اختراق Ajna v2 يستنزف نحو 775 ألف دولار من دون مهاجمة أوراكل الأسعار

تعرض بروتوكول الإقراض اللامركزي Ajna v2 للاستغلال في 29 أغسطس 2026، ما أدى إلى سحب ما يقارب 775 ألف دولار من سبعة مجمعات إقراض على شبكة إيثريوم. ووفق التقارير المتاحة، لم يعتمد الهجوم على التلاعب بمصدر أسعار خارجي، بل استهدف نظام Ajna الداخلي لمحاسبة عمليات التصفية، وهو النظام الذي يستخدمه البروتوكول لتحديد الضمانات والديون وشروط التصفية. 1311

وتكفي الأدلة المنشورة حالياً لتحديد فئة الهجوم والمجمعات المتضررة، لكنها لا تقدم بعد إعادة بناء جنائية نهائية على مستوى كل معاملة وتغير في الحالة. لذلك، ينبغي التعامل مع أي وصف دقيق للتسلسل الذي اتبعه المهاجم باعتباره مؤقتاً إلى أن يصدر تحليل جنائي مكتمل.

ماذا حدث في استغلال Ajna v2؟

شمل الهجوم مجمعات syrupUSDC وwstETH وrETH وcbETH وWBTC وWETH/USDC وsDAI. وقدرت الخسائر الإجمالية بنحو 775 ألف دولار، بينما وضع تقدير لاحق الإجمالي عند قرابة 775,400 دولار. وكان مجمع syrupUSDC الأكثر تضرراً، بخسارة قدرت بنحو 173,700 دولار. 1913

وأعلنت Ajna أنها تحقق في تحركات غير اعتيادية للأموال، وطلبت من المستخدمين:

• سحب أموال رموز الاقتباس؛
• سداد القروض القائمة؛
• التوقف عن أي تفاعل إضافي مع البروتوكول. 111435

وتعكس هذه التعليمات خطورة استمرار النشاط في ظل احتمال تفاعله مع شروط المحاسبة التي كانت موضع التحقيق.

الهجوم استهدف محاسبة التصفية، لا أوراكل الأسعار

صُممت Ajna أساساً للعمل من دون أوراكل أسعار خارجي. فبدلاً من الاعتماد على خدمة مثل Chainlink لتحديد أسعار الضمانات، تستخدم عملية الإقراض والتصفية نشاط المجمعات ومحاسبة ما يعرف بـ«الدلاء» أو Buckets داخل البروتوكول. 333

وفي عملية التصفية الطبيعية، تُزال الديون والضمانات من هذه الدلاء، ما يغير مؤشرات داخلية، من بينها أدنى سعر مستخدم أو LUP. كما تُقيَّم القروض باستخدام متغيرات مثل سعر العتبة للمقترض (TP)، والسعر المحايد (NP)، وLUP الخاص بالمجمع. 3437

يزيل هذا التصميم أحد مسارات الهجوم المعروفة في قطاع التمويل اللامركزي، لكنه لا يلغي الحاجة إلى محاسبة اقتصادية سليمة. وتشير التقارير المتعلقة بحادثة 29 أغسطس إلى أن المهاجم تلاعب بمسار التصفية الداخلي، بحيث لم تعد طريقة احتساب الضمانات والديون وأسعار التصفية تعكس بصورة صحيحة القيمة الاقتصادية التي تدعم المجمعات. 1311

لكن التقارير المتاحة لا تتحقق بصورة مستقلة من التسلسل الكامل للإيداعات والاقتراض وعمليات التصفية والسداد والسحب الذي أدى إلى الخسارة النهائية. لذلك، الأدق هو القول إن المهاجم يبدو أنه استغل محاسبة التصفية الداخلية، بدلاً من عرض رواية تفصيلية غير موثقة للمعاملات باعتبارها حقيقة محسومة.

