حمله ۲۹۳ میلیون دلاری DeFi که یک نقطه ضعف پنهان را آشکار کرد

در ۱۸ آوریل ۲۰۲۶، اکوسیستم مالی غیرمتمرکز با یکی از مهم‌ترین نقض‌های امنیتی سال مواجه شد. در یک حمله بسیار هماهنگ، تقریباً ۲۹۰ تا ۲۹۳ میلیون دلار از دارایی‌ها، معادل حدود ۱۱۶,۵۰۰ واحد rsETH، از زیرساخت بریج KelpDAO تخلیه شد.

در نگاه اول، ممکن است مشابه اکسپلویت‌های قبلی DeFi به نظر برسد. اما این حادثه به یک دلیل مهم متفاوت است: ناشی از نقص در منطق قرارداد هوشمند نبود. در عوض، آن یک آسیب‌پذیری عمیق‌تر و نگران‌کننده‌تر را آشکار کرد – شکنندگی زیرساخت‌های خارج از زنجیره که بسیاری از پروتکل‌ها بی‌سروصدا به آن وابسته هستند. این تمایز اهمیت دارد. زیرا در حالی که قراردادهای هوشمند به مرور زمان امن‌تر شده‌اند، سیستم‌های پیرامون آنها اکنون به سطح اصلی حمله تبدیل شده‌اند.

منبع: @Jeremybtc

KelpDAO چیست؟

KelpDAO یک پروتکل ری‌استیکینگ (restaking) نقدشونده است که عمدتاً بر روی اتریوم ساخته شده و برای افزایش کارایی سرمایه برای کاربرانی که در اکوسیستم‌های استیکینگ شرکت می‌کنند، طراحی شده است. از طریق ادغام با فریم‌ورک‌های ری‌استیکینگ مانند EigenLayer، KelpDAO به کاربران این امکان را می‌دهد تا ETH خود را مجدداً استیک (restake) کرده و یک توکن مشتق نقدشونده به نام rsETH دریافت کنند. این توکن سپس می‌تواند در سراسر DeFi برای وام‌دهی، وثیقه‌گذاری یا تریدینگ (معامله) مستقر شود و به طور مؤثر به کاربران اجازه می‌دهد در عین حفظ نقدینگی، سود کسب کنند.

تا اوایل سال ۲۰۲۶، rsETH به یک دارایی قابل توجه در اکوسیستم ری‌استیکینگ تبدیل شده بود که عمیقاً در چندین پروتکل DeFi ادغام شده بود. بخش کلیدی این گسترش به قابلیت‌های کراس‌چین (cross-chain) وابسته بود که توسط زیرساخت‌هایی مانند LayerZero تسهیل می‌شد. با این حال، همین وابستگی به ضعیف‌ترین حلقه پروتکل تبدیل شد.

منبع: @kelpDao

جدول زمانی حمله

اکسپلویت به سرعت گسترش یافت و نشان داد که حملات مدرن چقدر سریع می‌توانند تشدید شوند. در ساعت ۱۷:۳۵ UTC، مهاجمان با ارسال یک پیام کراس‌چین جعلی، توالی حمله را آغاز کردند. این پیام به دروغ نشان می‌داد که مقدار زیادی rsETH در Unichain، یک محیط لایه ۲ مرتبط با Uniswap، سوزانده شده است. از آنجایی که سیستم با یک پیکربندی تأییدکننده واحد (single-verifier) تنظیم شده بود، پیام بدون بررسی‌های کافی برای افزونگی (redundancy) پذیرفته شد. این امر منجر به آزاد شدن تقریباً ۱۱۶,۵۰۰ واحد rsETH از قراردادهای امانی مبتنی بر اتریوم به کیف پول‌های تحت کنترل مهاجمان شد.

در عرض چند دقیقه، وجوه ناپدید شدند. حدود ۴۶ دقیقه بعد، امضای چندگانه اضطراری (emergency multisig) KelpDAO وارد عمل شد و پروتکل را متوقف کرد. دو تلاش بعدی برای تخلیه ۸۰,۰۰۰ واحد rsETH دیگر به ارزش حدود ۲۰۰ میلیون دلار، به دلیل این واکنش با موفقیت مسدود شد. با وجود مهار نسبی، خسارت اصلی قبلاً وارد شده بود.

