في 29 أكتوبر 2026، رصدت منصات المراقبة الفورية لشبكات البلوكشين تدفقات مالية مكثفة وغير معتادة صادرة من المحافظ الساخنة (Hot Wallets) التابعة لمنصة بينانس (Binance). وخلال ساعات معدودة، ارتفعت تقديرات إجمالي المعاملات المشبوهة عبر الشبكات المتوافقة مع جهاز إيثريوم الافتراضي (EVM) من 2.1 مليار دولار أولياً إلى ما يزيد عن 5.7 مليار دولار أمريكي. بادرت المنصة فوراً إلى تقييد قنوات السحب، بينما نسقت جهات إصدار العملات المستقرة تدابير طوارئ غير مسبوقة.

جمدت شركة Tether ما يزيد عن 1.5 مليار دولار من عملة USDT، بينما أدرجت شركة Circle نحو 800 مليون دولار من عملة USDC في القوائم المحظورة للعناوين المشتبه بها، مما أوقف انتقال أكثر من 2.5 مليار دولار من الأصول المسحوبة. وأفاد الرئيس التنفيذي السابق لبينانس، تشانغبينغ زاو (CZ)، عبر منصات التواصل بأن الأدلة التقنية تعكس اختراقاً استهدف آليات التوقيع التلقائي للمحافظ الساخنة في المنصة.

وربط خبراء التحليل الجنائي للبلوكشين مسار الهجوم بمقترح تحسين إيثريوم EIP-7702، الذي أُطلق حديثاً ضمن ترقية شبكة Pectra.

[خادم التوقيع التلقائي للمنصة (تم اختراقه)]
                   │
                   ▼ (1) إرسال معاملة EIP-7702 من النوع 4 بتوقيع صحيح
[محفظة بينانس الساخنة (حساب EOA)]
  العنوان: 0x28C6...3048
  الرصيد: سيولة بمليارات الدولارات
                   │
                   ▼ (2) تفويض ديناميكي: توجيه مؤشر الشيفرة إلى عقد المهاجم
[عقد الوكيل الخبيث]
  الشيفرة: تنفيذ تحويلات جماعية والتلاعب بأذونات ERC-20
                   │
                   ▼ (3) تدفقات أصول واسعة النطاق عبر شبكات EVM
[عناوين المهاجم المستهدفة] ───> [تجميد طارئ: القوائم السوداء لـ Tether و Circle]

تفكيك مقترح EIP-7702: التفويض البرمجي للحسابات العادية

لفهم كيفية سحب سيولة ضخمة من محفظة مؤسسية دون تسريب المفاتيح الخاصة للخزائن الباردة (Cold Storage)، يجب فحص المعمارية التقنية لمقترح EIP-7702.

صاغ المقترح كل من Vitalik Buterin وSam Wilson وAnsgar Dietrichs وMatt Garnett كجزء من ترقية Pectra بهدف تيسير تجريد الحسابات (Account Abstraction, ERC-4337) وتمكين الحسابات العادية المملوكة خارجياً (EOA) من الاستفادة من خصائص العقود الذكية دون إلزام المستخدمين بنقل أموالهم إلى محافظ برمجية معقدة.

يؤسس مقترح EIP-7702 نوعاً جديداً من المعاملات يُعرف بـ SET_CODE_TX_TYPE (الرمز 0x04). يتيح هذا الإجراء لحساب EOA توقيع تفويض يحدد عنوان عقد ذكي معين. وعند تضمين المعاملة في كتلة، يوجه جهاز EVM مؤشر شيفرة حساب EOA مؤقتاً لمطابقة شيفرة العقد المستهدف:

$$ ext{EOA}{ ext{code}} \leftarrow ext{Contract}{ ext{implementation}}$$

يمنح هذا التفويض حساب EOA كافة قدرات العقود القابلة للبرمجة:

  1. العمليات المجمعة (Batching): تنفيذ عشرات الموافقات والتحويلات للرموز في نداء برمجي موحد.
  2. رعاية رسوم المعاملات (Paymasters): السماح لأطراف موثوقة بسداد تكاليف الغاز بالنيابة.
  3. قواعد تحقق مخصصة: تحديد آليات برمجية للتحقق من شروط المعاملات.

