تعرّض جسران مرتبطان بإيثيريوم لحادثتين خلال ساعات متتالية. وفقًا لـتقرير Tokenpost نقلًا عن CryptoSlate، رصدت شركة الأمان Blockaid حوالي الساعة 21:30 (UTC) من يوم 22 يوليو استغلالًا لثغرة في AFX — بروتوكول التداول اللامركزي العامل على Arbitrum، حيث خرج من جسر حفظ USDC التابع له مبلغ 24.15 مليون USDC، وسُجّلت المعاملات ذات الصلة على سلسلة Arbitrum؛ وفي نفس الفترة تقريبًا وقعت خسارة أيضًا في جسر Verus–Ethereum، وبلغ إجمالي الحادثتين نحو 31.69 مليون دولار. من جهة أخرى، أعلنت B² Network تعليق الستاكينغ (staking) للتوكن بعد وصول غير مصرح به إلى صلاحيات ترقية عقد الستاكينغ. القاسم المشترك بين الحادثتين هو أن المتضرر ليس مُصدر العملة المستقرة، بل تلك البنية التحتية التي “تُمرّر” الأصول بين السلاسل.
تحليل تحريري: المتأثر ليس البطاقة، بل المسار الذي يسبقها
لنبدأ بالخلاصة — تأثير هذا النوع من الحوادث على الغالبية العظمى من حاملي بطاقات USDT الافتراضية هو صفر. رصيد البطاقة محفوظ ضمن نظام حسابات مُصدر البطاقة، ولا يمر عبر عقود AFX أو B². التعرّض الحقيقي للخطر يظهر قبل عملية الشحن نفسها: عندما تسحب USDT من منصة تداول إلى سلسلة L2 معينة لتوفير رسوم المعاملات، ثم تستخدم جسرًا من طرف ثالث لتحويلها إلى سلسلة أخرى، وأخيرًا تشحنها إلى البطاقة. كل جسر في هذا المسار يمثل خطر عقد مستقل.
بحسب عادات الاستخدام، يمكن تقسيم المستخدمين إلى ثلاث فئات:
- مستخدمو التحويل الداخلي عبر منصة التداول (السيناريو النموذجي لبطاقات منصات التداول مثل Bybit Card): يتم تحويل الأموال مباشرة من حساب السبوت إلى حساب البطاقة دون الصعود إلى السلسلة، ولا ينتج عن هذه الحادثة أي خطر إضافي.
- مستخدمو الشحن المباشر عبر TRC20 / السلاسل العامة الرئيسية (نسخة Asia Elite من MPCard، ومعظم بطاقات USDT التجميعية): يتم تحويل USDT مباشرة من المحفظة إلى العنوان المحدد من مُصدر البطاقة دون المرور بجسر طرف ثالث، ولا يتضمن هذا المسار أي خطر أيضًا.
- مستخدمو L2 + جسور طرف ثالث لتوفير رسوم المعاملات: هذه هي الفئة الوحيدة التي تحتاج إلى إعادة تقييم موقفها. تعرضت سيولة USDC على Arbitrov لضغط قصير المدى بعد الحادثة، وقد تتضخم انزلاقات التحويل بين السلاسل وأوقات الانتظار في الجسور.
توقعات الإطار الزمني: خلال 7 أيام، قد تفرض بعض المحافظ التجميعية ومزودي بطاقات USDT ضوابط مخاطر مؤقتة على قنوات الشحن عبر Arbitrum والجسور الأقل شيوعًا، وقد يظهر ذلك كتأخير في الوصول أو رسالة تشير إلى “هذه السلسلة غير مدعومة حاليًا”؛ خلال 30 يومًا، سيحدد إعلان AFX عن تقرير ما بعد الحادثة وخطة التعويض المحتملة، وكذلك استئناف B² للستاكينغ، مدى عودة الأموال إلى النظام البيئي المرتبط بهما؛ خلال 90 يومًا، من المرجح أن يزيد مُصدرو بطاقات USDT الرئيسيون من تضييق قائمة “السلاسل المدعومة رسميًا” — وهذا هو الاتجاه المتكرر بعد كل حادثة جسر خلال العامين الماضيين. القراء غير المطلعين على بنية تدفق أموال بطاقات USDT يمكنهم مراجعة الجزء المتعلق بمسار الشحن وحدود الحفظ في مقال ما هي بطاقة USDT.
مقارنة تاريخية: يشبه حادثة Multichain 2023، وليس فك ربط USDC 2023
حادثة Multichain في يوليو 2023 هي المرجع الأقرب — نفس النوع من فقدان السيطرة على المفاتيح/الصلاحيات في طرف الجسر، والذي أدى إلى فقدان الأصول المرتبطة بالجسور في عدة سلاسل دعمها المفاجئ للسداد، وظهور خصم واضح في العملات المستقرة المرتبطة بالجسور على سلاسل مثل Fantom. مبلغ 24.15 مليون USDC في حادثة AFX الحالية هو أصول حقيقية سُحبت من داخل جسر الحفظ، وطبيعته شديدة الشبه بحادثة Multichain: المُصدر نفسه ليس فيه خلل، بل الخلل في “الجهة التي تحفظ لك هذا المال”.
