اختراق جسر SAND في The Sandbox: ماذا يعني رقم الـ49 مليار دولار؟

لماذا ظهر رقم 49 مليار دولار؟

قالت Blockaid إن نحو 49 مليار دولار بالقيمة الاسمية من SAND سُكّت عبر أكثر من 400 معاملة. والمقصود بالقيمة الاسمية هو احتساب كمية الرموز الجديدة وفق سعر السوق المعلن؛ ولا يعني ذلك أن السوق كان يملك سيولة كافية لشراء كل هذه الرموز بالسعر نفسه.

يمكن لرمز جرى سكّه حديثًا أن يحمل قيمة سعرية ضخمة على الورق، من دون أن تكون هناك سيولة فعلية تسمح ببيعه بكميات كبيرة. وبعد اكتشاف الاستغلال، أدى إيقاف الجسور، وفرض قيود على التداول في بعض المنصات، وتشتت السيولة، وتراجع الثقة في السوق إلى تقليص القيمة التي كان يمكن للمهاجم تحقيقها فعليًا.

وأشارت تقارير أخرى على السلسلة إلى وجود نحو 14.9 مليار SAND في عناوين يسيطر عليها المهاجمون، فيما قدّر تقرير منفصل الكمية المستخرجة فعليًا بأنها أقل بكثير من رقم السكّ الاسمي. هذه أرقام تقيس أشياء مختلفة: المعروض الذي جرى سكّه، والأرصدة الموجودة في المحافظ، والعائد الذي تحقق أو كان من الممكن تحقيقه. لذلك لا يصح التعامل معها باعتبارها تقديرات متطابقة للخسائر.

ولا تثبت الأدلة المتاحة حتى الآن رقمًا نهائيًا واحدًا، جرى التحقق منه بصورة مستقلة، لقيمة الأموال التي استُخرجت فعليًا. والخلاصة الأكثر دقة هي أن الإصدار غير المصرح به كان هائلًا بالقيمة الاسمية، في حين أن الخسارة الاقتصادية الفعلية كانت أقل بكثير من 49 مليار دولار.

لماذا اختلفت تقديرات The Sandbox عن تقديرات شركات الأمن؟

وصفت The Sandbox الأثر المباشر بأنه أقل من 0.01% من إجمالي معروض SAND البالغ 3 مليارات رمز. في المقابل، ركزت شركات الأمن ومحللو بيانات البلوك تشين على كمية الرموز التي سُكّت دون غطاء أو ظهرت في عناوين مرتبطة بالمهاجم.

ولا تعني هذه التصريحات بالضرورة وجود تناقض مباشر، إذ إن كل تقدير يقيس جانبًا مختلفًا من الحادث:

• تقدير The Sandbox: يعكس تقييم المشروع للأثر المباشر أو القابل للتحقق اقتصاديًا.
• تقدير Blockaid: يحسب القيمة الاسمية للرموز غير المدعومة التي سُكّت أثناء الهجوم.
• تقديرات الأرصدة على السلسلة: ترصد كمية SAND الموجودة في عناوين مرتبطة بالمهاجم.
• تقدير الخسارة المحققة: يتطلب معرفة عدد الرموز التي بيعت أو جرى تبديلها أو استخدامها لسحب أصول أخرى.

وإلى أن تنشر The Sandbox تقريرها الفني اللاحق وحسابًا أكثر تفصيلًا، ينبغي عرض هذه الأرقام بوصفها قياسات متنافسة لأثر الحادث، لا باعتبارها رقمًا واحدًا نهائيًا للأضرار.

كيف احتوت The Sandbox الهجوم؟

قالت The Sandbox إنها أصلحت الثغرة واحتوتها، وأوقفت التحويلات عبر الجسور المتأثرة، وعطّلت عمليات الربط التي تشمل Base وBNB Smart Chain. كما أكدت أن SAND على Ethereum وPolygon ظل غير متأثر.

