حوالي الساعة 17:35 بالتوقيت العالمي في 18 أبريل 2026، تعرض جسر السلاسل المتقاطعة لبروتوكول إعادة التخزين السائل الخاص بـ Kelp DAO، المعروف باسم rsETH، لهجوم واسع النطاق. استغل المهاجم ثغرة في إعدادات LayerZero للسلاسل المتقاطعة، وقام بسك حوالي 116,500 rsETH من العدم على شبكة Ethereum الرئيسية. وبحسب الأسعار السائدة في السوق حينها، بلغت قيمة هذا المبلغ نحو 293 مليون $، ما يمثل حوالي %18 من إجمالي معروض rsETH. ويُعد هذا أكبر حادث أمني في قطاع التمويل اللامركزي (DeFi) خلال عام 2026 حتى الآن.
أما النقطة الفارقة في هذا الهجوم فكانت في الخطوات التالية: بدلاً من بيع rsETH مباشرة في الأسواق الثانوية—حيث السيولة غير كافية والبيع بكميات كبيرة كان سيؤدي إلى انزلاق سعري حاد—استخدم المخترق هذه "الأصول الهوائية" كضمان في بروتوكولات الإقراض الرئيسية مثل Aave V3 وCompound V3 وEuler، واقترض ما يقارب 236 مليون $ من أصول WETH/ETH الحقيقية.
في جوهر الأمر، يمكن تلخيص هذا الحادث كالتالي: ثغرة في إعداد جسر السلاسل المتقاطعة + استغلال الضمان في بروتوكولات الإقراض + انتقال المخاطر النظامية. وباعتبار rsETH رمز إعادة تخزين سائل، كان من المفترض أن تستند قيمته إلى احتياطيات حقيقية في جسر السلاسل المتقاطعة. وعندما تم استنزاف تلك الاحتياطيات، انهارت قيمة rsETH فوراً إلى الصفر، بينما استمرت بروتوكولات الإقراض مثل Aave في تقييم الضمان بالسعر الأصلي، مما أدى إلى ديون معدومة ضخمة.
وتظهر المتابعة على السلسلة أن المخترق حصل على حوالي 106,466 ETH (بقيمة تقارب 250 مليون $)، منها حوالي 196 مليون $ من اقتراضات Aave. وقد قامت Aave لاحقاً بتجميد جميع الأسواق المرتبطة بـ rsETH، وقدرت الديون المعدومة للبروتوكول بين 177 مليون $ و196 مليون $.
توقيع واحد قاتل: تحليل معمق لثغرة إعداد LayerZero
جوهر الثغرة: إعداد 1/1 DVN الذي تم تجاهله
لم يكن جوهر هذا الهجوم خطأ في كود العقد الذكي، بل كان سوء إعداد في معلمات النشر. فقد استخدم عقد LayerZero للسلاسل المتقاطعة الخاص بـ Kelp DAO إعداد DVN (شبكة الموثقين اللامركزية) بنظام 1/1—أي أن موافقة عقد موثق واحد فقط كانت كافية للموافقة على الرسائل بين السلاسل. وكما أشار Cosine مؤسس SlowMist على منصة X، توصي الوثائق الرسمية لـ LayerZero بإعداد 2/2 DVN، لتحقيق التكرار عبر عدة عقد.
آلية DVN في LayerZero V2 تترك قرارات الأمان لطبقة التطبيق: إذ يحدد كل بروتوكول مدمج عدد عقد الموثقين المطلوبين لتأكيد رسالة السلاسل المتقاطعة قبل الموافقة عليها. وقد حدد Kelp DAO العتبة عند الحد الأدنى "1 من 1"—أي أن تأكيد عقدة واحدة كان كافياً. هذا الإعداد خلق "نقطة فشل واحدة" استغلها المهاجمون.
إعادة بناء مسار تنفيذ الهجوم
قام المهاجم بإنشاء حزمة بيانات خبيثة بين السلاسل، واستدعى دالة lzReceive على عقد LayerZero EndpointV2 لإرسال رسالة مزورة إلى عقد جسر Kelp. ادعت هذه الرسالة أن أصول rsETH تم قفلها على السلسلة المصدر وطلبت من شبكة Ethereum الرئيسية إصدار كمية مكافئة من rsETH.
أما الخلل الجوهري فكان أن عقد جسر Kelp لم يتحقق بدقة من "السلسلة المصدر" للرسائل المتقاطعة. إذ وثق العقد بشكل أعمى برسالة LayerZero ونفذ الإصدار، رغم أنه لم يتم إيداع أي rsETH فعلياً على السلسلة المصدر.
وقد موّل المهاجم رسوم المعاملات عبر Tornado Cash، ما يشير إلى استعدادات دقيقة لإخفاء الهوية قبل تنفيذ الهجوم.
