اختراق حوكمة عملة Token of Power يسرق 1.58 مليون دولار عبر سكّ مليارات التوكنات
ثغرات في نظام التصويت اللامركزي تتيح للمهاجم السيطرة على DAO وسحب سيولة من Balancer
تعرض مشروع العملة الرقمية Token of Power (TOP) لهجوم خطير على نظام الحوكمة اللامركزية، أسفر عن خسائر تقدر بنحو 1.58 مليون دولار بعد تمكن مهاجم من السيطرة على التصويت داخل المنظمة اللامركزية وسكّ كميات ضخمة من التوكنات بشكل غير مشروع.
وأظهرت التحقيقات أن الهجوم لم يستهدف بروتوكول Balancer نفسه، بل استغل ثغرات في نظام الحوكمة الخاص بالمشروع لتنفيذ عملية السحب.
السيطرة على الحوكمة تمهد للاختراق
وفقاً لشركات الأمن السيبراني المتخصصة في البلوكشين، تمكن المهاجم من جمع ما يكفي من رموز التصويت ليحصل على أغلبية التحكم داخل نظام DAO الخاص بالمشروع.
ويعتمد نظام الحوكمة في Token of Power على نموذج يسمح لحاملي التوكنات بالتصويت على القرارات، إلا أن ضعف توزيع القوة التصويتية وعدم وجود آلية تأخير (Timelock) جعل النظام عرضة للاستغلال.
وبعد حصوله على الأغلبية، تمكن المهاجم من تمرير اقتراح ضار سمح له بسكّ نحو 10 مليارات توكن من عملة TOP بشكل مباشر.
تحويل التوكنات المسكوكة إلى ETH وسحب السيولة
بعد تنفيذ عملية السكّ غير المشروعة، قام المهاجم بتحويل التوكنات الجديدة إلى عملة إيثريوم (WETH) عبر مجمع السيولة TOP/WETH على منصة Balancer V1.
وأدى هذا النشاط إلى استنزاف جزء كبير من السيولة داخل المجمع، ما تسبب في خسائر تقدّر بنحو 944 إيثريوم، أي ما يعادل تقريباً 1.58 مليون دولار.
وتشير التحليلات إلى أن المهاجم كان قد اشترى مسبقاً كمية من توكنات TOP بقيمة كبيرة للحصول على السيطرة التصويتية، قبل تنفيذ الهجوم مباشرة.
تفاصيل تقنية تكشف ضعف نظام DAO
أظهرت التحقيقات أن إجمالي المعروض من التوكنات كان محدوداً للغاية، ما جعل عملية السيطرة على أغلبية التصويت أسهل مما ينبغي.
وبمجرد امتلاك المهاجم لأكثر من 50% من قوة التصويت، تمكن من تنفيذ اقتراح داخل نفس المعاملة دون وجود فترة انتظار أو مراجعة، وهو ما سمح بتمرير القرار بشكل فوري.
ويعتبر غياب آلية “Timelock” أحد أبرز نقاط الضعف، حيث كان من الممكن أن يمنع تنفيذ القرار بشكل فوري ويتيح وقتاً لمراجعة الهجوم.
غسل الأموال عبر Tornado Cash
بعد تنفيذ الهجوم، قام المهاجم بتحويل الأموال المسروقة بسرعة عبر بروتوكول Tornado Cash بهدف إخفاء مسار المعاملات.
وأظهرت بيانات على السلسلة أن عدة تحويلات تمت خلال فترة قصيرة بعد الاختراق، ما يشير إلى محاولة واضحة لتفادي التتبع.
وفي النهاية، لم يتبق في محفظة المهاجم سوى كميات ضئيلة من الإيثريوم، بعد توزيع الأموال عبر عدة عمليات نقل.
تحذيرات من مخاطر حوكمة DeFi
سلط هذا الحادث الضوء مجدداً على المخاطر المرتبطة بأنظمة الحوكمة اللامركزية في مشاريع التمويل اللامركزي، خاصة المشاريع الصغيرة التي تفتقر إلى آليات حماية قوية.
وأكد خبراء الأمن أن تصميم أنظمة التصويت دون حدود واضحة أو آليات تأخير يجعلها عرضة لهجمات السيطرة على الحوكمة، حتى دون وجود ثغرات في العقود الذكية الأساسية.
كما شددوا على أهمية إضافة طبقات حماية مثل حدود التصويت، وآليات التحقق المسبق، وفترات التأخير قبل تنفيذ القرارات الحساسة.
ويؤكد الحادث أن نقاط الضعف في تصميم الحوكمة قد تكون أكثر خطورة من الثغرات التقنية نفسها، لأنها تسمح للمهاجمين بالسيطرة الكاملة على البروتوكول واستنزاف السيولة دون الحاجة لاختراق مباشر للبنية الأساسية.
