استولى فريق قرصنة مرتبط بكوريا الشمالية على 24.15 مليون دولار من عملة USDC من بروتوكول مشتقات لامركزي — وكانت الطريقة لا علاقة لها بعقود ذكية معيبة. تدخل عملية استرداد استغلال جسر AFX الآن مرحلة عامة حرجة، مع استعداد البروتوكول للكشف عن خطة حسن نية للمستخدمين المتضررين في 3 أغسطس، عقب واحدة من أكثر هجمات سلسلة التوريد تعقيدًا من الناحية التقنية التي شهدتها DeFi هذا العام.
Summary
أهم النقاط
- سيصدر AFX خطة تعويض بحسن نية للمستخدمين المتضررين من الاستغلال في 3 أغسطس 2026.
- تمت سرقة حوالي 24.15 مليون دولار من USDC من جسر الحفظ الخاص بـ AFX في 22 يوليو، ثم حُوِّلت لاحقًا إلى ما يقرب من 12,467 ETH.
- بدأ الهجوم من حملة هندسة اجتماعية في 9 يوليو استهدفت مطورًا في AFX عبر مجنّد مزيف ادعى أنه من شركة Oddium Lab.
- لم يتم اختراق الجسر الأصلي أو شبكة Arbitrum؛ إذ كان الخرق محصورًا بالكامل ضمن البنية التحتية التي يديرها AFX.
- تربط الأدلة الجنائية الهجوم بالمجموعة UNC4899، المعروفة أيضًا باسم TraderTraitor، وهي مجموعة تهديد مدعومة من كوريا الشمالية تتبعها شركات Mandiant وMicrosoft Threat Intelligence ومكتب التحقيقات الفيدرالي (FBI) ووكالة CISA.
AFX يعلن عن خطة حسن نية لضحايا استغلال الجسر بقيمة 24.15 مليون دولار
أكد الإعلان، الذي نُشر في 31 يوليو، أن AFX يضع اللمسات الأخيرة على خطة حسن نية وسيصدر التفاصيل الكاملة يوم الاثنين 3 أغسطس. وأقر الفريق بأن المستثمرين والموظفين والداعمين الأوائل قد تأثروا جميعًا، وطلب من المجتمع التحلي بالصبر ريثما تُستكمل المقترحات. لم يتم بعد الكشف عن الهيكل الدقيق لأي آلية تعويض أو استرداد.
ما يجعل هذه اللحظة مهمة هو حساب الثقة الأوسع الذي يواجه قاعدة مستخدمي AFX الآن. عادة ما تشير خطة حسن النية إلى أن التعويض الكامل عن الأموال المسروقة غير مضمون — فهي تمثل محاولة من البروتوكول لإظهار المساءلة عندما يظل استرداد الأموال من المهاجم غير مؤكد. لم تؤكد أي تقارير عامة حتى الآن أن أي جزء من الأصول المسروقة قد أُعيد.
كان AFX قد اقترح سابقًا ترتيب مكافأة “قبعة بيضاء” للمهاجم، عارضًا السماح له بالاحتفاظ بنسبة 30% من الأموال المسروقة مقابل إعادة الـ 70% المتبقية. لم يتم تأكيد نتيجة هذا العرض علنًا.
كيف أسقط مجنّد مزيف جسرًا بقيمة 24 مليون دولار
لم يستغل الهجوم ثغرة في كود AFX على السلسلة. بدلًا من ذلك، بدأ برسالة في 9 يوليو — أي قبل ما يقرب من أسبوعين من تحريك أي أموال.
وفقًا للتقرير التفصيلي لما بعد الحادثة الصادر عن AFX، فقد تظاهر المهاجم بأنه مجنّد من شركة تُدعى Oddium Lab وتواصل مع أحد مطوري AFX. تم إقناع المطور باستنساخ مستودع برمجي بدا شرعيًا. كان مخفيًا بداخله إعداد خبيث لـ Git ينفذ حمولة ضارة تلقائيًا أثناء سير عمل Git القياسي، مما منح المهاجم موطئ قدم أولي على محطة عمل المطور.