لماذا لا يعني غياب الأوراكل أن البروتوكول محصّن؟

تسلط الحادثة الضوء على فارق مهم:

إزالة مصادر الأسعار الخارجية تزيل مخاطر الأوراكل، لكنها لا تزيل مخاطر التسعير.

فقد ركزت Ajna افتراضات أساسية في بنية السوق وقواعد التصفية الخاصة بها. وإذا سمحت هذه القواعد للمهاجم بتحريك أو استغلال التمثيل الداخلي للضمانات أو الديون أو أسعار التصفية، فقد تكون النتيجة الاقتصادية شبيهة بهجوم على أوراكل، حتى لو لم يُخترق أي مصدر أسعار تابع لجهة خارجية. 111

وهذه خلاصة أوسع لأنظمة الإقراض في التمويل اللامركزي: لا ينبغي أن تقتصر مراجعات الأمان على عيوب الشيفرة البرمجية والاعتماديات الخارجية، بل يجب أن تختبر أيضاً ما إذا كانت الحالة المحاسبية للبروتوكول تظل متوافقة مع القيمة الاقتصادية الحقيقية عند حدوث تركيبات غير اعتيادية من الاقتراض والتصفية والسداد.

عدم قابلية التغيير صعّبت الاستجابة الطارئة

وُصفت Ajna v2 بأنها بروتوكولات وعقود غير قابلة للتغيير، من دون جهة حوكمة أو مسار للترقية أو مفتاح إداري أو آلية مركزية قادرة على إيقاف العقود المتضررة. 9

ويحد هذا التصميم من التدخل التقديري، كما يقلل بعض مخاطر الحوكمة والترقية. لكنه يفرض في المقابل مفاضلة تشغيلية حادة: إذا ظهر خلل في الآلية المنشورة على الشبكة، فقد لا يتمكن الفريق من إيقافها مؤقتاً أو إصلاحها أثناء الهجوم.

وقالت شركة Defimon Alerts إنها رصدت هجوماً مُعداً قبل أكثر من ساعة من أول معاملة استغلال، وإنها حذرت Ajna عبر قناة المشروع على Discord. كما قالت الشركة إن الفريق لم يستجب للتحذير. غير أن ذلك يظل رواية صادرة عن Defimon، وليس نتيجة مستقلة حُسمت من جهة محايدة؛ ولذلك ينبغي إبقاء توقيت التحذير والاستجابة موضع تأكيد إلى حين ظهور أدلة إضافية. 816

ماذا تكشف الحادثة عن مخاطر التمويل اللامركزي؟

تُعد خسارة Ajna محدودة مقارنة بأكبر سرقات العملات المشفرة، لكنها توضح أن عدد الحوادث وتصميم البروتوكول لا يقلان أهمية عن قيمة الخسارة headline. فقد سجلت TRM Labs 207 عمليات اختراق واستغلال للعملات المشفرة خلال النصف الأول من 2026، وهو أعلى عدد لنصف عام في بياناتها، وشكلت استغلالات العقود الذكية نحو 125 حادثة منها. 1829

وبشكل منفصل، أحصت The Defiant نحو 70 استغلالاً في قطاع التمويل اللامركزي وخسائر قدرها 746 مليون دولار خلال الربع الثاني من 2026. وتستخدم جهات التتبع المختلفة معايير إدراج متباينة، لذلك لا ينبغي اعتبار الأرقام قابلة للمقارنة المباشرة. لكنها تشير مجتمعة إلى بيئة تهديد نشطة للبروتوكولات اللامركزية. 23

وتضيف حالة Ajna تحذيراً محدداً: قد يتجنب التصميم الأوراكل الخارجي، ومع ذلك يظل معتمداً على آلية اقتصادية داخلية شديدة الحساسية. فغياب الأوراكل، وعدم قابلية التغيير، واللامركزية قد تقلل بعض المخاطر، لكنها قد تزيد مخاطر أخرى، خصوصاً عندما لا تتوافر وسيلة طارئة لإيقاف العقود بعد بدء المحاسبة غير الطبيعية.