اختراق Solido Money: استنزاف 293.7 مليون SUPRA بسبب خلل في مُغذّي أسعار قديم

يكمن السبب الجذري في خطأ في تعيين الأوراكل داخل نظام تقييم الضمانات في Solido Cash. وتحديدًا، تم استخدام مُغذّي أسعار قديم أو غير صحيح الإعداد لتقييم ضمانات SOLID.

اعتمد البروتوكول على سعر أوراكل لرمز SOLID أصبح قديمًا أو تم تعيينه بشكل خاطئ، مما جعل قيمة الضمانات تُقدر بأعلى بكثير من سعرها السوقي الحقيقي . بإيداع رموز SOLID كضمانات بهذا التقييم المضخم، تمكن المهاجم من سحب 293.7 مليون رمز SUPRA، وهو ما يتجاوز بكثير ما كانت تسمح به الضمانات الحقيقية .

موجتان من الهجوم

تم تنفيذ الاختراق عبر موجتين منفصلتين، وكلاهما استغل نفس الثغرة :

• الموجة الأولى (18:21:35 UTC): تضمنت معاملة واحدة ربطت عدة خطوات — مبادلة الرموز، إيداعها كضمانات، وسك عملة CASH جديدة — مما أدى إلى سرقة 266,778,767 رمز SUPRA .
• الموجة الثانية: كرر المهاجم نفس الأسلوب، ليرفع الإجمالي إلى حوالي 293.7 مليون SUPRA .

أكدت شركة الأمن السيبراني PeckShield حدوث الاختراق والخسارة التقريبية .

والأهم من ذلك، أن حوالي 90% من الأموال المسروقة كانت مملوكة لمؤسسة Solido نفسها، وليس للمستخدمين الأفراد. وهذا يعني أن المؤسسة — وليس المقرضين أو المقترضين الأفراد — هي من تحملت الخسارة بأكملها تقريبًا .

أين تتبعت أدلة البلوكتشين الأموال؟

نشرت Solido Money تقريرًا جنائيًا يوضح مسار الأموال:

• تم نقل حوالي 220 مليون SUPRA — أي حوالي 84% من الرموز المسروقة — إلى عنوان يُشتبه بأنه عنوان إيداع في منصة Gate.io . بعض المصادر تقرب هذه النسبة إلى "حوالي 90%" من الأموال المسروقة .
• يُعتقد أن المهاجم أودع هذه الرموز في Gate.io استعدادًا لتصفيتها أو تحويلها عبر سلاسل الكتل .
• طلب فريق Solido المساعدة من منصات التداول لتجميد الأموال واستعادتها .

نمط أوسع: اختراقان لأوراكل Supra في أسبوعين

اختراق Solido ليس حادثة منفردة. فقبل 12 يومًا فقط، في 11 يوليو 2026، خسرت منصة الإقراض Bonzo Lend العاملة على شبكة Hedera حوالي 9.05 مليون دولار من خلال اختراق مماثل .

اختراق Bonzo Lend (11 يوليو 2026):

• أودع المهاجم فقط 250 رمز SAUCE (بقيمة بضعة دولارات)، ثم قدم تحديثًا مزيفًا لسعر SAUCE/wHBAR ضخم قيمة الرمز بمقدار 12 منزلة عشرية .
• كانت الثغرة هي قبول توقيع صفري (BLS) في عقد التحقق من Supra. حيث قبل المُحقق سعرًا مزيفًا يحمل توقيعًا صفريًا ومفتاحًا عامًا صفريًا على أنه صحيح .
• في غضون ثماني ثوانٍ، اقترض المهاجم 6.63 مليون USDC و 34.5 مليون wHBAR .

نقطة الاشتراك: مزود الأوراكل Supra

كلا البروتوكولين — Solido Money و Bonzo Lend — اعتمدا على Supra كمزود لأوراكل الأسعار . ظهر نمطان مختلفان من الفشل من نفس البنية التحتية:

• ثغرة Bonzo كانت فشلًا في التحقق التشفيري (تجاوز التوقيع الصفري) في عقد التحقق التابع لـ Supra .
• ثغرة Solido كانت خطأ في تعيين/قدم مُغذّي الأسعار لضمانات SOLID — وهي فئة مختلفة من فشل الأوراكل ولكنها لا تزال نابعة من طريقة استيراد بيانات Supra والتحقق منها .

هذا الحادثان، اللذان وقعا في غضون أسبوعين، وضعا نظام أوراكل Supra تحت المجهر. يدعو محللو الأمن إلى تشديد التحقق من الطوابع الزمنية، وتطبيع انحرافات الأسعار، وتجميع البيانات من مصادر متعددة لمنع هجمات مماثلة .

دروس رئيسية لبروتوكولات DeFi

1. خطأ في تكوين الأوراكل لا يقل خطورة عن الفشل التشفيري. يمكن استغلال مُغذّي أسعار قديم بنفس فعالية كسر أداة التحقق من التوقيعات.
2. 90% من الأموال المسروقة كانت تابعة لمؤسسة البروتوكول، مما يسلط الضوء على مدى ارتباط خزائن المشاريع بمخاطر البروتوكول.
3. الاعتماد على أوراكل واحد يُحدث مخاطر نظامية. اعتمد كل من Bonzo و Solido على نفس المزود (Supra)، مما خلق سلسلة من الثغرات عبر بروتوكولات متعددة.
4. أتاحت أدلة البلوكتشين إمكانية التتبع. تتبع التقرير الجنائي لـ Solido 84% من الأموال المسروقة إلى عنوان منصة تداول محدد، مما أعطى المحققين خيطًا واضحًا.

يؤكد اختراق Solido درسًا بالغ الأهمية: عندما تتعطل خلاصات الأسعار — سواء بسبب بيانات قديمة أو توقيع مزور — يمكن أن يتسبب الضرر في أرجاء النظام البيئي بأكمله.