#DriftProtocolHacked

عملية استخباراتية مدعومة من الدولة، بقيمة $285 مليون، متخفّية تحت ستار مصافحة مؤتمر للعملات الرقمية. تعاني الصناعة حاليًا من أحد أكثر هجمات DeFi تعقيدًا واحترافًا تم توثيقه على الإطلاق.

حجم الاختراق

تم استنزاف حوالي **$285 مليون** من Drift Protocol، أكبر بورصة لعقود المشتقات الدائمة (perpetual futures) على Solana، في **1 أبريل 2026**. لم يكن الهجوم ناتجًا عن ثغرة في عقد ذكي أو عن مفتاح مُسروق، بل كان محصلة **عملية هندسة اجتماعية استمرت ستة أشهر** نَظّمتها **UNC4736 (Citrine Sleet/AppleJeus)** ، وهي مجموعة مدعومة من الدولة مرتبطة بكوريا الشمالية. ذكرت Chainalysis أنه إذا تم تأكيد ذلك، فإن سرقات العملات الرقمية المرتبطة بكوريا الشمالية ستبلغ ما لا يقل عن 10.58 تريليون وون على مستوى العالم. حجم العملية مثير للدهشة: إذ أن المجموعة أنشأت هوية شركة تداول كمية وهمية، وأودعت أكثر من $1 مليون من رأس مالها الحقيقي، والتقت بمساهمي Drift شخصيًا في مؤتمرات عبر عدة دول قبل تنفيذ الضربة.

---

تشريح هجوم مدعوم من الدولة

بدأ المهاجمون عمليتهم في خريف 2025 في مؤتمر رئيسي للعملات الرقمية، حيث تظاهروا بأنهم ممثلون عن شركة تداول كمية. ما تلا ذلك كان حملة دقيقة وصبورة لبناء الثقة امتدت قرابة نصف سنة.

· مرحلة الاختراق: بحلول ديسمبر 2025 ويناير 2026، كانت المجموعة قد أنشأت/فعّلت Ecosystem Vault على Drift، وقدمت وثائق استراتيجية، وشاركت في عدة جلسات عمل مع المساهمين، وأودعت أكثر من $1 مليون من رأسمالها الخاص. وصفت Drift هذا السلوك بأنه متوافق تمامًا مع الطريقة التي تتكامل بها شركات التداول الشرعية عادةً مع البروتوكول.
· الطبقة البشرية: خلال فبراير ومارس 2026، اجتمع مساهمو Drift مع أعضاء المجموعة وجهًا لوجه في عدة مؤتمرات كبرى في القطاع عبر دول مختلفة. وبحلول وقت إطلاق الهجوم، لم يكونوا غرباء؛ بل شركاء عمل قائمين مع علاقة عمرها ما يقارب ستة أشهر.
· المسارات/المدخلات التقنية: بمجرد ترسخ الثقة، نفذت المجموعة هجومًا على محورين: أحدهما تضمن تطبيق TestFlight خبيثًا (Apple's pre-release app distribution platform that bypasses App Store review) تم تقديمه على أنه منتج محفظتهم؛ والآخر استغل ثغرة معروفة في VSCode وCursor، حيث كان فتح ملف أو مجلد ببساطة كافيًا لتنفيذ كود تعسفي بصمت دون أي تحذير أو مطالبة.

---

التنفيذ: ميزة في Solana تحولت إلى سلاح

استغل المهاجمون ميزة مشروعة في Solana تُسمى "durable nonces"، والتي تتيح توقيع المعاملات مسبقًا وأن تبقى صالحة على نحو غير محدود. وبخداع اثنين من مُوقّعي multisig على مجلس الأمن الخاص بـ Drift والمؤلف من خمسة أعضاء، لإقرار ما بدا أنه معاملات روتينية، حصل المهاجمون على موافقات مسبقة مُوقّعة بقيت خاملة لأكثر من أسبوع. في **1 أبريل**، نفذوا تلك المعاملات المُوقعة مسبقًا، واستولوا على صلاحيات إدارية على مستوى البروتوكول في أقل من دقيقة واحدة.

---

ما بعد الهجوم: تداعيات على السوق ورد فعل عنيف من المجتمع

كان الأثر الفوري مدمرًا:

· انهيار TVL: هوت القيمة الإجمالية المقفلة (TVL) في Drift من حوالي $550 مليون إلى أقل من $250 مليون في صباح واحد، بانخفاض يزيد عن 53%.
· انهيار الرمز المميز: انخفض توكن DRIFT بنسبة تصل إلى 45% خلال الساعات التالية، ليهبط إلى قرابة $0.04–$0.05.
· تأثير أوسع على النظام البيئي: أوقفت ما لا يقل عن 20 مشروعًا آخر تعرضوا لسيولة Drift أو استراتيجياتها عملياتهم أو قاموا بتقييم خسائرهم.
· دائرة الاتهام ضد Circle: وجّه المحقق على السلسلة ZachXBT انتقادًا إلى Circle لعدم تجميد USDC المسروق أثناء الهجوم، إذ استخدم المهاجم بروتوكول النقل عبر السلاسل الخاص بـ Circle (CCTP) لربط ما يقارب $232 مليون من USDC من Solana إلى Ethereum دون تدخل.

---

الآثار القانونية والأمنية

صرّح محامي العملات الرقمية Ariel Givner بأن الحادث قد يرقى إلى "إهمال مدني"، بحجة أن فريق Drift لم يتبع إجراءات أمنية أساسية — بما في ذلك إبقاء مفاتيح التوقيع على أنظمة منفصلة ومعزولة عن الشبكة (air-gapped) وإجراء العناية الواجبة اللازمة للمطورين الذين تم مقابلتهم في المؤتمرات الصناعية. تتداول بالفعل إعلانات عن دعاوى قضائية محتملة على شكل إجراءات جماعية ضد Drift Protocol. وفي استجابة لذلك، أطلقت مؤسسة Solana وAsymmetric Research برنامج الأمان STRIDE في **6 أبريل 2026**، موفرةً تحققًا رسميًا ورصدًا للتهديدات لبروتوكولات DeFi على Solana.

---

عصر جديد من تهديدات DeFi

يمثل هذا الهجوم تصعيدًا جوهريًا في مشهد التهديدات. لم يكن استغلالًا لثغرة في الكود؛ بل كان عملية استخباراتية منظمة تتطلب دعمًا مؤسسيًا وموارد كبيرة، وتحضيرًا متعمدًا استمر أشهرًا. لم يكتف المهاجمون ببناء ملفات تعريف وهمية على LinkedIn؛ بل نشروا وسطاء بهويات مكتملة بالكامل، وسير توظيف قابلة للتحقق، وشبكات مهنية قادرة على الصمود أمام العناية الواجبة الحقيقية. وكما لاحظ أحد الباحثين الأمنيين: "إذا تصرف المهاجمون كمنظمة حقيقية لمدة ستة أشهر، واستثمروا أموالًا، وشاركوا في النظام البيئي، فمن المستحيل عمليًا اكتشافهم باستخدام أنظمة الأمان الحالية".

#DeFiHack #NorthKoreaCrypto #DriftProtocol #CryptoSecurity