من هناك، تصاعد التسلل بشكل منهجي. وسّع المهاجم نطاق الوصول عبر أنظمة التطوير الداخلية، وفي النهاية حمّل ملحق Groovy خبيث إلى مستودع القطع البرمجية JFrog الخاص بـ AFX. منحهم ذلك تنفيذًا عن بُعد للأكواد داخل بيئة تسليم البرمجيات الخاصة بالبروتوكول. والأهم أن أحداث نفاد الذاكرة المتكررة على خادم JFrog اعتُبرت مشكلات تشغيلية روتينية — حتى بمساعدة من المورّد — مما سمح للملحق الخبيث بالاستمرار عبر عمليات إعادة تشغيل متعددة دون إطلاق استجابة أمنية.
كشفت التحليلات الجنائية أن الملفات التنفيذية للنظام قد استُبدلت بنسخ مُحصنة ببرمجيات خبيثة، وأن مكتبات مشتركة ضارة قد حُقنت، وأن المهاجم حاول محو سجلات الأمان قبل أن يتعطل جزء من البرمجيات الخبيثة. في النهاية، احتفظت سجلات SELinux بأدلة حاسمة: حركة مرور صادرة للتحكم والقيادة، وتنفيذ أوامر عبر الصدفة (shell)، وأنماط تنفيذ أكواد في الذاكرة أصبحت محورية في التحقيق.
اختراق المدقّقين مكّن السرقة النهائية
بعد أن ترسخ في بيئة التطوير، انتقل المهاجم إلى البنية التحتية التشغيلية عبر خدمة إدارة داخلية قائمة على Ansible كانت تمتلك بالفعل صلاحيات وصول مميزة إلى عقد المدقّقين. لم تكن هناك حاجة لسرقة بيانات اعتماد جديدة. استغل المهاجم ببساطة علاقات الثقة الداخلية القائمة لدفع حمولات خبيثة إلى مجموعة فرعية من المدقّقين.
قامت عقد المدقّقين المصابة بتنزيل حمولة من المرحلة الثانية من خادم بعيد، ثم تلاعبت بالتعامل مع رسائل الإجماع. في الساعة 9:27 مساءً بالتوقيت العالمي المنسق في 22 يوليو، شاركت تلك العقد المخترقة في توقيع معاملة جسر احتيالية، حوّلت ما يقرب من 24.15 مليون دولار من USDC خارج جسر الحفظ الخاص بـ AFX. ثم انتقلت عملات USDC المسروقة من Arbitrum إلى Ethereum، حيث حُوِّلت إلى ما يقرب من 12,467 ETH.
جسر Arbitrum الأصلي لم يكن معرضًا للخطر
برز تمييز رئيسي في وقت مبكر من الاستجابة للحادثة: كان الخرق محصورًا بالكامل ضمن البنية التحتية التي يديرها ويشغلها AFX. يستمد الجسر الأصلي لـ Arbitrum أمانه من بنية الـ rollup، التي تعتمد في النهاية على ضمانات أمان Ethereum — وهو نموذج ثقة مختلف جوهريًا عن الجسور التابعة لأطراف ثالثة مثل جسر الحفظ الخاص بـ AFX، الذي يدير مجموعات المدقّقين وممارسات إدارة المفاتيح الخاصة به.
أكد ستيفن غولدفيدَر، الشريك المؤسس والرئيس التنفيذي لشركة Offchain Labs، علنًا أن المعاملة المشبوهة نشأت من بروتوكول تابع لطرف ثالث، وليس من الجسر الأساسي لـ Arbitrum. كما حققت شركة أمن البلوكشين Blockaid وتوصلت إلى النتيجة نفسها. وأكد تقرير AFX لما بعد الحادثة تلك النتائج، مشيرًا إلى أنه لم يُعثر على أي دليل على اختراق شبكة Arbitrum أو جسرها الأصلي.
يُعد هذا التمييز مهمًا للغاية للمستخدمين. فهو يرسم خطًا واضحًا بين ضمانات الأمان التي تأتي مع بنية rollup الخاصة بـ Arbitrum وتلك التي تقدمها البروتوكولات التابعة لأطراف ثالثة التي تعمل بشكل مستقل داخل النظام البيئي. شهد شهر يوليو 2026 وحده ما لا يقل عن 14 خرقًا أمنيًا مسجلاً عبر قطاع العملات المشفرة، وفقًا لتقارير Crypto Briefing — وهو حجم يمنح قرارات اختيار الجسور أهمية إضافية.