نقطة العمى في التدقيق: لماذا لم تكتشف أدوات تدقيق الكود الخطر؟
يختلف هذا الحادث جوهرياً عن ثغرات إعادة الدخول أو تجاوز الأعداد الصحيحة المعتادة في كود العقود الذكية. إذ تركز تدقيقات الأمان التقليدية في DeFi على عيوب الكود، لكن أدوات مثل Slither وMythril تكاد تكون عاجزة أمام مخاطر الإعدادات. وتشير الدراسات إلى أن حتى ثغرات الكود يتم اكتشافها عبر الأدوات الحالية بنسبة %8–%20 فقط. أما معلمات الإعداد (مثل عتبات DVN وعدد الموثقين) فهي خارج نطاق أي أداة تحليل ثابت، ما يخلق نقطة عمياء هيكلية في تدقيقات الأمان.
إعادة بناء الأحداث على السلسلة: الجدول الزمني للهجوم (46 دقيقة) وتتبع تدفقات 250 مليون $
الجدول الزمني للأحداث الرئيسية
| الوقت (UTC) | الحدث | الطبيعة |
|---|---|---|
| 17:35 | المهاجم يستدعي عقد LayerZero EndpointV2، يزور رسالة بين السلاسل، ويصدر 116,500 rsETH (~293M $) على شبكة Ethereum الرئيسية | تنفيذ الهجوم |
| 18:21 | محفظة Kelp DAO متعددة التوقيعات تكتشف نشاطاً غير طبيعي، وتوقف عقود rsETH بشكل عاجل على الشبكة الرئيسية وعدة شبكات من الطبقة الثانية | استجابة دفاعية |
| 18:26 | المهاجم يحاول هجوماً ثانياً، ويحاول سحب 40,000 rsETH (~100M $)، لكن العملية تفشل | محاولة هجوم فاشلة |
| 18:28 | المهاجم يحاول هجوماً ثالثاً، ويحاول مجدداً سحب 40,000 rsETH، لكن العملية تفشل | محاولة هجوم فاشلة |
| 20:10 | Kelp DAO تنشر أول بيان عام على X تؤكد فيه النشاط المشبوه بين السلاسل | تأكيد رسمي |
| بعد الحادث بساعات | Aave وSparkLend وFluid وغيرها تجمد أسواق ضمانات rsETH بشكل عاجل | استجابة طارئة على مستوى الصناعة |
مصدر البيانات: سجلات التتبع على السلسلة
تحليل تدفقات الأموال
يوضح الجدول التالي كل خطوة اتخذها المهاجم لتحويل "rsETH الهوائي" إلى ETH حقيقي:
| الخطوة | وصف العملية | البروتوكول/العقد المعني | وجهة الأموال والنتيجة |
|---|---|---|---|
| الخطوة 1 | المهاجم يسحب رسوم المعاملات عبر Tornado Cash، استعداداً لمعاملات مجهولة. | Tornado Cash | محفظة المهاجم تتلقى ETH لرسوم الغاز اللاحقة. |
| الخطوة 2 | يزور رسالة بين السلاسل، ويستدعي عقد LayerZero EndpointV2، ويشغل عقد جسر Kelp. | LayerZero EndpointV2، جسر Kelp DAO | عقد الجسر يصدر 116,500 rsETH مزيفة إلى عنوان المهاجم. |
| الخطوة 3 | يودع معظم rsETH المزيف كضمان في عدة بروتوكولات إقراض رئيسية. | Aave V3، Compound V3، Euler | المهاجم يؤمن مراكز ضمان في كل بروتوكول استعداداً للاقتراض. |
| الخطوة 4 | يقترض أصول WETH وETH الحقيقية من بروتوكولات الإقراض. | Aave V3، Compound V3، Euler | المهاجم يقترض ما يقارب 236M $ من الأصول الحقيقية عبر البروتوكولات. |
| الخطوة 5 | يصرف وينشر ETH المقترض. | أدوات الخصوصية وعناوين وسيطة متعددة | المهاجم يحصل على حوالي 106,466 ETH (بقيمة ~250M $). |
| الخطوة 6 | تتكون ديون معدومة؛ وتتكبد بروتوكولات الإقراض خسائر مع انهيار قيمة الضمان إلى الصفر. | Aave V3، Compound V3، Euler | ديون Aave المعدومة: 177M–196M $؛ Compound: ~39.4M $؛ Euler: ~840K $. |
مصدر البيانات: تتبع على السلسلة وتقارير رسمية بعد الحادث من عدة بروتوكولات
استغرق تنفيذ الهجوم بالكامل حوالي 46 دقيقة فقط—من الاستغلال الأولي حتى إيقاف Kelp للعقود، حيث أتم المهاجم جميع خطوات الضمان والاقتراض الأساسية. ومن الجدير بالذكر أن أول بيان عام من Kelp جاء بعد حوالي ثلاث ساعات من وقوع الهجوم.
