استغلال جسر Verus Ethereum: الثغرة ذاتها بقيمة 11.58 مليون دولار

في 18 مايو 2026، استنزف أحدهم جسر Verus-Ethereum بمبلغ 11.58 مليون دولار. وبحسب ما أوردته CoinDesk، كان ذلك ثامن اختراق يطال جسراً للعملات المشفرة خلال العام. لم يعتمد استغلال جسر Verus Ethereum على أسلوب هجومي جديد أو غريب، بل كان الإخفاق ذاته الذي شهدناه يُوقع الجسور منذ عام 2021: الإفراج عن الأموال على سلسلة بلوكتشين دون التحقق الصحيح مما جرى فعلياً على السلسلة الأخرى.

للدالة المعرضة للثغرة اسم هذه المرة: checkCCEValues. وهي الروتين المفترض التحقق من تطابق قيم التصدير عبر السلاسل مع الواقع قبل سك الرموز أو الإفراج عنها على الجانب الإيثيري. لم تؤدِّ مهمتها، فمضى المهاجم بلا عائق.

أمضيت أربع سنوات في بناء بنية تحتية مجاورة للجسور في سياق منظَّم، والجانب المحزن أن ذلك بات متوقعاً تماماً. نحن لا نتوقف عن إعادة تسمية الجرح نفسه.

استغلال جسر Verus Ethereum كان إخفاقاً في التحقق من مصدر البيانات

جرِّد المصطلحات البراقة وستجد أن كل جسر يقوم بشيء واحد: يرصد حدثاً على السلسلة أ (إيداعاً أو قفلاً أو تصديراً) وينتج إجراءً مقابلاً على السلسلة ب (سكاً أو فك قفل أو إفراجاً). ويقوم النموذج الأمني بأكمله على سؤال واحد: هل تثق السلسلة ب فعلاً بما أخبرتها به السلسلة أ، وهل تحققت من ذلك؟

حين يكون التحقق الذي يُثبت المبالغ على الجانب المصدر خاطئاً، يصبح الجواب "لا". يقوم المهاجم بتزوير قيمة التصدير المُعلَنة أو تضخيمها، يثق بها العقد الوجهة، فتُسك رموز أو تُحرر دون أي رصيد حقيقي يدعمها. أفادت The Block بأن الخسارة بلغت نحو 11.58 مليون دولار، سُرقت عبر هذه الفجوة المحاسبية تحديداً في التحقق من التصدير عبر السلاسل.

هذا هو التحقق من مبالغ المصدر في الجسر، وهو الوظيفة الأشد تحملاً في النظام بأكمله. أخطئ في مقارنة واحدة فحسب وسيتحول الجسر إلى آلة طباعة مال مجانية.

checkCCEValues مجرد الاسم الأحدث لثغرة قديمة

ثغرة checkCCEValues متطابقة هيكلياً مع الأخطاء التي كلّفت الصناعة مليارات الدولارات من قبل. الأسماء تتبدّل. الآلية لا تتغير.

• Wormhole، 2022: ثغرة في التحقق من التوقيع أتاحت للمهاجم سك 120,000 إيثر ملفوف لم يُودَع قط.
• Nomad، 2022: خطأ في تهيئة جذر ميركل جعل أي رسالة تُعدّ صحيحة تلقائياً، فأُفرغ الجسر بنسخ ولصق جماعي.
• Multichain، 2023: مفاتيح وافتراضات ثقة لم يستطع أحد من الخارج التحقق منها فعلاً.

كل واحدة من هذه الحوادث كانت في جوهرها أن السلسلة الوجهة تُطلق قيمة دون دليل سليم على الحدث في السلسلة المصدر. وcheckCCEValues هي التهجئة 2026 للكلمة ذاتها.

أعتقد أن الصناعة لا تزال تتعامل مع هذه الحوادث باعتبارها أخطاء هندسية فردية، في حين أنها فشل على مستوى الفئة بأكملها. لا يُصلح الفئةَ أن تُراجع دالة واحدة بمزيد من الدقة.