غير أن هذه المرونة أفرزت ثغرة جوهرية. في معمارية EVM التقليدية، لا يمكن لحساب EOA نقل أصوله دون توقيع تشفيري secp256k1 مستقل لكل معاملة. لكن بموجب EIP-7702، إذا تم التلاعب بخدمة التوقيع الآلي لتوقيع تفويض واحد، تنتقل السيطرة الكاملة على تصرفات المحفظة إلى العقد الخبيث المحدد.

آلية الاستغلال: كيف اخترق المهاجم طوابير سحب المحافظ الساخنة

تعتمد المنصات المركزية على بنية تخزين ثلاثية المستويات لإدارة الأصول:

  • التخزين البارد (Cold Storage): وحدات الأمان المادية (HSM) ومخططات التوقيع المتعدد (مثل كفوروم 4 من 7) التي تحتفظ بنحو 90% إلى 95% من الاحتياطيات في بيئة معزولة عن الإنترنت.
  • المحافظ الوسيطة (Warm Wallets): لموازنة السيولة الداخلية.
  • المحافظ الساخنة (Hot Wallets): منصات متصلة بالإنترنت لمعالجة طلبات السحب اليومية للمستخدمين باستمرار.

وبسبب الكثافة العالية لطلبات السحب، تعتمد المنصات على خدمات توقيع برمجية تسحب الطلبات من طوابير الرسائل (مثل Kafka أو Redis)، وتطبق التوقيع من بيئات المفاتيح المحلية، ثم تبثها عبر بوابات RPC.

+-------------------------------------------------------------------------+
|                  مسار استغلال تفويض المحفظة الساخنة                      |
+-------------------------------------------------------------------------+
| [طابور الرسائل الداخلي / RPC] -> [وحدة التوقيع الآلي]                   |
|                                       │                                 |
|                                       ▼                                 |
|                           توقيع تفويض EIP-7702                          |
|                           الهدف: 0x9a8F... (عقد المهاجم)                |
+-------------------------------------------------------------------------+
                                        │
                                        ▼
+-------------------------------------------------------------------------+
|                      التنفيذ داخل شبكة بلوكشين EVM                      |
+-------------------------------------------------------------------------+
| 1. يربط جهاز EVM شيفرة 0x9a8F بمحفظة EOA الساخنة لبينانس                 |
| 2. يتتبع العقد الخبيث أرصدة رموز معيار ERC-20 المتاحة                   |
| 3. نداءات transferFrom() متتابعة تفرغ أرصدة USDT و USDC و WETH           |
| 4. توجيه مليارات الدولارات إلى عناوين متعددة التوقيع تابعة للمهاجم       |
+-------------------------------------------------------------------------+

تشير البيانات الجنائية الأولية إلى أن المهاجمين استغلوا ثغرة في معالجة طلبات السحب، مما دفع وحدة التوقيع إلى إصدار توقيع secp256k1 صحيح لمعاملة تفويض EIP-7702.

وبمجرد سريان التفويض على الشبكة، نفذ عنوان EOA أوامر العقد الخبيث، مستنزفاً السيولة المتاحة لرموز ERC-20 عبر شبكات Ethereum وArbitrum وBNB Smart Chain.

