Mezo تكشف تفاصيل استغلال veBTC وخطة التعويض وعرض الاسترداد

نشرت Mezo تقريراً فنياً عن هجوم 5 أكتوبر 2026 الذي نقل 37 مركزاً من veBTC من محافظ 36 حائزاً وأخرج نحو 5.52 BTC من السلسلة. وقال المشروع إن الثغرة أُصلحت، وإن السلسلة والجسر عادا للعمل، وإن جميع المتضررين سيحصلون على عملات البيتكوين المفقودة من أموال يملكها البروتوكول.

تتجاوز أهمية الحادثة حجم الخسارة، لأنها توضح كيف قد يتحول نمطان شائعان في العقود الذكية إلى خطر عند دمجهما. يسمح نظام veBTC بقفل البيتكوين والحصول على NFT يمثل المركز وقوة التصويت. وكان العقد يقسم المنطق بين مكتبات خارجية ويدعم المعاملات المرحّلة عبر وكيل موثوق.

كيف فشل التحقق من المرسل؟

كان الوكيل يتحقق من التوقيع خارج السلسلة ثم يضيف عنوان المرسل إلى نهاية calldata، ويقرأ العقد آخر 20 بايت لتحديد المستخدم. لكن عند انتقال التنفيذ إلى مكتبة خارجية، أنشأ المترجم مخزناً جديداً من المعلمات المعلنة فقط، فلم ينتقل العنوان المضاف إلى الإطار الجديد.

صاغ المهاجم حقل البيانات في عملية التحويل بحيث تعاملت المكتبة مع بايتات يتحكم فيها على أنها عنوان المرسل. واستهدف مراكز انتهى قفلها ولم تُسترد بعد، ثم نقل البيتكوين إلى إيثريوم وحوله إلى 174.61 ETH. يمكن متابعة السوق عبر تداول BTC الفوري في OrangeX.com، لكن الوصول إلى السوق منفصل عن سلامة العقد الذكي.

الاستجابة والتعويض وشروط الاسترداد

وقع الهجوم بين 18:54 و19:06 UTC يوم 5 أكتوبر. اكتشف الفريق نشاطاً غير طبيعي صباح اليوم التالي، وأعلن الحادثة في 09:04، وأوقف سحوبات الجسر بعد 13 دقيقة، ثم أوقف السلسلة في 09:27. عُثر على الخلل سريعاً وأعيد تشغيل الجسر والسلسلة في 15:00 بعد الإصلاح.

عطلت Mezo المعاملات المرحّلة لعدم استخدامها عملياً، وراجعت كل وظائف المكتبات التي تصل إلى مسار تحديد المرسل نفسه. وعولجت ثلاث حالات أضيق للتحكم في الصلاحيات بالإصلاح ذاته. وسيصل التعويض مباشرة إلى محافظ المستخدمين الحالية من دون زيارة موقع استرداد.

عرض المشروع على المهاجم إعادة 4.415417121 BTC قبل 23:59 UTC في 14 أكتوبر والاحتفاظ بـ1.103854280 BTC كمكافأة 20%. النتيجة لم تُحسم بعد. يمكن متابعة التطورات عبر أخبار العملات المشفرة في OrangeX.com، وتشرح OrangeX.com Academy المفاهيم الأساسية. أما إثبات الاحتياطيات في OrangeX.com فهو أداة شفافية للمنصة ولا يراجع كود بروتوكول آخر.

OrangeX.com Analysis

الدرس الأوضح هو أن المكونات المألوفة لا تضمن تكويناً آمناً. توجيه التوقيعات وقراءة calldata واستدعاء المكتبات ممارسات معروفة، لكن الحد الفاصل بينها خلق خطأ صلاحيات لم يكتشفه تدقيقان ولا برنامج المكافآت.

حدت الاستجابة من خسائر إضافية ووعدت بتعويض كامل، لكنها لا تلغي فشل التحكم الأصلي. ينبغي فصل الحقائق المؤكدة—عدد المراكز والمبلغ والتسلسل الزمني والإصلاح—عن الوعود المستقبلية مثل اكتمال التعويض واسترداد الأموال وأنظمة المراقبة الجديدة.