بحسب تقرير Tokenpost نقلاً عن Protos، تعرض بروتوكول الإقراض Bonzo Lend على شبكة Hedera (HBAR) لهجوم خلال عطلة نهاية الأسبوع، بلغت قيمة الخسائر نحو 9 ملايين دولار. وذكر التقرير أن المهاجم استغل عيباً في تسعير الأوراكل أدى إلى تضخيم قيمة الأصول المرهونة بشكل غير طبيعي، ما مكّنه من اقتراض أموال تفوق بكثير قيمتها الفعلية. وأشار التقرير كذلك إلى أن المشكلة تكمن في الأوراكل الذي توفره شركة البنية التحتية Supra Network — التي قامت مؤخراً بتحديث الأوراكل على عدة شبكات، لكن العقد الخاص بشبكة Hedera، بحسب التقرير، تم تجاهله عن طريق الخطأ، ما جعله هدفاً للهجوم.
يجدر التوضيح أن الرقم المذكور أعلاه، وكذلك العلاقة السببية المتمثلة في “تحديث عدة شبكات مع إغفال Hedera”، مصدرهما حتى الآن تقارير إعلامية منقولة، ولم نطّلع على بيان رسمي لاحق أو تقرير تدقيق من Bonzo Lend أو Supra بخصوص هذا الحادث. لذا ينبغي على القراء الإشارة إلى “بحسب التقارير الإعلامية” عند الاستشهاد بالأرقام المحددة.
قراءة تحريرية: هذا الخبر لا علاقة له بشكل مباشر ببطاقة USDT التي بحوزتك، لكنه يستحق الاطلاع
نبدأ بالخلاصة تفادياً لسوء الفهم: الجهة التي تعرضت للهجوم هي بروتوكول إقراض على السلسلة، وليست جهة إصدار بطاقات، ولا العملة المستقرة نفسها. إذا كانت أموالك من USDT محفوظة في منصة تداول أو في حساب بطاقة USDT ذات حفظ مُدار، مثل Bybit Card أو MPCard أو OKX Card، فإن هذا الحادث لا يؤثر مباشرة على رصيدك — فأموالك لم تُودَع في Bonzo Lend، ولم تمر عبر الأوراكل المعطوب على شبكة Hedera.
الفئة التي تحتاج فعلاً إلى إعادة تقييم هي فئة أخرى: من يودعون مؤقتاً الأموال المخصصة لشحن بطاقتهم في بروتوكولات إقراض DeFi لكسب فائدة، ثم يسحبونها عند الحاجة لشحن البطاقة. هذا النمط شائع في الأسواق الصاعدة — إيداع USDT في بروتوكول ما لكسب عائد سنوي بنسبة 5%~10%، ثم استرداده قبل الشحن. وما يذكّرنا به هذا الحادث تحديداً هو المخاطر الخفية في هذا المسار: أنت تظن أنك تكسب فائدة، بينما تتحمل فعلياً مخاطر العقد الذكي للبروتوكول ومخاطر الأوراكل معاً، وهما مخاطرتان إذا تحققتا، غالباً ما تكون الخسارة على مستوى رأس المال نفسه، بما يفوق بكثير الفائدة الضئيلة التي كسبتها.
- خلال 7 أيام: إذا كنت تضع أموال الشحن حالياً في بروتوكولات إقراض صغيرة أو حديثة الإطلاق، يُنصح بالتحقق من نوع الأوراكل المستخدم وما إذا كان قد خضع للتدقيق، وسحب الأموال إذا لزم الأمر.
- خلال 30 يوماً: راقب ما إذا أصدرت Supra Network بياناً رسمياً بشأن الحادث أو خطة تعويض. حالياً موقع Supra الرسمي يعرض فقط معلومات عن المنتج، دون أي إعلان يخص هذا الحادث.
- خلال 90 يوماً: عادة ما تدفع هذه الحوادث مزودي خدمات الأوراكل لإجراء مراجعة شاملة عبر جميع السلاسل، ما قد يؤثر سلباً على نشاط DeFi في منظومة Hedera على المدى القصير، لكن دون أي انتقال لتأثير ذلك إلى قنوات إصدار البطاقات المركزية.
مقارنة تاريخية: التلاعب بالأوراكل ليس سيناريو جديداً
التلاعب بالأوراكل الذي يؤدي إلى إقراض مفرط من بروتوكولات الإقراض هو نمط هجوم متكرر في عالم DeFi، وهذا الحادث ليس الأول من نوعه.
أشهر حالة عامة موثقة هي حادثة Mango Markets في أكتوبر 2022 — حيث تلاعب المهاجم بتسعير أوراكل عملة MNGO لرفع قيمة الضمانات بشكل مصطنع، ثم اقترض أموال خزينة البروتوكول بالكامل، وقُدّرت الخسائر في تقارير واسعة الانتشار بنحو 100 مليون دولار (تختلف الأرقام الدقيقة باختلاف المصادر، والرقم هنا يستند إلى التقارير العامة، وليس تدقيقاً مستقلاً من موقعنا).
- أوجه التشابه: منطق الهجوم الأساسي متطابق — تضخيم قيمة الضمانات بشكل مصطنع، ثم اقتراض أموال تفوق قيمتها الحقيقية بكثير.
