استغلال في "الأوراكل" يستنزف نحو 9 ملايين دولار من بروتوكول الإقراض Bonzo Lend على Hedera

أعلن بروتوكول الإقراض Bonzo Lend المبني على شبكة Hedera أنه تكبّد خسائر تُقدّر بنحو 9 ملايين دولار بعد أن قام مهاجم بالتلاعب بسعر رمز ضمان منخفض القيمة يستخدمه النظام. ووفقاً للتفاصيل، حوّل الهجوم إيداعاً صغيراً إلى قدرة على الاقتراض بمبالغ تفوق كثيراً القيمة الحقيقية للضمان، ما أدى إلى استنزاف السيولة من مجمّع الإقراض. في تقرير أولي للحادثة نُشر يوم السبت على موقع Bonzo، أوضح البروتوكول أن الخلل نتج عن فشل مرتبط بالأوراكل، حيث قدّم المهاجم تحديثاً مُصمماً بعناية لسعر ضمان SAUCE، ما رفع القيمة المُبلّغ عنها بنحو 12 مرتبة أسّية. وبعد تثبيت هذا التقييم المتضخم، اقترض المهاجم 6.63 مليون USDC و34.5 مليون wrapped HBAR. أبرز النقاط - يقدّر Bonzo Lend الأثر الاقتصادي للحادثة بنحو 9 ملايين دولار نتيجة التلاعب بسعر الضمان. - يعزو البروتوكول السبب الجذري إلى قبول مُتحقّق أوراكل على السلسلة تابع لـ Supra لتحديث يحمل توقيعاً مُصفّراً (zeroed signature). - إيداع أولي صغير (250 SAUCE) كان كافياً لاقتراض أصول بملايين الدولارات بعد تضخيم سعر SAUCE عبر الأوراكل. - يؤكد Bonzo أن ما حدث ليس ثغرة في عقود Bonzo Lend الذكية ولا في الشبكة الأساسية لـ Hedera، بل مشكلة تحقق في طبقة الأوراكل upstream. - تأتي الحادثة بعد استغلال مماثل لتسعير الضمانات على Stellar في وقت سابق من العام، ما يسلط الضوء على نمط مخاطر متكرر في DeFi. كيف تحوّل سعر خاطئ إلى ضمان "حقيقي" يسرد تقرير Bonzo تسلسلاً يستهدف الطريقة التي تُحوّل بها منصات الإقراض أسعار الأوراكل إلى قوة اقتراض. وبحسب البروتوكول، بدأ المهاجم بإيداع 250 SAUCE، وهي قيمة لا تتجاوز بضعة دولارات في الظروف الطبيعية. ثم جاءت الخطوة الحاسمة عبر إرسال تحديث سعر رفع قيمة SAUCE بشكل هائل، بنحو 12 مرتبة أسّية، من خلال آلية الأوراكل المدمجة في البروتوكول. بعد قبول السعر المُتلاعب به، عكست منطقية تقييم الضمان في البروتوكول هذا الرقم المتضخم، ما أتاح للمهاجم سحب قروض لا تتناسب مع الضمان المودع. ويذكر Bonzo أن عمليات الاقتراض شملت 6.63 مليون USDC و34.5 مليون wrapped HBAR. تُبرز الواقعة نمطاً مألوفاً لفشل DeFi: عندما يمرّر الأوراكل سعراً مُتلاعباً به إلى نظام إقراض، قد يعمل البروتوكول "كما هو مصمم" من الناحية البرمجية، ومع ذلك يفتح الباب أمام استنزاف مالي كارثي. خلل التحقق في الأوراكل بحسب Bonzo بدلاً من اتهام منطق الإقراض نفسه، يضع Bonzo الحادثة ضمن إطار مشكلة تحقق في الأوراكل. ويقول إن الخلل نابع من ثغرة في مُتحقّق الأوراكل على السلسلة لدى Supra، والذي قبل سعر SAUCE المُتلاعب به رغم أنه كان يحمل توقيعاً مُصفّراً. وأضاف Bonzo أن Supra أقرت بالمشكلة ونشرت إصلاحاً. وشدد البروتوكول في الوقت ذاته على أن الواقعة لا ترتبط بثغرة في عقوده أو في شبكة Hedera الأساسية. هذا التفريق مهم للمستخدمين والجهات المدمجة، لأنه يوجّه التركيز إلى افتراضات الاعتمادية والأمان في بنية الأوراكل، وإلى الضمانات التي يتوقعها بروتوكول الإقراض من مُغذّيات