Tornado Cash موّل المهاجم، وهذا يكشف عن النية

مُوِّلت محفظة المهاجم عبر Tornado Cash قبل تنفيذ الاستغلال. هذه التفصيلة أقل أهمية لناحية تحديد الهوية، وأكثر أهمية لما تكشفه عن مستوى التحضير. لم يكن هذا باحثاً أمنياً يتفحص عقداً فوجئ بالنتيجة. نمط "المهاجم الممول عبر Tornado Cash" هو بصمة شخص بنى غطاءً تشغيلياً قبل أيام، وكان يتوقع أن الأموال ستحتاج إلى تبييض في طريق الخروج.

هذا هو الجانب الذي يستهين به المدافعون. بحلول وقت وصول معاملة الاستغلال، يكون مسار الخروج قد اكتمل بناؤه مسبقاً. تتبع الأثر لاحقاً يفيد المدعين العامين، لكنه لا يكاد يُجدي شيئاً للبروتوكول الذي خسر للتو أرقاماً من ثمانية خانات.

إخفاقات أمن الجسور باتت ضريبة شهرية

إذا نظرت إلى الصورة الأشمل، يتبيّن أن اختراق Verus مجرد بند في قائمة لا استثناء منها. وفقاً لـ بيانات PeckShield استشهد بها Bitcoin.com، بلغ مجموع استغلالات جسور التشفير نحو 328 مليون دولار في مايو 2026 وحده. ثمانية حوادث على الجسور في أقل من خمسة أشهر من العام.

لقد أدرج السوق هذا الأمر بهدوء ضمن تكاليف ممارسة أعمال التداول عبر السلاسل. وهذا درس خاطئ. الخسارة الشهرية المتكررة التي تبلغ تسعة أرقام ليست تذبذباً، بل عيب هيكلي ترفض الفضاءات التصميمية مواجهته.

بالنسبة لأي شخص ينقل قيماً حقيقية، فإن الخلاصة مزعجة: معظم الجسور عبارة عن افتراضات ثقة ترتدي زياً رياضياً. لقد جادلت من قبل، في كيف تفشل جسور العملات المستقرة فعلياً، بأن الجسر الأكثر أماناً هو في الغالب ذلك الذي يعترف بمحدودية ما يتحقق منه فعلياً.

كيف يبدو التحقق الفعلي المنيع في الجسور

إذا كنت تبني جسراً أو تراجعه، فإن التحقق من مبلغ المصدر هو المكان الذي يجب أن تصرف فيه النصيب الأكبر من حذرك. إليك بعض الأمور التي أعاملها باعتبارها غير قابلة للتفاوض:

1. يجب أن يتحقق عقد الوجهة من دليل تشفيري على حدث المصدر، لا من كلام ناقل البيانات. يُفضَّل استخدام إثباتات العميل الخفيف أو إثباتات zk على توقيعات multisig متعددة حيثما تسمح ميزانية الكمون.
2. يجب أن تكون عمليات التحقق من المبلغ شاملة على كل مسار. تميل أخطاء من نوع checkCCEValues إلى الاختباء في فرع تتخطاه بعض المدخلات. اختبر المقارنة بالـ fuzzing، ولا تكتفِ بتفحصها بصرياً.
3. حدود معدل الاستخدام وقواطع الدوائر لكل أصل على حدة، حتى لا تستطيع قيمة مزورة تفريغ الاحتياطي بأكمله في معاملة واحدة. حد أقصى يوقف التشغيل تلقائياً عند 5% من إجمالي القيمة المقفلة TVL في الساعة كان سيُخفف من حدة معظم حوادث عام 2026.
4. مراقبة مستقلة للثوابت تتابع إجمالي العملات المُصدرة مقابل إجمالي المُقفلة في الوقت الفعلي وتوقف التشغيل عند اكتشاف أي تباين.

لا شيء من هذا جديد. مجموعة أدوات المراجعة الكفيلة برصد هذه الثغرات موجودة، وقد تناولتها في مقالة مجموعة أدوات المراجعة. المشكلة أن الجسور تستمر في شحن منطق التحقق باعتباره إضافة لاحقة بدلاً من صلب المنتج.

اختراق الجسر التالي في 2026 بات يُكتب الآن. سيحمل اسم دالة مختلفاً وسبباً جذرياً واحداً، وسنتظاهر بالدهشة من جديد. لا ينبغي لنا ذلك.

لم يتضمن طلبك النص المراد ترجمته، بل مجرد روابط المصادر. هل يمكنك مشاركة النص الكامل للمقال أو المحتوى الذي تريد ترجمته إلى العربية؟