العقد غير المُحقق يتحول إلى "آلة سحب": تعرض SynapLogic لهجمات 193 مرة من قبل المهاجمين، وتم استنساخ 16000 رمز بواسطة إيثريوم واحد من خلال قرض برقائي

تذكّرنا ثغرة الأمان في SynapLogic مرة أخرى بأن العقود غير المُحقّقة مثل باب مفتوح على مصراعيه. وفقًا لأحدث التقارير، رصد CertiK وجود 193 عملية مشبوهة مرتبطة بعقود غير مُحقّقة في SynapLogic، حيث قام المهاجمون باستخدام قروض فلاش واستدعاءات متكررة لوظائف العقود لتحقيق أرباح عالية بكفاءة. على الرغم من أن القيمة السوقية للعملة المعنية في هذه الحادثة محدودة، إلا أن نمط الهجوم الذي تم كشفه يستحق الانتباه.

تحليل أساليب الهجوم

المنطق الأساسي لهذا الهجوم ليس معقدًا، لكنه فعال جدًا من حيث الأداء. وفقًا لبيانات الرصد، اتبع المهاجمون الخطوات التالية:

• اقترضوا 1 ETH عبر قرض فلاش (بدون ضمان، ويجب إرجاعه في نفس المعاملة)
• استخدموا ETH المقترض لاستدعاء وظيفة في عقد SynapLogic
• تكرار تفعيل منطق العقد، وصك 16,000 رمز SYP
• قبل انتهاء المعاملة، أعادوا ETH، مكتملين دورة الأرباح
• استخدموا عناوين جديدة متفرقة لتقليل خطر التتبع

هذا النوع من الهجمات المجمعة “قرض فلاش + ثغرة في العقد” ليس غريبًا في مجال DeFi، لكن نجاحه في كل مرة يسلط الضوء على وجود ثغرات واضحة في آليات الحماية للمشاريع.

خلفية المشروع وتقييم المخاطر

وفقًا للمعلومات المتاحة، فإن SYP هو رمز مشروع Sypool، الذي تم إطلاقه في 21 سبتمبر 2021. لكن من بيانات السوق، يتضح أن هذا مشروع صغير جدًا:

هذه القيمة السوقية تعني أنه حتى لو قام المهاجم بصك 16,000 رمز، فإن القيمة الفعلية ستكون محدودة جدًا. لكن المشكلة ليست في المبلغ، بل في أمان العقد نفسه — عقد غير مُحقّق يمكن استغلاله بسهولة، مما يدل على أن الفريق المطور لم يجرِ تدقيقًا أمنيًا كافيًا قبل النشر.

لماذا 193 عملية؟

سبب تمكن المهاجم من تنفيذ 193 عملية هو وجود مشكلتين رئيسيتين:

عيب في تصميم العقد

العقود غير المُحقّقة عادةً لا تخضع لتدقيق أمني من قبل جهات خارجية مثل CertiK أو Halborn. غالبًا ما تحتوي على ثغرات منطقية، أو تحكمات صلاحيات غير مناسبة، أو مخاطر هجمات إعادة الدخول.

غياب آليات حماية

المشاريع العادية تضع قيودًا على معدل العمليات (rate limiting)، حدًا على كل معاملة، قوائم بيضاء للمستدعين، وغيرها من التدابير الوقائية. من الواضح أن SynapLogic لم يطبق هذه الحماية.

الصورة الأكبر للأمان على السلسلة

هذه الحادثة ليست معزولة. وفقًا لتقارير CertiK الأخيرة، تتكرر حوادث الأمان على السلسلة بشكل متكرر — من عملية الاحتيال الكبرى بقيمة 2.82 مليار دولار في بداية يناير، إلى استغلال ثغرات العقود، وغسل الأموال عبر برك العملات، مما يبرز الحاجة لتعزيز آليات الرقابة الأمنية. وجود شركات أمنية مثل CertiK يؤكد أن العقود والمشاريع غير المُحقّقة لا تزال موجودة بكثرة في Web3.

الدروس للمستثمرين

الدرس الرئيسي من هذا الهجوم واضح جدًا:

• العملات الصغيرة ليست دائمًا منخفضة المخاطر، بل غالبًا تكون أكثر عرضة للمخاطر بسبب قلة الاهتمام وضعف الحماية
• العقود غير المُحقّقة مثل “منتجات بدون ضمانات”، ويجب عدم المشاركة فيها
• حتى لو ادعى المشروع “الأمان”، يجب التحقق من وجود تقارير تدقيق من جهات موثوقة
• قرض الفلاش أداة مبتكرة، لكنه أيضًا أداة يستخدمها المهاجمون

الخلاصة

حادثة SynapLogic هي مثال على استغلال ثغرات في العقود. على الرغم من أن 193 عملية هجوم رقم كبير، إلا أن جوهر المشكلة هو نفسه: العقود غير المُحقّقة لا يمكنها حماية أموال المستخدمين. هذا يرسل رسالة تحذيرية للصناعة بأكملها: التدقيق الأمني ليس خيارًا، بل ضرورة. يجب على المشاريع إتمام التدقيق الأمني الرسمي قبل الإطلاق، ويجب على المستثمرين التأكد من أن المشروع قد خضع لهذا التدقيق قبل المشاركة. في تطور Web3 السريع، يبقى الأمان دائمًا في المقام الأول.