نفوذ به پروتکل دیفای؛ بخش بزرگی از استخر نقدینگی خارج و توکن وابسته سقوط کرد

یک آسیب‌پذیری در قرارداد هوشمند باعث شد مهاجم بخش قابل‌توجهی از دارایی استخر را خارج کند، فعالیت پروتکل متوقف شود و قیمت توکن وابسته به‌شدت سقوط کند.

چه چیزی معمولاً در چنین حملاتی رخ می‌دهد؟

در بسیاری از رخدادهای مشابه، مهاجم از باگ در منطق وام سریع، قیمت اوراکل، یا کنترل دسترسی تابع‌های حساس سوءاستفاده می‌کند و طی چند تراکنش، نقدینگی استخر را به کیف خود منتقل می‌سازد. پس از شناسایی حمله، تیم پروژه معمولاً قرارداد را متوقف می‌کند، از کاربران می‌خواهد تعامل جدید نداشته باشند و وعده بررسی فنی و همکاری با صرافی‌ها برای ردیابی وجوه می‌دهد. جزئیات دقیق هر حادثه فرق دارد، اما الگوی زیان برای تأمین‌کنندگان نقدینگی و دارندگان توکن حاکمیتی تقریباً تکراری است: ارزش سپرده و توکن همزمان فرومی‌ریزد.

بازدههای چندرقمی مزرعه‌های نقدینگی بدون حسابرسی معتبر، بدون باگ‌بانتی فعال و بدون سابقه طولانی روی زنجیره، دقیقاً همان جایی است که جذابیت ظاهری با ریسک فاجعه‌بار جفت می‌شود. کاربر ایرانی که از طریق کیف خودسرپرست و رابطهای وب۳ وارد این فضا می‌شود، معمولاً نه بیمه دارد و نه پشتیبانی انسانی برای بازگرداندن دارایی. وعده «جبران کامل» پس از هک هم اغلب زمان‌بر، ناقص یا غیرممکن از آب درمی‌آید.

اقدام فوری اگر در پروتکل مشابه موقعیت دارید

مجوزهای توکن (allowance) را در کیف پول مرور کنید و دسترسی قراردادهای مشکوک یا غیرضروری را لغو کنید. اگر هنوز برداشت ممکن است، فقط با بررسی وضعیت رسمی پروژه و بدون عجله در سایتهای فیشینگ اقدام کنید؛ موج اول بعد از خبر هک، پر از لینک جعلی «جبران خسارت» و ایردراپ جعلی است. اندازه موقعیت‌های باقی‌مانده در دیفای را با این واقعیت تنظیم کنید که یک باگ می‌تواند یک‌شبه اصل سرمایه را صفر کند.

قبل از ورود دوباره به هر استخر، حداقل این پرسشها را جدی بگیرید: آیا گزارش حسابرسی مستقل منتشر شده؟ آیا تیم شناخته‌شده و پاسخ‌گوست؟ آیا قرارداد زمان‌قفل یا سقف برداشت اضطراری دارد؟ آیا بازده اعلامی با ریسک منطقی هم‌خوان است یا فقط عدد بازاریابی است؟ اگر پاسخ‌ها مبهم‌اند، کنار ایستادن ارزان‌تر از ورود عجولانه است.

دیفای ابزار است، صندوق ضمانت نیست

دیفای بدون واسطه بانکی کار می‌کند و همین آزادی، مسئولیت کامل امنیت را روی دوش کاربر می‌گذارد. برای بخش اصلی سرمایه، نگهداری در کیف امن و پروتکلهای بالغ‌تر منطقی‌تر از تعقیب بالاترین APY است. این هشدار جنبه اطلاع‌رسانی دارد؛ اما پیامش روشن است: بازده بالا بدون شفافیت امنیتی، اغلب پیش‌پرداخت زیان بزرگ است.

قبل از اتصال دوباره کیف به هر رابط ناشناس، یک‌بار دیگر دامنه و قرارداد را از منبع رسمی تطبیق دهید؛ موج دوم آسیب معمولاً از فیشینگ پس از هک می‌آید نه از خود باگ اولیه.