بدل اختراق الكود: مهاجم يستغل حوكمة BONK DAO لتحويل 20 مليون دولار

يبتكر مجرمو الإنترنت أساليب متطورة باستمرار لاستغلال منظومة الأصول الرقمية، ويُظهر الهجوم الأخير على “بونك داو - BONK DAO” أنهم لم يعودوا بحاجة إلى اختراق البرمجيات أو استغلال ثغرات تقنية لسرقة ملايين الدولارات.

وبدلًا من استغلال ثغرة في العقود الذكية أو اختراق المفاتيح الخاصة، أنفق المهاجم نحو 4.4 ملايين دولار للحصول على كمية كافية من ممثلات BONK الرقمية تمنحه القدرة على التصويت ضمن نظام الحوكمة اللامركزي للمشروع. وبعد ذلك، استُخدمت هذه الأغلبية المؤقتة للموافقة على اقتراح يقضي بتحويل نحو 20 مليون دولار من خزينة DAO إلى محفظة خاضعة لسيطرة المهاجم.

ويسلط حادث اختراق خزينة BONK بقيمة 20 مليون دولار الضوء على اتجاه متزايد في أمن الأصول الرقمية، يتمثل في استغلال آليات الحوكمة بدلًا من استهداف ثغرات البرمجيات.

تحويل حوكمة BONK DAO إلى أداة للهجوم

تتيح BONK DAO، وهي منظمة لامركزية تشرف على عملة الميمكوين المبنية على منصة سولانا، لحاملي الممثلات الرقمية التصويت على المقترحات التي يمكن تنفيذها تلقائيًا بمجرد الحصول على الموافقة المطلوبة.

وبحسب شركة تحليلات البلوكتشين "تشيناليسيس"، قدّم المهاجم اقتراحًا في 30 يونيو يطلب فيه تحويل أموال الخزانة إلى محفظة يتحكم بها.

ولتمرير الاقتراح، كان يتطلب الحصول على دعم يمثل 1% على الأقل من إجمالي المعروض المتداول من عملة BONK.

وخلال الأيام التالية، جمع المهاجم القوة التصويتية المطلوبة عبر شراء ممثلات BONK الرقمية من خلال منصات تداول مثل Bybit وBinance. كما أفادت تقارير، وفقًا لموقع Lookonchain، بأنه اقترض أموالًا إضافية عبر منصات إقراض لامركزية.

وفي النهاية، تمت الموافقة على الاقتراح بمشاركة سبع محافظ فقط، في حين امتنع أكثر من 18 ألف عضو مؤهل عن التصويت.

وحصل الاقتراح على الموافقة بفارق ضئيل للغاية، بعدما تجاوز النصاب القانوني المطلوب بتصويت 882.38 مليار رمز BONK مقابل عتبة بلغت 879.95 مليار ممثل رقمي.

وبمجرد الموافقة، نفذت العقود الذكية للمنظمة اللامركزية المستقلة (DAO) المعاملة تلقائيًا، محولةً نحو 4.43 تريليون رمز BONK، بقيمة تقارب 20 مليون دولار، إلى محفظة المهاجم.

استغلال قواعد الحوكمة بدلًا من اختراق البروتوكول

على عكس العديد من عمليات الاختراق البارزة في قطاع الأصول الرقمية، لم يخترق المهاجم أمن البروتوكول أو يعدّل الشفرة البرمجية الخاصة به.

فقد اتبعت جميع الخطوات، بدءًا من شراء الممثلات الرقمية مرورًا بالتصويت ووصولًا إلى تنفيذ تحويل الخزانة، القواعد القائمة لنظام الحوكمة في المنظمة اللامركزية المستقلة.

وأثار ذلك جدلًا جديدًا في القطاع حول ما إذا كان ينبغي تصنيف هذه الحوادث على أنها اختراقات أمنية أم استغلال لثغرات في نماذج الحوكمة. ففي حين يرى بعض مراقبي البلوكتشين أن المهاجم استغل ضعفًا في آلية التصويت، وصفت BONK DAO وشركات أمن البلوكتشين الحادث بأنه هجوم خبيث.

وبعد وقت قصير من استلام أموال الخزانة، أفادت التقارير بأن المهاجم حوّل نحو 188 ألف دولار من ممثلات BONK الرقمية إلى منصة تداول أصول رقمية، على الأرجح بهدف تصفيتها نقديًا.

في المقابل، نُقل نحو 19 مليون دولار إلى محفظة متعددة التوقيعات تتطلب موافقات عدة قبل تنفيذ أي تحويلات. كما باع المهاجم ممثلات BONK الرقمية بقيمة تقارب 5.3 ملايين دولار، وهي الحصة التي جمعها بهدف التأثير على التصويت، بعد انتهاء الغرض منها.

استراتيجية جديدة لمهاجمي الأصول الرقمية

أكدت BONK DAO وقوع الحادث، وأعلنت تعاونها مع منصات تداول الأصول الرقمية، وشبكات البلوكتشين، ومؤسسة سولانا، وجهات إنفاذ القانون للتعامل مع الهجوم.

ويؤكد هذا الحادث أن مخاطر الأمن السيبراني في قطاع الأصول الرقمية لم تعد تقتصر على ثغرات البرمجيات أو العقود الذكية. فمع توسع استخدام الحوكمة اللامركزية، بدأ المهاجمون باستهداف القواعد التي تدير البروتوكولات بدلًا من محاولة اختراق التكنولوجيا الأساسية.

وتشير حادثة BONK إلى أن أكبر نقاط الضعف في بعض المنظمات اللامركزية قد لا تكون في الشفرة البرمجية نفسها، بل في نماذج الحوكمة التي تسمح لأي جهة تمتلك رأس مال كافيًا بشراء سيطرة مؤقتة على خزائن تحتوي على ملايين الدولارات.

حوكمة الأصول الرقمية أمام اختبار جديد للأمان

تكشف حادثة BONK DAO عن تحدٍ جوهري يواجه مستقبل المنظمات اللامركزية، إذ إن الشفافية التي توفرها أنظمة الحوكمة المفتوحة قد تتحول إلى نقطة ضعف عندما لا ترافقها آليات حماية كافية. فامتلاك أغلبية تصويتية مؤقتة عبر شراء الممثلات الرقمية لا يمثل اختراقًا تقنيًا بالمعنى التقليدي، لكنه يكشف محدودية بعض نماذج الحوكمة التي تعتمد بشكل أساسي على قوة التصويت دون وضع قيود لحماية خزائن المشاريع.

ومع انتقال المزيد من المشاريع إلى نماذج لامركزية، ستصبح الحاجة أكبر إلى تطوير آليات مثل فترات الانتظار قبل تنفيذ القرارات الحساسة، وحدود التصويت، وأنظمة الإنذار المبكر، لضمان تحقيق التوازن بين اللامركزية والأمان. وتوضح حادثة BONK أن حماية الأصول الرقمية في المستقبل لن تعتمد فقط على قوة الكود، بل أيضًا على تصميم قواعد الحوكمة نفسها.