عاجل: تعرض موقع Summer.fi لهجوم يُشتبه في أنه استغلال لثغرة قروض سريعة بقيمة 6 ملايين دولار، حيث استهدفت هذه الثغرة خزائن التمويل اللامركزي.

العناوين الرئيسية

• استخدم مهاجم قرضًا سريعًا بقيمة 65.4 مليون دولار من مورفو لسحب حوالي 6 ملايين دولار، معظمها من عملة DAI، من بروتوكول Lazy Summer الخاص بـ Summer.fi.
• استغلت هذه الثغرة الأمنية حساب حصة الخزينة في معاملة ذرية واحدة، مستهدفة ثغرة أمنية معروفة في معيار ERC-4626.
• أكدت شركتا Blockaid و CertiK وقوع الهجوم، ولم تصدر Summer.fi بيانًا رسميًا حتى الآن بينما يراقب المستخدمون المواقع.

إقرأ أيضاَ |  عاجل: شركة ريبل تحصل على ترخيص جديد للعملات المشفرة من الاتحاد الأوروبي لتجاوز عقبة MiCA الأخيرة

في تطورٍ حديثٍ اليوم، كشفت شركتا Blockaid وCertiK. المتخصصتان في أمن تقنية البلوك تشين، عن ثغرةٍ أمنيةٍ في قروضٍ سريعةٍ على منصة Summer.fi (بروتوكول Lazy Summer). وباستخدام قرضٍ سريعٍ بقيمة 65.4 مليون دولار أمريكي، مصدره منصة Morpho، تمكّن المهاجم من إخفاء حوالي 6 ملايين دولار أمريكي. معظمها من عملة DAI الرقمية، وتغيير حسابات حصص الخزينة، كل ذلك في معاملةٍ واحدةٍ ذرية.

كيف تم تنفيذ هجوم Summer.fi

بروتوكول Lazy Summer هو بروتوكول خزائن العائدات الذي أطلقته Summer.fi في أوائل عام 2025 و SUMR هو رمز الحوكمة الذي تم تقديمه في يناير 2026.

ينقل البروتوكول ودائع المستخدمين من أسواق قروض التمويل اللامركزي الرائدة. مثل مورفو وفلويد وآيف، ويعمل على إعادة توازن الأموال تلقائيًا لتحقيق أفضل عوائد معدلة حسب المخاطر. ويضع هذا الهجوم بنية الخزينة الآلية هذه تحت المجهر. حيث استنزفت هجمات قروض التمويل اللامركزي السريعة 500 مليون دولار. وهو نمط لا يزال يؤثر على البروتوكولات حتى عام 2026.

بحسب التقارير، استغل المهاجم إحدى خزائن Summer.fi من نوع ERC-4626، والمعروفة باسم LazyVault_LowerRisk_USDC. وقد رصدت محفظة المهاجم، 0x7BF…3BDCa، على سلسلة الكتل، حيث استقبلت أموالاً قبل شهرين تقريباً من الهجوم. مما يدل على تخطيط دقيق.

حصل المهاجم على قرض سريع بقيمة 65.4 مليون دولار من مورفو وقام بتوجيه الأموال من خلال كيرف ويونيسواب وبالانسر للتلاعب بسيولة الخزينة وأسعار الأسهم.

من خلال إجراء عمليات إيداع وسحب كبيرة ضمن معاملة ذرية واحدة. قام المخترق بتشويه نظام محاسبة حصص الخزنة وسحب ما يقارب 6 ملايين دولار قبل سداد القرض الفوري. ولأن المعاملة كانت ذرية، فقد تم تنفيذها بالكامل أو فشلت فشلاً ذريعاً.

استغل الهجوم ثغرة أمنية معروفة في خزائن الرموز المميزة ERC-4626. تتعلق بتضخيم الأسهم عبر التبرعات بالرموز، وهي ثغرة سبق رصدها في عدة حوادث متعلقة بالتمويل اللامركزي. وقد أكدت شركة الأمن السيبراني PeckShield ومنصة مراقبة الثغرات Phalcon هذا الهجوم بشكل مستقل.

استخدم ثغرة Yearn Finance Flash Loan Exploit على منصة Aave في دورة سابقة آليات مماثلة للتلاعب بالخزائن. مما يؤكد كيف استمر هذا النهج الهجومي عبر أجيال التمويل اللامركزي.

الأثر، والاستجابة، وما هو التالي

حتى وقت كتابة هذا التقرير، لم تصدر Summer.fi أي بيان رسمي. وقيل إن الهجوم كان مستمراً وقت صدور الإنذار الأولي من Blockaid. وينصح المستخدمون بمراقبة مواقعهم عن كثب في حال تأثرت أجهزتهم بالهجوم.

رصدت شركة Blockaid الثغرة الأمنية وأبلغت المستخدمين فورًا عبر شبكة كشف التهديدات التابعة لها. ووفقًا لشركة CertiK، فقد ربح المهاجم ما يقارب 6 ملايين دولار أمريكي من خلال التلاعب بالسيولة. وأشارت التقارير الأولية إلى عدم تعرض أموال المستخدمين الخارجيين للخطر، حيث اقتصرت الثغرة على آليات الخزينة المتأثرة.

يضاف هذا الحادث إلى العدد المتزايد من الاختراقات الأمنية في مجال التمويل اللامركزي في عام 2026. ولا تزال هجمات القروض السريعة صعبة الدفاع بشكل خاص لأنها لا تتطلب ضمانات مسبقة، ويتم التراجع عن الهجمات الفاشلة تلقائيًا.

يعتمد مدى تعافي حركة التمويل اللامركزي (DeFi) الأوسع، إن أمكن. على نتائج فريق Summer.fi بشأن استراتيجية التخفيف من المخاطر، بالإضافة إلى جهودهم التوعوية عبر نهج “قبعة الحوت”. ولا تزال أفضل منصات إقراض التمويل اللامركزي لعام 2026 تنطوي على مخاطر استغلال العقود الذكية. مما يذكّر بأهمية بذل العناية الواجبة حتى على المنصات الخاضعة للتدقيق.

عاجل: تعرض موقع Summer.fi لهجوم يُشتبه في أنه استغلال لثغرة قروض سريعة بقيمة 6 ملايين دولار، حيث استهدفت هذه الثغرة خزائن التمويل اللامركزي.

CryptPlatform

إخلاء المسؤولية: قد يتضمن المحتوى المقدم رأيًا شخصيًا للمؤلف ويخضع لحالة السوق. قم بإجراء بحث السوق قبل الاستثمار في العملات المشفرة. لا يتحمل المؤلف أو النشر أي مسؤولية عن خسارتك المالية الشخصية.

تابعونا على: