يو آي تي إكس تقدم مكافأة قدرها 10% للقراصنة بعد استغلال جسر عبر السلسلة بقيمة 4.4 مليون دولار
IoTeX، منصة البلوكشين التي تركز على بنية تحتية لإنترنت الأشياء، قدمت مكافأة بيضاء بنسبة 10% بإجمالي حوالي 440,000 دولار للمخترقين المسؤولين عن استغلال جسر ioTube العابر للسلاسل، بشرط إعادة حوالي 4.4 مليون دولار من الأصول المسروقة خلال 48 ساعة.
تم الإعلان عن العرض عبر رسالة على السلسلة وتصريحات علنية من قبل مؤسس ومديرها التنفيذي Raullen Chai في 23 فبراير 2026، يتضمن الالتزام بعدم اتخاذ إجراءات قانونية أو مشاركة معلومات التعريف مع جهات إنفاذ القانون إذا تم إعادة الأموال طوعياً. بدأ الاختراق في 21 فبراير من خلال مفتاح خاص لمُحقق مصدق مخترق على جانب إيثريوم من الجسر، ووصفه كل من IoTeX ومحللي أمن خارجيين بأنه فشل في الأمان التشغيلي وليس ثغرة في بلوكشين الطبقة الأولى أو بنية العقود الذكية للمشروع.
تم تتبع الأموال المسروقة، التي قدرها خبراء أمن البلوكشين في البداية بما يصل إلى 8.8 مليون دولار، عبر عدة سلاسل، حيث حدد المشروع أربعة عناوين بيتكوين تحتوي على حوالي 66.6 BTC. تقوم IoTeX حالياً بترقية الشبكة الرئيسية تتطلب من مشغلي العقد تنفيذ قائمة سوداء افتراضية للعناوين الخبيثة، على الرغم من أن خبراء الأمن يحذرون من أن الأصول التي تم تبادلها وربطها عبر بروتوكولات مثل THORChain قد يكون من الصعب أو المستحيل استردادها.
شروط المكافأة واستراتيجية التواصل
تتبع IoTeX نمطاً تم تأسيسه من قبل مشاريع تشفير سابقة نجحت في التفاوض مع المخترقين من خلال حوافز بيضاء مماثلة بنسبة 10%. أكد Chai لـ CoinDesk أن الفريق أرسل رسالة على السلسلة للمهاجم يوضح فيها الشروط، والتي تتضمن ضمان عدم اتخاذ إجراءات قانونية أو مشاركة معلومات التعريف مع جهات إنفاذ القانون إذا تم إعادة الأموال المتبقية خلال نافذة الـ 48 ساعة.
“تم تتبع جميع تحركات الأموال عبر إيثريوم وIoTeX وبيتكوين بشكل كامل،” قال Chai في الرسالة على السلسلة. وأشار التواصل أيضاً إلى أن ودائع البورصات تم تمييزها وتجميدها، مما يحد من قدرة المهاجم على تصفية الأصول المسروقة عبر المنصات المركزية.
السبب الفني وفشل الأمان التشغيلي
مكن الاختراق في 21 فبراير من السيطرة غير المصرح بها على عقود جسر ioTube من خلال مفتاح خاص لمُحقق مصدق مخترق على جانب إيثريوم من البنية التحتية. أكد محللو الأمن أن الاختراق لم ينجم عن ثغرة في العقود الذكية أو اختراق لطبقة البلوكشين الأولى لـ IoTeX.
قال Nick Motz، المدير التنفيذي لمجموعة ORQO ومدير المعلومات في Soil، لـ CoinDesk: “الاختراق يرجع إلى مفتاح خاص لمُحقق مصدق على جانب إيثريوم، وهو فشل في الأمان التشغيلي، وليس ثغرة في العقود الذكية اكتشفها طرف خارجي.” وأشار إلى أن طبقة IoTeX الأولى بقيت آمنة، لكن أموال المستخدمين كانت موثوقة بشكل خاص للبنية التحتية للجسر التي أنشأها المشروع وصانها.
