساسي في مواجهة الثغرات الكبيرة في النظام البيئي للتشفير.

في غضون ساعات، أخطرت Aptos الجهات المتأثرة، وفي فترة ما بعد الظهر أبلغت 4 مشاريع رئيسية تابعة، بالإضافة إلى تقديم دليل إثبات قابل للتنفيذ محليًا (PoC). بحلول 27 فبراير، تم نشر طلب سحب (pull request) عام للإصلاح؛ وأكدت Aptos أنه قبل نشر الـ commit العام، كان الفريق قد نشر بالفعل الإصلاح للمدققين الخاصين.

صرحت Aptos الرسمية لـ CoinDesk: "عند استلام الإبلاغ عبر برنامج مكافآت الأخطاء في 25 فبراير، كان الفريق الداخلي يعالج المشكلة بالفعل. تم تطوير الإصلاح واختباره ونشره على الشبكة الرئيسية في غضون ساعات من الاكتشاف، ولم يتأثر أي مستخدم أو أموال طوال العملية."

"يكاد يكون غير قابل للاستغلال"؟ التحقق من طرف ثالث يكذب الادعاءات الرسمية

مع ذلك، هناك فجوة واضحة بين التوصيف الرسمي لـ Aptos وتقييم Hexens. صرحت Aptos لـ CoinDesk: "تحليلنا يشير إلى أن هذه الثغرة منخفضة الاستغلالية في ظروف العالم الحقيقي." ردت Hexens بأنها لم تتلق أي رد تقني قائم على الأدلة حتى الآن، وكان القلق الوحيد الذي أثارته الجهة الرسمية هو العنصر الاحتمالي للثغرة، وهو بالضبط ما تهدف تقنية "المعايرة غير المسلحة" إلى حله.

ولكن نتائج التحقق من طرف ثالث تبدو أقرب إلى جانب Hexens. موديت غوبتا، كبير المسؤولين التقنيين في Polygon، بعد فحص مستقل لدليل الإثبات، قال: "إنه يعمل كما ادعى، والثغرة منطقية... هناك بعض الشروط التي يجب توفرها، ويبدو أنهم حققوها على الشبكة الرئيسية."

مؤسسة أخرى للتحقق المستقل من PoC الخاصة بـ Hexens، Grego AI، أشارت إلى أن هذه الثغرة كافية لسرقة صلاحيات بروتوكولات متعددة بما في ذلك LayerZero وWormhole وبروتوكول نقل العملات المستقرة USDC CCTP. جستس هانا، الرئيس التنفيذي لـ Grego AI، قال مباشرة: "إذا حصل المخترق الضار على هذه الثغرة، يمكنهم أخذ أي قيمة إجمالية مقفلة (TVL) يريدونها."

من 250 مليون إلى 70 مليار دولار: تضخم تقديرات المخاطر طبقة تلو الأخرى

تقدر Hexens أن المخاطر المباشرة على سلسلة Aptos، التي تشمل التمويل اللامركزي (DeFi)، الأصول المرمزة، البنية التحتية للعملات المستقرة، والبروتوكولات الأساسية للـ staking السائل، تبلغ حوالي "عشرات المليارات من الدولارات"؛ بينما حسبت Grego AI، بناءً على نسبة نجاح الهجوم التي تقارب 90%، أن حوالي 250 مليون دولار من القيمة الإجمالية المقفلة الأصلية في Aptos مهددة بشكل مباشر، وهذا لا يشمل التعرض عبر السلاسل.

إذا قمنا بتوسيع النطاق للنظر في المخاطر النظامية الأوسع، فإن الرقم الذي تقدمه Hexens هو 70 مليار دولار، ويشمل النطاق الجسور عبر السلاسل، أنظمة الرسائل عبر السلاسل، عمليات إصدار العملات المستقرة، وقيمة الأصول التي يمكن الوصول إليها من خلال البورصات المركزية. الفرضية وراء هذا الرقم المذهل هي أن المهاجم يقوم بإصدار كميات كبيرة من USDC، ثم ينقل الأصول إلى سلاسل أخرى عبر بروتوكول نقل العملات عبر السلاسل من Circle (CCTP).

لكن Circle أعلنت مؤخرًا أنها لن تجمد الأصول دون تفويض قانوني، وبعبارة أخرى، إذا تدخلت الأطراف المعنية في الوقت المناسب، فإن احتمالية تحقيق 70 مليار دولار بالكامل منخفضة، لكن هذا الرقم لا يزال كافيًا لإظهار حجم المشكلة.

من الجدير بالذكر أن صلاحيات البروتوكولات الرئيسية مثل سك العملات المستقرة، التحكم في الجسور عبر السلاسل، إدارة أسواق الإقراض في لغة Move، غالبًا ما تُخزن على شكل "موارد على السلسلة". بمجرد اختراق هذه الأدوار، لا يقتصر الضرر على بروتوكول واحد، بل ينتشر عبر سلسلة الثقة لجميع الأنظمة التي تعتمد عليه.

في الاختبارات العملية، تمكن فريق Hexens من السيطرة على دور مثل "المُصدر الرئيسي" (master minter)، وعمل وفق مسار إدارة قانوني، على الرغم من أنهم توقفوا قبل السك الفعلي، إلا أن هذا أثبت كفاية إدراج هذه الأدوار في نموذج التهديد الكامل. يعتقد الباحثون أن الطريق الرئيسي للتعرض الأوسع هو البورصات المركزية، خاصة مسارات جسر Aptos التي تربط الأنشطة على السلسلة بتسجيل الإيداعات في البورصات.