اضطراب السوق: تبخر 6.6 مليار $ من TVL في Aave خلال يوم واحد، وتراجع أسعار الرموز
أزمة السيولة في Aave وخروج المؤسسات
أدى هجوم Kelp إلى موجة سحب ضخمة من Aave. ووفقاً لـ DefiLlama، انخفض إجمالي القيمة المقفلة (TVL) في Aave من حوالي 26.4 مليار $ في 18 أبريل إلى 17.947 مليار $ خلال اليومين التاليين—أي تراجع تراكمي بقيمة 8.45 مليار $. كما انخفض إجمالي TVL في DeFi من 99.497 مليار $ إلى 86.286 مليار $، أي انخفاض بـ 13.21 مليار $ خلال يومين.
وفي يوم واحد فقط، شهدت Aave تدفقات خارجة بقيمة 6.6 مليار $، منها 3.3 مليار $ من العملات المستقرة. واعتباراً من 20 أبريل 2026، تظهر بيانات سوق Gate أن سعر AAVE بلغ 91.66 $، منخفضاً بنسبة %1.00 خلال 24 ساعة. وقد أدت موجة التصفية في عطلة نهاية الأسبوع إلى رفع رسوم البروتوكول إلى 1.99 مليون $ في يوم واحد.
ولم تكن عمليات السحب مدفوعة بذعر الأفراد، بل بسلوك حذر من المؤسسات وكبار الحائزين. وتكشف بيانات السلسلة أن المستثمر البارز في العملات الرقمية Justin Sun سحب 65,584 ETH (~154M $) من Aave. كما وصلت نسبة استخدام ETH في Aave إلى %100، وارتفعت معدلات الاقتراض على USDT وUSDC إلى %15، وارتفعت عوائد الإيداع إلى %13.4، ما يشير إلى تشدد سيولة حاد.
نظرة عامة على أداء رموز السوق
اعتباراً من 20 أبريل 2026، وبناءً على بيانات سوق Gate:
- KernelDao (KERNEL): أثر الهجوم سلباً على ثقة السوق بهذا الرمز. وتظهر بيانات Gate أن سعر KERNEL بلغ 0.0692 $، منخفضاً بحوالي %4.25 خلال 24 ساعة. وتراجع KERNEL بنسبة %17.62 خلال الأسبوع الماضي، بقيمة سوقية إجمالية تقارب 11.29 مليون $.
- AAVE (AAVE): بعد الحادث، انخفض الرمز بأكثر من %22 عند أدنى نقطة، ويتداول حالياً عند 91.66 $. ويعكس ذلك إعادة تسعير لمخاطر الضمان. القيمة السوقية حوالي 1.38 مليار $، مع تراجع شهري بنسبة %17.89.
- LayerZero (ZRO): باعتباره رمز بنية تحتية للسلاسل المتقاطعة، هبط ZRO بأكثر من %40 بعد الحادث. وتظهر أحدث البيانات أن ZRO تعافى قليلاً إلى 1.61 $، مرتفعاً بنسبة %5.85 خلال 24 ساعة، لكنه لا يزال منخفضاً بنسبة %16.30 خلال الأسبوع، بقيمة سوقية تبلغ 406.5 مليون $.
استجابة دفاعية على مستوى الصناعة
عقب الحادث، نفذت عدة بروتوكولات إجراءات احترازية طارئة:
قامت Curve Finance بتعليق جميع البنى التحتية المعتمدة على LayerZero، بما في ذلك جسور رموز CRV على BNB Chain وSonic وAvalanche، بالإضافة إلى الجسور السريعة لعملة crvUSD المستقرة. وذكرت Curve أن هذه إجراءات وقائية، رغم أن البروتوكول لم يكن مستهدفاً بشكل مباشر.
وأوقفت Morpho جسر OFT للسلاسل المتقاطعة الخاص برموز MORPHO على Arbitrum، كإجراء احترازي أيضاً.
وقام بروتوكول Reserve بتعليق سك eUSD وUSD3 بسبب تعرض احتياطي الضمان الخاص به لـ rsETH، مع بقاء الاسترداد متاحاً.
بالإضافة إلى ذلك، أصدرت اتحادات بورصات الأصول الرقمية الكورية Upbit وBithumb تحذيرات استثمارية بشأن Kernel DAO، داعية المستثمرين إلى توخي الحذر.