أما فك ربط USDC في مارس 2023 (حادثة بنك سيليكون فالي، حيث انخفض USDC إلى ما يقارب 0.87 دولار) فهو نوع مختلف من الخطر — مشكلة في طرف الاحتياطيات، تؤثر على جميع الحائزين في الوقت نفسه، بغض النظر عن السلسلة المستخدمة. في تلك الحادثة، تأثرت تقريبًا جميع أرصدة البطاقات المقومة بـUSDC؛ أما هذه المرة فلن يحدث ذلك.
وبالمقارنة مع حادثتي Ronin (625 مليون دولار) وWormhole (326 مليون دولار) في 2022، فإن حجم هذه الحادثة البالغ 31.69 مليون دولار ليس كبيرًا، لكن “الوصول غير المصرح به إلى صلاحيات الترقية” في حادثة B² إشارة تستحق مزيدًا من الحذر: صلاحيات المسؤول في العقود القابلة للترقية أصبحت سطح هجوم أكثر تكرارًا من ثغرات الكود نفسها. هذا تذكير مهم لكل من يترك أمواله لفترة طويلة في بروتوكولات عائد على السلسلة، ثم يسحبها بشكل دوري لاستخدامها في استهلاك البطاقة.
المنظور التنظيمي: الجسر ليس حلقة مرخّصة، ومسار التعويض غير موجود عمليًا
من المهم توضيح الحدود هنا. مُصدرو العملات المستقرة (Tether، Circle) دخلوا في معظم الولايات القضائية إطار ترخيص أو تسجيل — نظام ترخيص المُصدرين بموجب “قانون العملات المستقرة” في هونغ كونغ، وإطار تنظيم العملات المستقرة الذي تطوره MAS في سنغافورة، وكلاهما قيد التطور، ويمكن مراجعة النقاط الرئيسية في دليل الامتثال لهونغ كونغ ودليل الامتثال لسنغافورة. مُصدرو البطاقات الافتراضية والمؤسسات المستحوذة للمدفوعات يخضعون أيضًا عمومًا لقيود ترخيص EMI / المدفوعات.
لكن جسور السلاسل تقع في منطقة فراغ تنظيمي: فهي ليست مُصدرًا ولا مؤسسة دفع مرخّصة، وتعمل غالبًا بشكل كامل بالكود، دون التزام بفصل أموال العملاء، ودون احتياطي تعويض، ودون جهة تنظيمية يمكن التظلم لها. بمجرد خروج الأموال من عقد الجسر، لا يبقى أمامك سوى شيئين — قدرة المُصدر على وضع العناوين في القائمة السوداء (تتمتع Circle بالقدرة التقنية على تجميد USDC في عنوان محدد، وتنفيذ ذلك يعتمد على تقديرها)، وخطة التعويض الطوعية من فريق المشروع نفسه. هذا ليس “مخالفة للقانون”، بل “غياب قانون ينطبق أصلًا”. اعتبار هذا الوضع مماثلًا لأمان أموال مُصدر بطاقة مرخّص هو أكثر الأخطاء الفكرية شيوعًا.
النقاط التي يجب متابعتها لاحقًا
- هل ستقوم Circle بتجميد العناوين المتورطة — سيحدد هذا مقدار المبلغ الممكن استرداده من 24.15 مليون USDC، وعادة ما تتضح النتيجة خلال أيام من الحادثة.
- إعلان B² Network عن استئناف الستاكينغ — سواء تم تغيير التوقيع المتعدد أو إدخال قفل زمني بعد الوصول غير المصرح به لصلاحيات الترقية، فهذا مؤشر رئيسي على جودة الإصلاح الأمني.
- تقرير AFX الرسمي لما بعد الحادثة (post-mortem) — هل سيُكشف عن ناقل الهجوم، وهل ستُعلن نسبة تعويض المستخدمين.
- إعلانات مزودي بطاقات USDT الرئيسيين بخصوص السلاسل المدعومة — إذا قام أي مُصدر بطاقة بإلغاء قناة شحن سلسلة معينة بهدوء خلال الـ30 يومًا القادمة، فعادة لا يتم ذلك بإعلان بارز، ويجب على المستخدم مراجعة الصفحة الرسمية بنفسه قبل الشحن.
نصائح تحريرية
- لحاملي بطاقات رئيسية مثل MPCard وBybit Card الذين يستخدمون التحويل الداخلي عبر منصة التداول أو الشحن المباشر عبر السلسلة الرئيسية: لا حاجة لأي إجراء. لم تمر أموالك بأي من العقود المتورطة في هذه الحادثة.
- لمن اعتاد استخدام جسور طرف ثالث “للالتفاف وتوفير رسوم الغاز”: يُنصح بالعودة للقناة الرسمية هذا الشهر. بضعة دولارات من الرسوم الموفرة لا تتناسب مع خطر عقود الجسر. يجب أن يكون مستخدمو المسارات ذاتية الحفظ مثل OneKey Card أكثر حذرًا خاصة — لأن الحفظ الذاتي يعني تحمّل الخطر ذاتيًا، دون خدمة دعم يم