وأشارت الشركة إلى أنها ستلتقط لقطة لحالات السيولة المتأثرة، وتتواصل مع مزوّدي السيولة المؤهلين، وتنشر تقريرًا تفصيليًا بعد الحادث. لكن التقارير المتاحة وقت إعداد هذا الشرح لم تحدد بصورة نهائية قواعد الأهلية أو مبالغ التعويض أو آلية الدفع.

لذلك من المهم الفصل بين إجراءات الاحتواء الفورية وأي خطة لاحقة للاسترداد أو التعويض. فإيقاف الجسر يمنع مواصلة استخدام مسار الاستغلال المبلغ عنه، لكنه لا يحسم تلقائيًا مصير الرموز التي سُكّت بالفعل أو الخسائر التي لحقت بمزوّدي السيولة.

ماذا فعلت منصات التداول؟

دفعت الحادثة منصات كورية جنوبية إلى اتخاذ إجراءات احترازية. فقد علّقت Bithumb إيداعات وسحوبات SAND، بينما أصدرت Upbit تحذيرًا للمتداولين بسبب النشاط غير المعتاد على السلسلة واحتمال ارتفاع تقلبات السعر.

ووصفت بعض التقارير سعر SAND بأنه أظهر تماسكًا نسبيًا خلال الحادث بدلًا من الانهيار. لكن استقرار السعر في الساعات الأولى لا يثبت أن الأثر الاقتصادي كان محدودًا؛ فقد تؤخر قيود المنصات والسيولة المجزأة اكتشاف السعر الحقيقي، بينما يتوقف الأثر طويل الأجل على طريقة التعامل مع الرموز غير المصرح بها ومجمعات السيولة المتضررة.

هل كان هذا الحادث هو نفسه اختراق KelpDAO؟

يشترك حادث SAND واختراق KelpDAO في أبريل 2026 في استخدام تطبيقات مبنية على بنية عابرة للسلاسل تعتمد على LayerZero، لكن نمطي الفشل المبلغ عنهما مختلفان.

في حالة KelpDAO، اخترق المهاجمون البنية التحتية المستخدمة من قبل شبكة التحقق اللامركزية التابعة لـLayerZero، واستغلوا إعدادًا يعتمد على مُحقّق واحد. وأدت رسالة عابرة للسلاسل جرى تزويرها إلى إطلاق 116,500 من رموز rsETH، بلغت قيمتها نحو 292 مليون دولار في ذلك الوقت. ووصفت LayerZero الحادث بأنه محصور في إعداد rsETH الخاص بـKelpDAO.

أما حادث SAND، فتمحور حول صلاحيات عقود مفوّضة وإساءة استخدام approveAndCall لتمكين سكّ رموز غير مصرح بها. ويكشف الفرق بين الحادثين عن مخاطر مختلفة في أنظمة الجسور: بنية التحقق من الرسائل من جهة، وتصميم الصلاحيات ومسارات الإصدار من جهة أخرى. لكن الأدلة المتاحة لا تظهر أن خللًا واحدًا مطابقًا في بروتوكول LayerZero تسبب في الهجومين.

الدرس الأهم لمستخدمي الجسور والمطورين

الفارق الحاسم هو بين الرموز التي جرى إنشاؤها، والرموز التي أصبحت في حوزة المهاجم، والقيمة التي جرى استخراجها فعليًا. فقد يؤدي فشل الجسر إلى إنشاء معروض اسمي هائل من دون أن يحصل المهاجم على عائد قابل للإنفاق بالحجم نفسه. وفي المقابل، قد يسبب حدث إصدار أصغر ضررًا كبيرًا لمزوّدي السيولة وثقة السوق إذا أدى إلى إطلاق أصول ذات قيمة أو استنزافها.

وبالنسبة إلى المستخدمين، تتمثل الأسئلة العملية في: أي شبكة وأي عقد تأثرا؟ وهل ما تزال الإيداعات والسحوبات متوقفة؟ وهل نشرت المنصة قواعد واضحة للأهلية والتعافي؟ أما المطورون، فعليهم التدقيق في كل صلاحية مفوّضة، وكل مسار سكّ مميز، وكل حدود تفويض بين السلاسل، بدل التركيز على طبقة التحقق من الرسائل وحدها.