وصف Nanak Nihal Khalsa، أحد مؤسسي human.tech، الحادث بأنه مسؤولية صناعية عامة. “نعم، من يحمل المفتاح الخاص مسؤول عن تأمينه،” قال Khalsa. “هل هذا مسؤولية معقولة؟ من الصعب القول. لكن هكذا تعمل الصناعة حالياً.” ودعا Khalsa إلى تعزيز إعدادات المحافظ والتوقيعات متعددة التوقيعات لتقليل المخاطر المماثلة، مشيراً إلى أن قواعد المسؤولية لا تزال غير مستقرة مقارنة بالتمويل التقليدي.
تتبع الأصول، نشاط التوريد، وآفاق الاسترداد
قدرت شركة أمن البلوكشين PeckShield في البداية الخسائر بأكثر من 8 ملايين دولار، وأبلغت أن المهاجم قام بتبادل الأموال المسروقة إلى إيثير وبدأ في ربطها إلى بيتكوين عبر THORChain. أكد المحقق على السلسلة Specter أن الاختراق تم تحديده، حيث حدد حوالي 4.3 مليون دولار تم سحبها مباشرة من خزنة الرموز عبر أصول متعددة تشمل USDC، USDT، IOTX، PAYG، WBTC، وBUSD.
وفقاً لتحليل Specter، استغل المهاجم العقود المخترقة أيضاً لسك حوالي 111 مليون رمز CIOTX، وهو معيار رمزي عابر للسلاسل من IoTeX مصمم لسيولة متعددة السلاسل، بقيمة تقدر بـ 4 ملايين دولار. كما تم سحب 9.3 مليون رمز CCS، بقيمة تقريبية 4.5 ملايين دولار، رغم أن IoTeX ذكرت أن رموز CCS والعديد من الرموز الأخرى تم إيقافها منذ زمن بعيد ولا تحمل قيمة، وأن CIOTX تم تجميده إلى حد كبير.
حددت IoTeX أربعة عناوين بيتكوين تحتوي على 66.78 BTC بقيمة تقريبية 4.3 ملايين دولار بأسعار السوق الحالية، وأكدت أن العناوين تتم مراقبتها بالتعاون مع البورصات. وأكدت مراجعة CoinDesk لهذه العناوين في 23 فبراير أنها كانت تحتوي على حوالي 66.6 BTC.
آفاق الاسترداد لا تزال غير مؤكدة. حذر Motz من أن “بمجرد أن يتم توجيه الأصول عبر THORChain… يصبح الاسترداد صعباً للغاية،” مضيفاً أن “الاحتواء ليس هو نفسه الاسترداد. الأصول ذات القيمة السوقية الفعلية تم تبادلها وربطها. ومن تقييمي، من غير المحتمل استردادها.” وحذر Khalsa بالمثل من أن “من الصعب التنبؤ بكمية الأصول التي يمكن استردادها، إن وجدت.”
رد فعل السوق وإجراءات الشبكة
انخفض رمز IOTX بنسبة تتراوح بين 9-22% بعد الاختراق، من 0.0054 دولار إلى أقل من 0.0042 دولار قبل أن يتعافى جزئياً. زاد حجم التداول بأكثر من 500% في اللحظات الأولى بعد الحادث.
وقفت IoTeX مؤقتاً شبكتها بعد الحادث، وقال Chai إن السلسلة ستستأنف خلال 24-48 ساعة بعد تنفيذ إجراءات تجميد العناوين. تقوم الشركة حالياً بإصدار نسخة Mainnet v2.3.4، التي تتطلب من مشغلي العقد التحديث وتتضمن قائمة سوداء افتراضية للعناوين الخبيثة من حسابات خارجية مملوكة (EOA) والتي سيتم تصفيتها بواسطة العقد.
قال Chai لـ The Block إن جهود الاسترداد جارية، وأن التقديرات الأولية تشير إلى أن الخسارة المحتملة أقل بكثير من الشائعات المتداولة، حيث يُقدر المبلغ حالياً بحوالي 2 مليون دولار. “لقد أبلغنا جميع البورصات على الفور لتجميد عنوان المخترق، ولن يتمكنوا حتى من إيداع الرمز،” قال Chai.
الصلة بالاختراق السابق
أشار المحقق على السلسلة Specter إلى وجود مسار تمويل محتمل يربط محفظة مخترق IoTeX باختراق بقيمة 49 مليون دولار لبنك العملات المستقرة Infini في فبراير 2025، وهو أحد أكبر الاختراقات العام الماضي. واتهم فريق Infini مطور عقد سابق، يُعرف على السلسلة باسم shaneson.eth، بأنه يحتفظ بصلاحيات إدارية ويستنزف خزنة المنصة.
قال Chai لـ The Block إن “لدينا أدلة متعددة تشير إلى أن هذا هجوم مخطط كان قد يتطور منذ ستة إلى ثمانية عشر شهراً،” رغم أن الأمر لا يزال غير واضح إذا ما كان هذا يشير تحديداً إلى ارتباط المخترق بـ Infini.
سياق الصناعة
يضيف الحادث إلى نمط مستمر من ثغرات جسور العبور بين السلاسل، والتي تشير تقارير الصناعة إلى أنها أدت إلى خسائر تزيد على 3.2 مليار دولار عبر عدة استغلالات. استحواذ المفاتيح الخاصة على 88% من الأموال المسروقة في الربع الأول من 2025 وما زالت تمثل تهديداً مستمراً حتى 2026، وفقاً لـ Chainalysis التي أبلغت أن سرقة العملات المشفرة تجاوزت 3.4 مليار دولار في 2025.
قال Motz: “الاختراق عبر المفاتيح الخاصة بدلاً من ثغرات العقود الذكية أصبح الآن هو نمط الهجوم السائد،” مشيراً إلى أن مثل هذه الحوادث تستهدف الأمان التشغيلي وليس الكود المدقق.
تأسست IoTeX في 2017، وتعتبر منصة بلوكشين موجهة نحو الشبكات الحقيقية للذكاء الاصطناعي والبنية التحتية المادية اللامركزية (DePINs). يحتفظ المشروع بشراكات مع Google وSamsung وARM، ودمج مع Polygon’s AggLayer في أواخر 2024.
الأسئلة الشائعة
ما هي مكافأة الـ 10% البيضاء التي تقدمها IoTeX؟
عرضت IoTeX حوالي 440,000 دولار، تمثل 10% من حوالي 4.4 مليون دولار من الأصول المسروقة، للمخترقين المسؤولين عن استغلال جسر ioTube إذا قاموا بإعادة الأموال طوعياً خلال 48 ساعة. يتضمن العرض التزاماً من IoTeX بعدم اتخاذ إجراءات قانونية أو مشاركة معلومات التعريف مع جهات إنفاذ القانون.
كيف حدث استغلال جسر IoTeX؟
نتج الاختراق في 21 فبراير 2026 عن مفتاح خاص لمُحقق مصدق مخترق على جانب إيثريوم من جسر ioTube العابر للسلاسل. وصفه محللو الأمن بأنه فشل في الأمان التشغيلي وليس ثغرة في طبقة البلوكشين الأولى أو العقود الذكية لـ IoTeX. تمكن المهاجم من السيطرة غير المصرح بها على عقود الجسر وسحب الرموز مباشرة من الخزنة.
هل يمكن استرداد الأموال المسروقة؟
آفاق الاسترداد غير مؤكدة. على الرغم من أن IoTeX حددت عناوين بيتكوين تحتوي على حوالي 66.6 BTC وتنسق مع البورصات لمراقبة وتجميد الأصول، إلا أن المهاجم قام بتبادل الأموال المسروقة إلى إيثير وربطها إلى بيتكوين عبر THORChain، وهو بروتوكول يصعب استرداد الأصول من خلاله. ينوه خبراء الأمن إلى أن الأصول التي تم تبادلها وربطها بالفعل من غير المرجح استردادها، رغم أن عرض المكافأة يوفر حافزاً للعودة الطوعية.