شرح اختراق THORChain بقيمة 10 ملايين دولار وثغرة GG20

تعرض بروتوكول THORChain، وهو منصة تمويل لامركزي (DeFi) تتيح تبادل الأصول بين سلاسل بلوكشين مختلفة، لحادثة أمنية في مايو 2026 أدت إلى خسائر تقدر بحوالي 10 إلى 10.8 ملايين دولار من البنية التحتية لخزائنه. الهجوم طال أصولاً مرتبطة بشبكات بيتكوين وإيثريوم وBNB Chain وBase، ما دفع البروتوكول إلى إيقاف العمليات مؤقتاً أثناء التحقيق في الاختراق.

الحادثة أثارت نقاشاً واسعاً حول أمن الأنظمة متعددة السلاسل في عالم التمويل اللامركزي، خاصة بعد ظهور معلومات متضاربة حول التعويضات وإطلاق بوابة استرداد للمستخدمين.

كيف بدأ اختراق THORChain

في منتصف مايو 2026، لاحظ باحثو الأمن ومراقبو البلوكشين تدفقات غير معتادة للأموال من خزائن البروتوكول. تشير التقديرات إلى أن المهاجم تمكن من سحب 36.75 بيتكوين (حوالي 3 ملايين دولار) إضافة إلى ما يقارب 7 ملايين دولار من الرموز الرقمية عبر عدة شبكات.

الهجوم استهدف إحدى خزائن Asgard التابعة لـ THORChain، وهي خزائن متعددة السلاسل تُستخدم لتخزين السيولة التي يعتمد عليها البروتوكول لتنفيذ عمليات التبادل بين شبكات مختلفة. تعتمد هذه الخزائن على آلية توقيع موزعة بين عقد المدققين (validators).

بعد اكتشاف النشاط غير الطبيعي، قام البروتوكول بسرعة بإيقاف التداول وعمليات التوقيع لمنع المزيد من التحويلات أثناء التحقيق.

دور ثغرة GG20 في تنفيذ الهجوم

التفسير التقني الأكثر تداولاً يشير إلى مشكلة في تطبيق نظام التوقيع الحدّي GG20 (Threshold Signature Scheme) الذي يستخدمه THORChain ضمن محافظ تعتمد على الحوسبة متعددة الأطراف (MPC).

الفكرة الأساسية في هذا النظام هي أن المفتاح الخاص لا يوجد كاملاً في مكان واحد؛ بل يتم تقسيمه إلى أجزاء بين عدة عقد. ولا يمكن تنفيذ معاملة إلا عندما تتعاون مجموعة كافية من هذه العقد لتوليد التوقيع.

لكن التحقيقات الأولية تشير إلى أن المهاجم استغل خللاً في هذا التطبيق، وربما كان مرتبطاً بعقدة أُضيفت حديثاً إلى مجموعة المدققين. ويُعتقد أن المهاجم تمكن تدريجياً من تسريب أجزاء من مواد المفاتيح أو إعادة بنائها، حتى أصبح قادراً على إنتاج توقيعات تبدو شرعية وإرسال معاملات سحب من الخزنة.

عندما امتلك المهاجم ما يكفي من معلومات المفاتيح، أصبح بإمكانه توقيع التحويلات وكأنها معاملات صحيحة صادرة من الخزنة نفسها.

أنظمة المراقبة الآلية في الشبكة اكتشفت النشاط غير المعتاد في النهاية، ما أدى إلى إيقاف عمليات التوقيع وتقليل حجم الخسائر.

تقارير متضاربة حول بوابة التعويض

أحد أكثر جوانب الحادثة إرباكاً كان التقارير المتناقضة حول تعويض المستخدمين.