تغير قواعد اللعبة: ثقة السلاسل المتقاطعة، مخاطر LRT، ونقاط العمى في التدقيق
التأثير على الثقة في بنية السلاسل المتقاطعة
يمثل هذا الحادث تحدياً جديداً كبيراً لأمان جسور السلاسل المتقاطعة. فقد كانت الجسور دوماً بؤراً للثغرات الأمنية في عالم العملات الرقمية—من اختراق جسر Nomad عام 2022 إلى هجوم Kelp DAO، لا تزال ثغرات إعداد التحقق من الرسائل بين السلاسل هدفاً رئيسياً. ومن الاتجاهات اللافتة: بعد هذا الحدث، أعلنت عدة مشاريع منها Solv تعليق جسر LayerZero OFT.
وقد وفرت إجراءات التوقف الوقائي من Curve وMorpho حماية مؤقتة لأموال المستخدمين، لكنها أبرزت أيضاً اعتماد DeFi الكبير على بنية تحتية مشتركة. فعندما تواجه بروتوكولاً مشكلة، تضطر بروتوكولات أخرى لاتخاذ تدابير دفاعية، ما قد يؤدي إلى تجزئة سيولة الرموز وتقويض الثقة في أمان الجسور.
إعادة تقييم مخاطر رموز إعادة التخزين السائلة
باعتباره رمز إعادة تخزين سائل، تعتمد قيمة rsETH على الأصول الأساسية المقفلة في جسر السلاسل المتقاطعة. وقد كشف هذا الحادث عن ضعف جوهري في أصول LRT: "هجوم على الجسر → استنزاف الاحتياطيات → انهيار قيمة LRT → فشل الضمان → ديون معدومة في بروتوكولات الإقراض"، في سلسلة تفاعلية.
لم يسبق أن واجهت Aave حادثة أمنية قبل هذا الحدث. ورغم أن السبب الجذري لم يكن في كود عقودها، إلا أنه ارتبط بتقييم المخاطر وإعدادات العزل الخاصة بها لرموز LRT. للمقارنة، قام بروتوكول Spark بحذف rsETH وأصول منخفضة الاستخدام أخرى وشدد معايير الضمان في يناير، مما عزله عن هذه الاضطرابات.
وقد أشار Michael Egorov مؤسس Curve على منصة X إلى أن هذا الحدث يبرز مخاطر نموذج "الإقراض غير المعزول" المنتشر—حيث توجد قابلية توسع عالية لكن مع مخاطر أكبر، مما يجعل إدارة المخاطر أمراً محورياً. وقد يكون نموذج المحور والأقمار في Aave V4 خطوة نحو إقراض أكثر عزلة وأماناً.
تطوير معايير تدقيق الأمان
كشف هذا الحادث أيضاً عن نقاط عمياء هيكلية في تدقيقات أمان DeFi. فكما تمت الإشارة، فإن مخاطر الإعداد وأمان المفاتيح/العقد التشغيلية تقع خارج نطاق أدوات وأساليب التدقيق الحالية.
وبعد الحادث، أعلنت LayerZero أنها ستحث جميع المشاريع التي تستخدم إعداد DVN أحادي على الانتقال إلى إعدادات DVN متعددة، وعلقت خدمات التوقيع والتحقق لإعدادات 1/1. وقد يدفع هذا الإجراء الصناعة نحو معايير أمان دنيا لإعدادات السلاسل المتقاطعة. وربما تحتاج قوائم تدقيق أمان DeFi مستقبلاً إلى التوسع لتشمل مراجعة معلمات الإعداد، وتقييم أمان عقد RPC، والتحقق من آليات التوقيع المتعدد، وعوامل المخاطر غير المتعلقة بالكود.
الخلاصة
لم يسجل هجوم Kelp DAO الذي بلغت قيمته 293 مليون $ رقماً قياسياً جديداً لخسائر DeFi في 2026 فحسب، بل كشف أيضاً حقيقة طالما تم تجاهلها: أمان DeFi لا يعتمد فقط على جودة الكود، بل أيضاً على إعدادات المعلمات السليمة، وأمان تشغيل العقد، ومتانة الاعتماد على البنية التحتية في النظام البيئي.
فمن الناحية التقنية، تسبب اختيار معلمة DVN "1/1" منفردة في أزمة نظامية اجتاحت عدة بروتوكولات كبرى خلال 46 دقيقة فقط. أما من منظور السوق، فقد خسرت Aave 8.45 مليار $ من TVL في يومين، وتقلص إجمالي TVL في DeFi بأكثر من 13.21 مليار $، مع إعادة تسعير السوق لمخاطر "ثغرات الجسور + ضمانات LRT".
ويبرهن هذا الحدث مجدداً على الطبيعة المزدوجة لـ "قابلية التركيب الشبيهة بالليغو" في DeFi—كفاءة رأسمالية وابتكار مرتفع، لكن أيضاً خطر أن نقطة فشل واحدة قد تتسبب في تداعيات عبر النظام البيئي خلال دقائق معدودة.