- أوجه الاختلاف: في حادثة Mango تم التلاعب بسعر السوق الفوري لعملة منخفضة السيولة؛ أما في هذا الحادث فالمُبلَّغ عنه هو ثغرة على مستوى عقد مزود خدمة الأوراكل نفسه (إغفال تحديث على إحدى الشبكات)، وهي أقرب إلى عيب في البنية التحتية منها إلى تلاعب سوقي.
بالنسبة لمستخدمي بطاقات USDT، ترسل الحادثتان الرسالة نفسها: أمان الأموال في بروتوكولات DeFi الموجهة للعائد، وحساب الحفظ المُدار الذي تستخدمه يومياً لشحن بطاقتك، هما نموذجا ثقة مختلفان تماماً. لا تخلط بين مخاطر الطرفين لمجرد أن كليهما يُسمى “USDT”.
الزاوية التنظيمية: هذا ليس مشكلة تتعلق بالعملة المستقرة أو بجهة الإصدار
من المهم توضيح سوء فهم شائع: ثغرة الأوراكل هي عيب تقني على مستوى العقد الذكي، ولا علاقة لها بمدى امتثال USDT نفسها أو بوضع الترخيص الخاص بجهة إصدار البطاقة. هذا الحادث لن يؤدي إلى أي إجراء تنظيمي بحق بطاقات العملات المستقرة.
للقراء المهتمين بالبيئة التنظيمية في منطقة آسيا والمحيط الهادئ، يمكن الرجوع إلى دليل الامتثال في هونغ كونغ ودليل الامتثال في سنغافورة — فكلا الجهتين لديهما أطر ترخيص واضحة نسبياً لمقدمي خدمات العملات المستقرة والأصول الافتراضية، وبطاقات USDT ذات الحفظ المُدار تعمل ضمن هذه الأطر، وهو مسار تنظيمي مختلف تماماً عن بروتوكول إقراض مجهول على السلسلة.
الحدود الحالية تقريباً كما يلي:
| السيناريو | الوضع التنظيمي |
|---|---|
| بطاقة USDT ذات حفظ مُدار صادرة عن جهة مرخّصة | معظم دول آسيا والمحيط الهادئ لديها أطر واضحة |
| بطاقات منصات التداول المركزية (مثل Bybit وOKX) | تتفاوت حسب الولاية القضائية، من منطقة رمادية إلى ترخيص واضح |
| بروتوكول إقراض على السلسلة غير مُدقَّق | لا يوجد غطاء تنظيمي، والمخاطرة تقع على المستخدم |
نقاط تستحق المتابعة لاحقاً
- البيان الرسمي من Bonzo Lend / Supra: هل سيتم نشر تحليل كامل لما بعد الحادث (post-mortem) وتفاصيل تقنية عن الثغرة. لم يُنشر أي بيان حتى وقت كتابة هذا المقال.
- وجود خطة تعويض أو إعادة تعبئة الخزينة: تعويض المستخدمين بعد سرقة بروتوكولات DeFi غالباً ما يحدد مدى قدرتها على الاستمرار.
- نتائج إعادة الفحص التي تجريها Supra على بقية السلاسل المتصلة: ما ورد في التقرير عن “إغفال Hedera” يحتاج إلى تأكيد رسمي من Supra حول ما إذا كانت حالة معزولة.
- تغير القيمة الإجمالية المقفلة (TVL) في منظومة Hedera: يمكن اعتبارها مؤشراً لمدى امتداد تأثير الحادث.
توصيات تحريرية
- حاملو بطاقات USDT ذات الحفظ المُدار (Bybit، MPCard، OKX وغيرها): لا حاجة لأي إجراء. رصيدك لا علاقة له بهذا الحادث.
- من يودعون أموال الشحن في بروتوكولات DeFi لكسب فائدة: يُنصح بالتحقق من الأوراكل المستخدم وحالة التدقيق في البروتوكول، والحذر من البروتوكولات حديثة الإطلاق ذات القيمة الإجمالية المقفلة الصغيرة، وترك أموال الشحن في حساب مُدار أو استردادها عند الحاجة، وعدم تحمل مخاطرة على مستوى رأس المال مقابل بضع نقاط مئوية من العائد السنوي.
- من يرغب في استخدام بطاقات USDT على المدى الطويل في آسيا والمحيط الهادئ: يُفضَّل التركيز على المسارات المرخّصة وذات الحفظ المُدار، مع الاطلاع على تقييم Bybit Card وتقييم MPCard، والفصل بين تقييم “هل يمكن استخدامها للشراء” و”أين تُحفظ الأموال بأمان أكبر”.
- ما لا ينبغي فعله: لا تُقدم على بيع USDT أو HBAR بدافع الذعر بسبب هذا الخبر — فتأثير الحادث محصور في بروتوكول إقراض واحد، ولا علاقة مباشرة له بملاءة العملة المستقرة أو بقنوات إصدار البطاقات.
(جميع الإشارات في هذا المقال إلى المبالغ والعلاقات السببية مصدرها تقارير إعلامية منقولة، وسنقوم بتحديث هذه الصفحة فور صدور بيان رسمي.)