نَسْب الهجوم إلى كوريا الشمالية وتهديد سلسلة التوريد لـ DeFi
قال AFX إن نتائجه الجنائية تتسق مع النَّسْب الخارجي الذي يربط الهجوم بـ UNC4899، المعروفة أيضًا باسم TraderTraitor — وهي مجموعة تهديد مرتبطة بكوريا الشمالية تتبعها بشكل مستقل شركات Mandiant وMicrosoft Threat Intelligence ومكتب التحقيقات الفيدرالي (FBI) ووكالة CISA. تتماشى التقنيات التي لوحظت مع نمط صقله الفاعلون المدعومون من الدولة في كوريا الشمالية عبر عدة سرقات بارزة للعملات المشفرة: استهداف المطورين من خلال عروض عمل مزيفة، وترسيخ وجود عميق داخل أنظمة البناء، ثم استغلال علاقات الثقة الداخلية لتفويض معاملات احتيالية.
ما يوضحه هذا الحادث هو وجود ثغرة هيكلية نادرًا ما تعالجها تدقيقات أمان البلوكشين. تقوم تدقيقات العقود الذكية بفحص الكود على السلسلة. لكنها لا تقول شيئًا عما إذا كان من الممكن أن يستنسخ مطور مستودعًا خبيثًا، أو ما إذا كان من الممكن استخدام خط أنابيب CI/CD لاختراق عقد المدقّقين بصمت. من هذه الزاوية، تُعد جهود استرداد استغلال جسر AFX دراسة حالة في كيفية امتداد سطح الهجوم على بروتوكولات DeFi إلى ما هو أبعد بكثير من البلوكشين نفسه.
إصلاحات أمنية بعد الهجوم
تحرك AFX بسرعة لمعالجة البنية التحتية. أعاد البروتوكول بناء الأنظمة المتأثرة، ودوّر بيانات الاعتماد التشغيلية، وزاد من حساسية المراقبة، ونقل بيئات الإنتاج إلى بنية أكثر عزلة باستخدام تقسيم الثقة الصفرية (zero-trust segmentation). تشمل التدابير الإضافية المخطط لها خلال الأشهر المقبلة توسيع المراقبة السلوكية، وإجراء مراجعات أمنية إلزامية قبل إعادة تشغيل خدمات الإنتاج، وتوسيع تمارين تعقب التهديدات، وتدريب الموظفين بشكل خاص على تكتيكات الهندسة الاجتماعية.
يتناسب الحادث أيضًا مع نمط أوسع من الهجمات خارج السلسلة التي تؤثر على بروتوكولات DeFi. ففي 30 يوليو، كشفت Ostium أن استغلالًا منفصلًا بقيمة 23.75 مليون دولار من USDC نتج عن وصول غير مصرح به إلى بنية تحتية خارج السلسلة سمحت بتمرير بيانات سعر BTC-USD احتيالية لاستنزاف خزينة السيولة — بينما ظلت عقودها الذكية سليمة. وبالمثل، أبلغت شركة المدفوعات Triple-A، ومقرها سنغافورة، عن وصول غير مصرح به إلى محافظ الخزينة المملوكة للشركة، رغم أنها قالت إن أموال العملاء لم تتأثر.
سيتم متابعة إعلان خطة حسن النية في 3 أغسطس عن كثب عبر مجتمع DeFi — ليس فقط لما سيقدمه AFX للمستخدمين المتضررين، بل لما سيشير إليه بشأن كيفية تعامل البروتوكولات مع المساءلة عندما يكون المهاجمون مدعومين من دول وتظل الأموال غير مستردة.
الأسئلة الشائعة
ما الذي تسبب في استغلال جسر AFX؟
بدأ الهجوم بحملة هندسة اجتماعية في 9 يوليو، حيث تظاهر مهاجم بأنه مجنّد من Oddium Lab وأقنع مطورًا في AFX باستنساخ مستودع Git خبيث. منح ذلك المهاجم موطئ قدم أولي، استُخدم لاحقًا لاختراق أنظمة التطوير الداخلية، وتحميل ملحق Groovy خبيث إلى مستودع JFrog، وفي النهاية الحصول على وصول إلى عقد المدقّقين عبر خدمة إدارة داخلية قائمة على Ansible.