حمله چگونه کار کرد

آنچه این اکسپلویت را به خصوص مهم می‌کند، روش آن است. مهاجمان به جای سوءاستفاده از یک باگ در کد قرارداد هوشمند، لایه زیرساختی را هدف قرار دادند که ارتباطات کراس‌چین را اعتبارسنجی می‌کند. این حمله شامل چندین مرحله هماهنگ بود:

1. اولاً، گره‌های RPC که توسط شبکه تأییدکننده LayerZero استفاده می‌شدند، یا به خطر افتاده (compromised) یا دستکاری شدند. این امر به مهاجمان کنترل بر نحوه تفسیر داده‌های تأیید را داد.
2. دوماً، یک حمله محروم‌سازی از سرویس توزیع شده (DDoS) علیه گره‌های مشروع راه‌اندازی شد. این امر سیستم را مجبور کرد تا به گره‌های پشتیبان (fallback nodes) متکی شود که برخی از آنها تحت نفوذ مهاجم بودند. با این کنترل، مهاجمان یک پیام جعلی تولید کردند که در مدل اعتماد سیستم معتبر به نظر می‌رسید.
3. سوماً، به دلیل پیکربندی تأییدکننده ۱-از-۱ (1-of-1 verifier configuration) KelpDAO، یک تأیید واحد برای اجازه آزاد شدن وجوه کافی بود.

این انتخاب پیکربندی، که احتمالاً برای کاهش تاخیر و هزینه‌ها انجام شده بود، افزونگی را از بین برد. و در سیستم‌های امنیتی، عدم افزونگی اغلب معادل یک نقطه شکست واحد (single point of failure) است.

انتساب: نقش گروه لازاروس

شرکت‌های امنیتی، از جمله LayerZero و Chainalysis، با اطمینان بالا این حمله را به گروه لازاروس (Lazarus Group)، یک سازمان هکری تحت حمایت دولتی مرتبط با کره شمالی، نسبت داده‌اند. به طور خاص، زیرگروه معروف به "TraderTraitor" مسئول این حمله شناخته شده است.

این یک حادثه جداگانه نیست. در همان ماه، لازاروس همچنین به موارد زیر مرتبط بود:

1. اکسپلویت پروتکل دریفت (Drift Protocol)، که منجر به ضررهای تقریباً ۲۸۵ میلیون دلاری شد.
2. یک حمله کوچک‌تر اما مرتبط به Hyperbridge.

آنچه برجسته است، الگو است. اینها حملات فرصت‌طلبانه نیستند که از آسیب‌پذیری‌های ساده سوءاستفاده کنند. آنها عملیات‌های بلندمدت و هدفمند هستند که اغلب شامل ماه‌ها آماده‌سازی و چندین وکتور حمله می‌شوند. تمرکز به وضوح به سمت زیرساخت‌های با ارزش بالا – بریج‌ها (bridges)، سیستم‌های ری‌استیکینگ (restaking systems) و پروتکل‌های کراس‌چین (cross-chain protocols) – تغییر کرده است.

تأثیر فوری بر اکوسیستم DeFi

پیامدهای این حمله فوری و گسترده بود. توکن rsETH به سرعت پِگ خود را از دست داد و باعث بی‌ثباتی در پلتفرم‌های وام‌دهی شد. پروتکل‌هایی مانند آوه (Aave) و دیگران به سرعت اقدام به مسدود کردن یا محدود کردن rsETH به عنوان وثیقه کردند تا از ریسک سیستمی بیشتر جلوگیری کنند. این واکنش، اگرچه ضروری بود، به یک شوک نقدینگی گسترده‌تر کمک کرد.

در عرض چند روز، بیش از ۱۳ میلیارد دلار از کل ارزش از پلتفرم‌های DeFi خارج شد – یکی از سریع‌ترین خروج سرمایه‌ها در سال‌های اخیر. این حادثه یک واقعیت کلیدی را برجسته کرد: DeFi مدرن به شدت به هم پیوسته است. شکست در یک جزء – به خصوص یک بریج – می‌تواند در چندین سیستم زنجیره‌ای تأثیر بگذارد و نقدینگی، پایداری وثیقه و اعتماد کاربر را به طور همزمان تحت تأثیر قرار دهد.