مؤشر الحادثة البيانات المسجلة على الشبكة الدلالة الأمنية
وقت الاكتشاف 29/10/2026 الساعة 18:42 UTC بدء خروج تدفقات مالية غير معتادة
المكون المستهدف المحافظ الساخنة EVM (حسابات EOA) طبقة المعالجة التلقائية للسحوبات
الوسيلة المتبعة استغلال تفويض EIP-7702 الاستيلاء على صلاحيات تجريد الحساب
حجم التدفقات بين 2.1 إلى 5.7 مليار دولار أضخم خروج يومي غير اعتيادي موثق
الأصول المجمدة ~1.5 مليار USDT + ~800 مليون USDC تجميد مركزي عبر دوال العقود الذكية
الوضع الحالي تحقيقات فنية موسعة جارية تحويل جزء من المتبقي إلى ETH و BTC

خط الدفاع المركزي للعملات المستقرة: تجميد 2.5 مليار دولار

أظهر الاحتواء السريع للأموال سمة رئيسية للعملات المستقرة المركزية: القابلية للتدخل البرمجي.

بخلاف العملات اللامركزية مثل بيتكوين، تحتوي رموز Tether (USDT) وCircle (USDC) على وظائف إدارية مدمجة ضمن عقود ERC-20:

  • دوال freeze() وblacklist(): تقوم بتعديل جدول الحالات لمنع العناوين المحددة من تحويل الرموز أو صرفها.
// تمثيل مبسط لمنطق القوائم المحظورة في عقود العملات المستقرة
mapping(address => bool) internal _isBlacklisted;

function transfer(address to, uint256 amount) public returns (bool) {
    require(!_isBlacklisted[msg.sender], "Issuer: المرسل محظور");
    require(!_isBlacklisted[to], "Issuer: المستلم محظور");
    _transfer(msg.sender, to, amount);
    return true;
}

وخلال 90 دقيقة من انطلاق التنبيهات، نفذت فرق الأمان في Tether وCircle نداءات طوارئ لتجميد العناوين الرئيسية للمهاجمين، مما حظر تداول أكثر من 2.5 مليار دولار عبر منصات التبادل اللامركزية (DEX).

إرشادات أمنية لحماية المنصات والمستخدمين

توفر هذه الحادثة دروساً محورية لمشغلي شبكات البلوكشين ومجتمع المستخدمين:

1. تقييد صلاحيات EIP-7702 بصرامة

يجب على المؤسسات التي تدير مفاتيح توقيع لحسابات EOA فرض سياسات مشددة داخل وحدات HSM:

  • حظر توقيع معاملات SET_CODE_TX_TYPE (0x04) كلياً للمحافظ الساخنة التلقائية، أو
  • إنشاء قائمة بيضاء حصرية لبصمات التجزئة (Hashes) للعقود المصرح بها قبل التوقيع.

2. عزل شبكات اتصالات RPC الداخلية

يجب ألا تتصل وحدات التوقيع الآلي بالعقد عبر شبكات مشتركة. فاختراق قناة الاتصال يتيح للمهاجم التلاعب ببيانات المعاملة قبل وصولها إلى خادم التوقيع.

تعالج بنية VPNRice هذا التهديد بتوجيه اتصالات RPC عبر أنفاق مشفرة في الطبقة الثالثة. وباستخدام بروتوكول RiceGuard:

  • تُشفر كافة الاتصالات بين الطوابير وخوادم التوقيع والعقد عبر بروتوكول ChaCha20-Poly1305.
  • يُستبعد خطر التنصت المحلي أو تزوير معاملات RPC كلياً.

3. التوقيع الواضح (Clear-Signing) للمستخدمين

يواجه مستخدمو Web3 مخاطر مشابهة مع انتشار استخدام EIP-7702:

  • تجنب الموافقة على أي طلبات تفويض غير مألوفة في محافظ المتصفحات.
  • استخدام محافظ مادية تدعم خاصية التوقيع الواضح لعرض العنوان الفعلي للعقد المفوض.
  • حفظ الأصول طويلة الأجل في محافظ باردة معزولة تماماً عن العقود الذكية.

تواصل صناعة التشفير موازنة المعادلة بين سهولة استخدام تجريد الحسابات وتحصين الأنظمة ضد الثغرات. وستشكل التقارير الختامية لتحقيقات بينانس مرجعاً لتحديث معايير الحفظ المؤسسي للأعوام القادمة.