بروتوكول Drift يُسلب 285 مليون دولار: قراصنة كوريا الشمالية يستعدون لمدة 6 أشهر، ويستخدمون Durable Nonce للالتفاف على التواقيعات المتعددة

遭到駭客攻擊的 Drift Protocol

2026 年 4 月 1 日，Solana 鏈上知名衍生品協議 Drift Protocol 發生駭客攻擊，造成約 285M美元損失。事件發生前，平台鎖倉量（TVL）約為 550M美元；事件發生後驟降至約 230M美元。隨後，Drift 團隊 نشر تقريرًا استقصائيًا مفصلًا، كاشفًا أنها عملية هجوم بالهندسة الاجتماعية استمرت 6 أشهر، ومدعومة بإمكانات على مستوى الدولة.

كمون لمدة 6 أشهر: من مؤتمر العملات المشفرة إلى مستودع الشيفرة

وفقًا لتحقيقات Drift، بدأت عملية الهجوم قبل ذلك بوقت طويل، في خريف 2025. فقد انتحل المهاجمون صفة شركة تداول كميّة مرخّصة، وتواصلوا مع مساهمي Drift في عدة مؤتمرات للعملات المشفرة، حيث بنوا علاقة مهنية تبدو حقيقية. وخلال فترة اختراق امتدت 6 أشهر كاملة، قام المهاجمون بـ:

إنشاء مجموعة Telegram ومناقشة استراتيجيات التداول مع فريق Drift

بناء مصداقية داخل مستودعات Vault في النظام البيئي باستخدام أموال حقيقية (أكثر من 1M دولار)

عقد اجتماعات عمل متكررة في عدة دول

وأخيرًا، قد يكون الاختراق قد تم عبر مسارين اثنين: قام أحد المساهمين بنسخ مستودع شيفرة قد يكون يستغل ثغرة معروفة في VSCode/Cursor؛ وقام مساهم آخر بتنزيل تطبيق TestFlight تم تقديمه من قِبل المهاجمين تحت اسم «منتج محفظة».

الأساليب التقنية: تجاوز التواقيع المتعددة عبر معاملات موقعة مسبقًا باستخدام Durable Nonce

على المستوى التقني، استخدم المهاجمون آلية حساب «Durable Nonce» على Solana — وهي ميزة تسمح بالتوقيع المسبق للمعاملات وتأجيل تنفيذها. استغل المهاجمون ذلك لتحضير توقيعات جميع المعاملات الخبيثة مسبقًا، ثم تنفيذها فور حصولهم على الصلاحيات الكافية، تاركين للجهة المدافعة وقت استجابة ضئيلًا جدًا.

حصل المهاجمون بسرعة على صلاحيات إدارة اللجنة الأمنية في Drift، ثم قاموا بمسح الأصول ذات الصلة. وأكدت Drift لاحقًا أنه تم استخدام محافظ باردة من قِبل جميع أعضاء التواقيع المتعددة، لكن ذلك لم يمنع الهجوم، ما يوضح أن «عندما تستهدف الهجمات طبقة البشر، قد يمكن الالتفاف حتى على ضوابط الأجهزة الصارمة».

توجيه نحو كوريا الشمالية UNC4736: ارتباط نفس المجموعة التي هاجمت Radiant Capital

صرّحت Drift بأنه، وبـ«ثقة متوسطة إلى عالية»، تُنسب هذه الهجمة إلى UNC4736 (المعروفة أيضًا باسم Citrine Sleet وAppleJeus)، وهي جماعة قرصنة لها صلة بحكومة كوريا الشمالية. ووفقًا للتحقيق، فإن نمط الحادثة يتطابق بشكل كبير مع الهجوم الذي أدى في أكتوبر 2024 إلى خسارة Radiant Capital مبلغ 58.00 مليون دولار، ما يشير إلى أنه من تنفيذ نفس المجموعة من الفاعلين.

انتقاد Circle: لماذا لم تُجمّد USDC المسروقة فورًا؟

بعد الهجوم، كان محور الجدل الآخر هو سرعة استجابة Circle. ووفقًا لبيانات PeckShield، استولى المهاجمون على حوالي 71.00 مليون دولار USDC من Drift، وبعد تحويل أصول أخرى مسروقة إلى USDC، نقلوا حوالي 232.00 مليون دولار USDC من خلال اتفاقية التحويل عبر السلاسل لدى Circle (CCTP) من Solana إلى Ethereum، ما أدى إلى زيادة كبيرة في صعوبة استرداد الأموال.

انتقد المحقق المعروف على السلسلة ZachXBT تصرف Circle ببطء، وأشار إلى مقارنة لافتة للسخرية: ففي اليوم نفسه الذي قام فيه المهاجمون بإعداد حساب Durable Nonce (23 مارس)، قامت Circle بتجميد 16 محفظة تجارية ساخنة خلال دقائق، وكان ذلك نتيجةً لدعوى مدنية أمريكية — لكن في مواجهة هجوم DeFi بحجم يتجاوز تسعة أرقام، لم يتم اتخاذ إجراء مماثل بالسرعة نفسها.

رد Circle كان: «Circle شركة خاضعة للتنظيم وتعمل وفقًا لمتطلبات العقوبات وأوامر إنفاذ القانون وأوامر المحكمة. نقوم بتجميد الأصول عندما يُطلب منا ذلك بموجب القانون، بما يتماشى مع سيادة القانون ويحمي حقوق المستخدمين وخصوصيتهم». وفي المقابل، دعا المستشار القانوني لـ Plume الهيئة التشريعية إلى إنشاء آلية «ملاذ آمن»، بحيث يمكن لمصدري العملات المستقرة تجميد الأصول عندما توجد أسباب معقولة للاعتقاد بأن الأموال متورطة في نشاط غير قانوني، دون التعرض للمسؤولية المدنية.

إنذار لصناعة DeFi

أثارت إعلانات Drift اهتمامًا واسعًا في الأوساط. توضح هذه الهجمة بشكل واضح أن الجهات القراصنة على مستوى الدولة تقوم بتنفيذ إجراءات استخبارات بشرية (HUMINT) ضد بروتوكولات DeFi على مدى أشهر، وليس فقط الاعتماد على الثغرات التقنية. ومن الدروس الأساسية: لا تنسخ مستودعات خارجية إلى الأجهزة التي تتم فيها عملية التعامل مع مفاتيح الإنتاج أو أجهزة التواقيع المتعددة، ولا تثبت تطبيقات طرف ثالث ولا تفتح روابط غير معروفة؛ يجب تطبيق عزل تام بين الأجهزة وصلاحيات الوصول.

The article «Drift Protocol تعرض للسرقة بمبلغ 285M美元: قراصنة كوريا الشمالية يستعدون لمدة 6 أشهر، باستخدام Durable Nonce لتجاوز التواقيع المتعددة» ظهر لأول مرة في 鏈新聞 ABMedia.