بعض التقارير الإعلامية في قطاع العملات الرقمية ذكرت أن THORChain أطلقت بوابة استرداد ذاتية الحفظ في 16 مايو، مدعومة بصندوق من خزينة المشروع بقيمة 10 ملايين دولار. ووفق تلك التقارير، تسمح البوابة للمستخدمين بـ:

• التحقق من أهليتهم للتعويض
• إلغاء موافقات التوكنات الخبيثة
• تقديم طلبات استرداد

كما أشارت هذه التقارير إلى أن 12,847 محفظة قد تكون مؤهلة، وأن نافذة المطالبات تستمر 21 يوماً وتنتهي في 4 يونيو.

لكن تقارير أخرى وتصريحات منسوبة لفريق THORChain ذكرت عكس ذلك تماماً، حيث حذر المطورون من مواقع استرداد مزيفة وحسابات تنتحل صفة المشروع، مؤكدين أن معلومات مضللة حول التعويضات كانت تنتشر عبر الإنترنت.

بسبب هذا التضارب، نُصح المستخدمون بعدم الوثوق بأي رابط تعويض أو استرداد إلا إذا تم تأكيده عبر القنوات الرسمية للمشروع.

تحذيرات من عمليات الاحتيال بعد الاختراق

بعد الحادثة مباشرة، حذر فريق THORChain من أن المحتالين بدأوا باستهداف الضحايا عبر حملات تصيد واحتيال.

ومن بين الأساليب التي انتشرت:

• برامج تعويض وهمية
• عمليات توزيع رموز (Airdrops) مزيفة
• روابط لمطالبات استرداد غير رسمية

هذه الظاهرة شائعة بعد اختراقات DeFi الكبيرة، حيث يحاول المحتالون استغلال حالة الارتباك لدفع المستخدمين إلى ربط محافظهم أو توقيع معاملات خبيثة.

تأثير الحادثة على السوق وسعر RUNE

الاختراق انعكس فوراً على السوق.

انخفض سعر العملة الأصلية للبروتوكول RUNE بنحو 11% إلى 12% خلال 24 ساعة، ليتداول لفترة حول 0.51 دولار بعد انتشار الخبر.

هذا التراجع يعكس مخاوف المستثمرين من عدة نقاط، منها:

• أمن محافظ MPC
• مخاطر البنية التحتية للجسور بين السلاسل
• مستوى الثقة في عقد المدققين

لماذا يهم هذا الاختراق قطاع DeFi

حادثة THORChain تسلط الضوء على مشكلة هيكلية في التمويل اللامركزي: الأنظمة متعددة السلاسل تركز المخاطر في طبقة التوقيع والتشفير.

فإذا ظهرت ثغرات في أنظمة مثل MPC أو TSS، فقد تتعرض أصول عبر عدة شبكات بلوكشين للخطر في الوقت نفسه.

كما أن الحادثة أظهرت أن الاتصال بعد الاختراق أصبح جزءاً من ساحة الهجوم. فالمعلومات المضللة وروابط الاسترداد المزيفة يمكن أن تزيد الخسائر إذا خدعت المستخدمين لتوقيع معاملات جديدة.

ماذا يحدث الآن

التحقيق في الحادثة ما يزال مستمراً. يقوم باحثو الأمن وشركات تحليل البلوكشين بتتبع المحافظ المرتبطة بالمهاجم وتحليل تدفقات الأموال المسروقة.

بعض الأدلة تشير إلى أن المحافظ المرتبطة بالهجوم تم تمويلها قبل أسابيع من التنفيذ، ما يوحي بأن العملية كانت مخططاً لها مسبقاً وليست هجوماً عشوائياً.

في الوقت نفسه، يدرس مطورو THORChain تحسينات على البنية التشفيرية للبروتوكول، بما في ذلك تحديث أو استبدال نظام التوقيع المستخدم.

وحتى صدور تقرير تقني كامل بعد الحادثة، تبقى هذه الواقعة تذكيراً واضحاً بأن حتى أكثر بروتوكولات DeFi تقدماً يمكن أن تواجه ثغرات خطيرة — وأن الشفافية في إدارة الأزمات لا تقل أهمية عن إصلاح الخلل نفسه.