الأسعار. حتى لو كانت شيفرة التطبيق سليمة، فإن طبقة أوراكل تفشل في التحقق من التوقيعات أو سلامة البيانات يمكن أن تقوض نموذج المخاطر بالكامل. لماذا تتكرر هجمات تسعير الضمانات في DeFi تأتي حادثة Bonzo وسط استمرار الضغوط على أمن DeFi خلال 2026. وكانت Cointelegraph قد أشارت إلى أن الربع الثاني أصبح الأكثر تعرضاً للاختراقات على الإطلاق من حيث عدد الحوادث، مع تسجيل 83 عملية استغلال وسرقة تقارب 755 مليون دولار، فيما شكلت اختراقات جسور الربط بين السلاسل (crosschain bridges) نحو 351 مليون دولار من ذلك الإجمالي. وذكرت التغطية نفسها أن هجمات اختراق حسابات الإدارة والتلاعب بأسعار الرموز المزيفة شكّلت معاً 37% من خسائر الربع. إلى جانب الأرقام، تبدو الثقة عاملاً حاسماً. كما أفادت Cointelegraph بأن القيمة الإجمالية المقفلة في DeFi (TVL) تراجعت 39% لتتجاوز قليلاً 70 مليار دولار في يونيو 2026، مقارنة بنحو 115 مليار دولار في يناير. وبصورة منفصلة، أشارت بيانات CryptoRank المذكورة في التقرير إلى 121 عملية اختراق وخسائر تقارب 942 مليون دولار خلال الفترة نفسها، ما يوحي بأن تكرار الأحداث الأمنية قد عزز خروج رؤوس الأموال. تنسجم حادثة Bonzo مع هذا السياق: الهجمات التي تعبث بمدخلات التسعير غالباً ما تتجاوز الدفاعات "التقليدية" لأنها تستغل قواعد النظام الاقتصادية بدلاً من كسر العقود الأساسية مباشرة. وعندما يعتمد سوق الإقراض على تقييم دقيق للضمانات، تصبح طبقة الأوراكل هدفاً مرتفع القيمة؛ وقد يكفي فشل واحد في التحقق من السلامة لإطلاق آليات اقتراض شبيهة بالتصفية دون قيود فعّالة. سيناريو مشابه على Stellar في وقت سابق من العام يربط تقرير Bonzo أيضاً بين ما حدث واستغلال مماثل على شبكة Stellar في وقت سابق من 2026. ففي فبراير، استنزف مهاجمون نحو 10 ملايين دولار من مجمّع إقراض تُديره YieldBlox DAO بعد التلاعب بمسار التسعير المستخدم لتقييم ضمان USTRY، ما مكّن من الاقتراض بأكثر من القيمة الحقيقية للضمان. ورغم اختلاف الشبكتين، تتطابق الآلية: التركيز على كيفية احتساب أسعار الضمانات والثقة بها، ثم استغلال التقييمات المشوهة لاستخراج السيولة. وتشير هذه الحالات إلى أن "سلامة تسعير الضمانات" ليست خطراً هامشياً، بل واحدة من أكثر الثغرات قابلية للتكرار في أنظمة الإقراض والاقتراض المضمون. كما تطرح سؤالاً عملياً أمام المطورين: ما الضمانات المطلوبة من مزودي الأوراكل؟ وما أدوات المراقبة أو آليات البدائل عند انهيار سلامة السعر؟ يلمّح سرد Bonzo إلى أن التحقق من التوقيعات يمثل خط دفاع أساسياً، وإلى ضرورة تطبيق صارم لا يمكن تجاوزه عبر تحديثات مشوهة أو غير مصرح بها. بالنسبة لمستخدمي DeFi ومشغلي البروتوكولات، يبقى محور المتابعة التالي هو كيفية تحقق مزودي الأوراكل والجهات المدمجة من فعالية الإصلاحات بعد حوادث كهذه، وما إذا كانوا سيعززون سلوك المُتحقّق في الحالات الحدّية مثل التوقيعات غير الصالحة، وكذلك ما إذا كانت أسواق الإقراض ستُعدّل معايير المخاطر استجابةً لإخفاقات طبقة الأوراكل. نُشر هذا المقال في الأصل بعنوان: Oracle Exploit Wipes $9M From Bonzo Lend on Hedera على Crypto Breaking News.