كم المبلغ الذي سُرق في استغلال جسر AFX وماذا حدث للأموال؟
سُرق ما يقرب من 24.15 مليون دولار من USDC من جسر الحفظ الخاص بـ AFX في 22 يوليو 2026. نُقلت الأموال من Arbitrum إلى Ethereum وحُوِّلت إلى ما يقرب من 12,467 ETH. لم تؤكد أي تقارير عامة أنه تم استرداد أي جزء من الأصول المسروقة.
هل أثّر الاستغلال على الجسر الأصلي أو شبكة Arbitrum؟
لا. استهدف الاستغلال جسر الحفظ الخاص بـ AFX فقط. لم يتم اختراق الجسر الأصلي أو شبكة Arbitrum، كما أكد تقرير AFX لما بعد الحادثة، والرئيس التنفيذي لـ Offchain Labs ستيفن غولدفيدَر، وشركة أمن البلوكشين Blockaid.
ما هو رد AFX المخطط على الاستغلال؟
سيصدر AFX خطة تعويض بحسن نية للمستخدمين المتضررين في 3 أغسطس 2026. وقد أعاد البروتوكول بالفعل بناء البنية التحتية الرئيسية، ودوّر بيانات الاعتماد، وطبّق تقسيم الثقة الصفرية، وعزّز المراقبة كجزء من إصلاحه الأمني بعد الهجوم. لم يكن هيكل التعويض الدقيق للمستخدمين المتضررين قد كُشف علنًا قبل إعلان 3 أغسطس.
{“@context”:”https://schema.org”,”@type”:”FAQPage”,”mainEntity”:[{“@type”:”Question”,”name”:”ما الذي تسبب في استغلال جسر AFX؟”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”بدأ الهجوم بحملة هندسة اجتماعية في 9 يوليو، حيث تظاهر مهاجم بأنه مجنّد من Oddium Lab وأقنع مطورًا في AFX باستنساخ مستودع Git خبيث. منح ذلك المهاجم موطئ قدم أولي، استُخدم لاحقًا لاختراق أنظمة التطوير الداخلية، وتحميل ملحق Groovy خبيث إلى مستودع JFrog، وفي النهاية الحصول على وصول إلى عقد المدقّقين عبر خدمة إدارة داخلية قائمة على Ansible.”}},{“@type”:”Question”,”name”:”كم المبلغ الذي سُرق في استغلال جسر AFX وماذا حدث للأموال؟”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”سُرق ما يقرب من 24.15 مليون دولار من USDC من جسر الحفظ الخاص بـ AFX في 22 يوليو 2026. نُقلت الأموال من Arbitrum إلى Ethereum وحُوِّلت إلى ما يقرب من 12,467 ETH. لم تؤكد أي تقارير عامة أنه تم استرداد أي جزء من الأصول المسروقة.”}},{“@type”:”Question”,”name”:”هل أثّر الاستغلال على الجسر الأصلي أو شبكة Arbitrum؟”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”لا. استهدف الاستغلال جسر الحفظ الخاص بـ AFX فقط. لم يتم اختراق الجسر الأصلي أو شبكة Arbitrum، كما أكد تقرير AFX لما بعد الحادثة، والرئيس التنفيذي لـ Offchain Labs ستيفن غولدفيدَر، وشركة أمن البلوكشين Blockaid.”}},{“@type”:”Question”,”name”:”ما هو رد AFX المخطط على الاستغلال؟”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”سيصدر AFX خطة تعويض بحسن نية للمستخدمين المتضررين في 3 أغسطس 2026. وقد أعاد البروتوكول بالفعل بناء البنية التحتية الرئيسية، ودوّر بيانات الاعتماد، وطبّق تقسيم الثقة الصفرية، وعزّز المراقبة كجزء من إصلاحه الأمني بعد الهجوم. لم يكن هيكل التعويض الدقيق للمستخدمين المتضررين قد كُشف علنًا قبل إعلان 3 أغسطس.”}}]}
تم إعداد المقال بمساعدة الذكاء الاصطناعي ومراجعته من قبل الفريق التحريري.