درس‌هایی برای پروتکل‌ها و کاربران

اکسپلویت KelpDAO چندین درس حیاتی را برای این صنعت تقویت می‌کند.

1. اولاً، افزونگی دیگر اختیاری نیست. سیستم‌هایی که به تأییدکننده‌های واحد یا مدل‌های اعتماد ساده‌شده متکی هستند، ذاتاً آسیب‌پذیرند. پیکربندی‌های چند تأییدکننده و مکانیسم‌های اعتبارسنجی غیرمتمرکز باید الزامات پایه در نظر گرفته شوند.
2. دوماً، امنیت باید فراتر از قراردادهای هوشمند باشد. زیرساخت‌های خارج از زنجیره – گره‌های RPC، اوراکل‌ها و لایه‌های تأیید – باید با همان سطح دقت کد درون‌زنجیره‌ای (on-chain) مورد بررسی قرار گیرند.
3. سوماً، مکانیسم‌های پاسخ‌گویی اهمیت دارند. در حالی که KelpDAO متحمل ضررهای قابل توجهی شد، مکانیسم توقف سریع آن از آسیب‌های بیشتر جلوگیری کرد. این نشان‌دهنده ارزش داشتن کنترل‌های اضطراری به خوبی تعریف‌شده است.
4. برای کاربران، درس به همان اندازه روشن است. بیش از حد قرار گرفتن در معرض یک دارایی یا پروتکل واحد – به خصوص آنهایی که به زیرساخت‌های پیچیده وابسته هستند – می‌تواند ریسک را افزایش دهد. تنوع‌بخشی (Diversification) و آگاهی از مکانیسم‌های زیربنایی ضروری است.

یک نقطه عطف برای امنیت DeFi

این حمله، همراه با سایر اکسپلویت‌های مهم در سال ۲۰۲۶، نشان‌دهنده یک تغییر در نحوه رویکرد DeFi به امنیت است. این صنعت در ممیزی قراردادهای هوشمند و تأیید رسمی پیشرفت قابل توجهی داشته است. اما مهاجمان سازگار شده‌اند. آنها اکنون لایه‌هایی را هدف قرار می‌دهند که خارج از خود بلاک‌چین قرار دارند – رابط‌ها، کانال‌های ارتباطی و مفروضات اعتماد که مقیاس‌پذیری را امکان‌پذیر می‌کنند. این تکامل نیازمند تغییر متناظر در طرز فکر است. امنیت دیگر نمی‌تواند به عنوان یک آیتم چک‌لیست که قبل از استقرار تکمیل می‌شود، تلقی شود. باید در هر لایه سیستم ادغام شود، به طور مداوم آزمایش شود و با در نظر گرفتن شرایط خصمانه طراحی شود. پروتکل‌هایی که این تغییر را تشخیص دهند و بر اساس آن سرمایه‌گذاری کنند، بهتر می‌توانند اعتماد کاربر را در یک محیط فزاینده خصمانه حفظ کنند.

نتیجه‌گیری

اکسپلویت ۲۹۳ میلیون دلاری KelpDAO فقط یک ورودی دیگر در فهرست هک‌های DeFi نیست. این یک مطالعه موردی در مورد چگونگی تکامل حملات مدرن و محل احتمالی ظهور آسیب‌پذیری‌های بعدی است. مسئله اصلی یک قرارداد شکسته نبود، بلکه یک اتصال شکننده بود. با ادامه مقیاس‌پذیری و اتصال DeFi، این اتصالات هم بزرگترین نقاط قوت و هم بزرگترین خطرات آن می‌شوند. درس روشن است: سرعت و کارایی نمی‌توانند به بهای تاب‌آوری (resilience) باشند. زیرا در محیط امروز، خطرناک‌ترین آسیب‌پذیری‌ها همیشه در کد قابل مشاهده نیستند – آنها در مفروضات پشت آن وجود دارند.

سلب مسئولیت

این مقاله فقط برای اهداف اطلاعاتی و آموزشی است. به منزله مشاوره مالی، سرمایه‌گذاری یا تجاری نیست. ارزهای دیجیتال و DeFi شامل ریسک قابل توجهی از دست دادن سرمایه هستند. همیشه تحقیقات خود را انجام دهید و احتیاط کنید.