اختراق جديد لجسر Verus على إيثريوم: سحب 7.54 مليون دولار عبر مسار الدخول نفسه

تعرّض جسر Verus على شبكة إيثريوم لاختراق جديد في 23 يوليو، إذ سحب مهاجمون نحو 7.54 مليون دولار من عقد الجسر نفسه الذي تعرّض لهجوم في مايو. تفاصيل الواقعة أشارت شركة أمن البلوك تشين Blockaid إلى رصد الهجوم على إيثريوم عند الساعة 03:45 بالتوقيت العالمي (UTC) في 23 يوليو. وتُظهر بيانات السلسلة معاملة تفاعلت مع عقد جسر Verus ونقلت قرابة 1,137 ETH إلى جانب عدة رموز (tBTC وUSDC وUSDT وEURC وMKR وscrvUSD) إلى عنوان يسيطر عليه المهاجم. وقدّرت Etherscan قيمة التدفقات الخارجة بنحو 7.54 مليون دولار وقت التنفيذ. العقد المستهدف للجسر: 0x71518580f36feceffe0721f06ba4703218cd7f63 محفظة المهاجم المستلمة للأموال: 0xCFd0A20703cD11E0b9f665e1C3F1Ef989C142D54 (اختصار: 0xCFd0…2D54) معاملة الاستغلال (بحسب ما تم الإبلاغ عنه): كيف نُفِّذ الهجوم قالت Blockaid إن المهاجم استغل مسار "الاستيراد" (import) في الجسر لتحفيز مدفوعات على جانب إيثريوم من دون وجود أصول مطابقة على سلسلة المصدر. ورغم أن سحب يوليو تم عبر معاملة مختلفة ومحفظة مختلفة عن حادثة مايو، وصفت Blockaid الحادثتين بأنهما مرتبطتان بـ"العقد نفسه، ومسار الدخول نفسه، وفئة العطل نفسها". ولم يكن تقرير تقني تفصيلي عن هجوم يوليو قد نُشر وقت التنبيه، بينما ظل السبب الجذري قيد التحقيق. خلفية وحادثة مايو يمثل هذا الهجوم الضربة الكبيرة الثانية لجسر Verus خلال أشهر. ففي مايو، خسر جسر Verus على إيثريوم نحو 11.58 مليون دولار بعد أن سمحت فجوة في التحقق، وفق ما يُزعم، بتمرير استيراد عابر للسلاسل مُزوّر، ما أدى إلى الإفراج عن أموال على إيثريوم تفوق ما تم الالتزام به على سلسلة المصدر. وبعد ذلك الاستغلال، أعاد المهاجم 4,052.4 ETH (نحو 8.5 مليون دولار حينها) ضمن شروط تسوية، واحتفظ بـ1,350 ETH كمكافأة — أي ما يعادل قرابة 75% من حيازته من ETH بعد التحويل. سياق أوسع جاء استغلال Verus في يوليو ضمن سلسلة حوادث مرتبطة بالجسور أُبلغ عنها خلال ساعات. وفي اليوم نفسه، تكبّدت AFX Trade خسارة تُقدَّر بـ24.15 مليون دولار، بينما خسرت B² Network نحو 3.86 مليون دولار. وبحسب متتبع البيانات على السلسلة Lookonchain، بلغت الخسائر المُبلّغ عنها مجتمعة قرابة 35.55 مليون دولار عبر الحوادث الثلاث. وتضمنت حادثة AFX سحب USDC من بنية تحتية تُشغّلها جهة بروتوكول طرف ثالث، قبل تحويلها لاحقاً إلى ETH. لماذا يهم ذلك تحتاج الجسور العابرة للسلاسل إلى التحقق من الأحداث والقيم عبر شبكات بلوك تشين منفصلة مع التحكم في احتياطيات مشتركة. ويمكن لأخطاء التحقق من الرسائل أو منطق العقود أو ضوابط الوصول أن تسمح بصرف أموال على السلسلة من دون إيداع مقابل على سلسلة المصدر. وترى Blockaid أن استغلال يوليو "يبدو مرتبطاً بحادثة جسر Verus على إيثريوم في مايو 2026"، لكنها لم تؤكد ما إذا كانت الثغرة نفسها قد أُعيد استخدامها أم تم استغلال مسار جديد ضمن عملية الاستيراد. ما التالي حتى وقت النشر، أكدت مصادر أن الأموال غادرت جسر Verus إلى محفظة المهاجم الجديدة، من دون مؤشرات على تجميد أصول أو إعادتها أو استردادها، كما لم تُعلن أي جداول زمنية لإجراءات المعالجة. وسيستلزم الأمر تحليلاً تقنياً إضافياً لتحديد ما إذا كان خلل مايو لا يزال قابلاً للاستغلال أم أن نقطة ضعف مختلفة استُخدمت هذه المرة، وكذلك لتتبع ما إذا كانت الأموال المسروقة ستُحوَّل أو تُمرَّر عبر خدمات أخرى. هذه قصة متطورة، وسنحدّثها مع صدور تفاصيل تقنية إضافية أو إجراءات استرداد من Blockaid أو Verus.