ثغرة في عقد قديم على Polygon تؤدي إلى سرقة أكثر من 261 ألف دولار من مكافآت الملكية

تعرض أحد العقود القديمة الخاصة ببرنامج مكافآت الملكية على شبكة Polygon لاختراق أمني أسفر عن خسائر تجاوزت 261 ألف دولار، بعدما تمكن مهاجم من استغلال خلل منطقي في آلية احتساب المكافآت وسحب مبالغ تفوق المستحقات الفعلية.

وأثار الحادث مخاوف جديدة بشأن المخاطر المرتبطة بالعقود الذكية القديمة التي لا تزال تحتفظ بأصول أو وظائف مالية نشطة، رغم توقف استخدامها بشكل واسع.

كيف وقع الهجوم؟

رصدت شركة الأمن السيبراني TenArmorAlert المعاملة المشبوهة في 23 يونيو، حيث تبين أن المهاجم استغل عقدًا قديمًا خاصًا بنظام توزيع العوائد على شبكة Polygon.

وبحسب بيانات البلوكشين، نُفذ الهجوم عبر معاملة على الكتلة رقم 89,018,051، ما سمح للمهاجم بسحب ما يقارب 263,800 دولار من العملات الرقمية، في حين لم يكن رأس المال المستخدم في العملية كبيرًا مقارنة بحجم الأرباح المحققة.

وأكد الباحثون أن الهجوم استهدف عقد المكافآت القديم فقط، دون التأثير على البنية الأساسية أو أمان شبكة Polygon الرئيسية.

خلل في احتساب المكافآت وراء الاختراق

أوضحت التحقيقات الأولية أن السبب الرئيسي وراء الحادث يعود إلى أخطاء منطقية في طريقة احتساب المكافآت وتسجيل الملكية داخل العقد الذكي.

وكشفت شركة CertiK أن إحدى الدوال البرمجية المسؤولة عن معالجة التحويلات داخل العقد كانت تحتوي على ثغرة سمحت للمهاجم بالتلاعب بسجلات المكافآت.

واستخدم المهاجم سلسلة من التحويلات ذات القيمة الصفرية بشكل متكرر، ما أدى إلى إنشاء سجلات مكافآت إضافية بصورة غير صحيحة، وبالتالي تضخيم حجم المكافآت المستحقة بشكل مصطنع.

تضخيم الملكية للحصول على مكافآت مضاعفة

أظهرت تحليلات إضافية أجرتها جهات أمنية متخصصة أن الخلل أدى إلى تسجيل أرقام ملكية غير دقيقة داخل النظام، وهو ما منح المهاجم القدرة على المطالبة بمكافآت تفوق حصته الحقيقية بكثير.

كما استعان المهاجم بقرض فوري (Flash Loan) للحصول على سيولة مؤقتة مكّنته من تنفيذ العملية بسرعة وكفاءة. وبعد إعادة الأموال المقترضة، احتفظ بالفارق الناتج عن الاستغلال كأرباح صافية.

وبحسب الخبراء، سمحت الثغرة للمهاجم بمضاعفة المكافآت بشكل كبير من خلال استغلال آلية التوزيع النسبية للعوائد داخل العقد الذكي.

العقود القديمة ما زالت تمثل خطرًا أمنيًا

يأتي هذا الاختراق ضمن سلسلة من الحوادث التي استهدفت إصدارات قديمة من مشاريع التمويل اللامركزي خلال الأشهر الأخيرة.

وكانت بعض العقود القديمة التابعة لمشروع Huma Finance قد تعرضت مؤخرًا لهجوم مماثل أدى إلى خسائر تقدر بنحو 101 ألف دولار.

ويحذر خبراء الأمن السيبراني باستمرار من خطورة الإبقاء على عقود ذكية قديمة تحتوي على أموال أو صلاحيات تشغيلية، حتى وإن لم تعد تستخدم بشكل نشط.

دعوات لتحديث أو إيقاف العقود القديمة

يرى الباحثون أن أفضل وسيلة لتقليل المخاطر تتمثل في مراجعة العقود القديمة بشكل دوري، وإجراء تدقيقات أمنية شاملة عليها، بالإضافة إلى تعطيل أو إزالة الإصدارات غير المستخدمة نهائيًا.

وفي الوقت نفسه، أكد مطورو Polygon أن الحادث لم يؤثر على أمن الشبكة الرئيسية أو بنيتها التحتية، وأن الاختراق اقتصر على عقد مستقل يحتوي على ثغرات في منطق توزيع المكافآت.

ومع تزايد استهداف العقود المهجورة أو القديمة، تزداد أهمية الصيانة المستمرة للعقود الذكية لضمان حماية الأصول ومنع استغلال الثغرات البرمجية مستقبلاً.