استغلال أركاديكو فاينانس: كيف هجوم حوكمة DAO استنزف 1.09 مليون دولار؟

استغلال Arkadiko Finance في 22 أكتوبر 2026، كشف عن ضعف خطير في الحوكمة اللامركزية بعد أن قام مهاجم بالتلاعب ب تصويت DAO للسيطرة على وظائف البروتوكول الحرجة.

أدى الحادث إلى خسائر تبلغ حوالي 1.09 مليون دولار، وسرقة ضمانات stSTX و sBTC، وانهيار حاد في قيمة العملة المستقرة USDA. على عكس اختراقات العقود الذكية التقليدية، استخدم المهاجم عملية الحوكمة المشروعة في Arkadiko لتفويض الشيفرة الضارة.

سنقوم بدراسة كيفية حدوث الهجوم، ولماذا فشلت الاحتياطات الحالية، وما يعنيه الحادث لأمن استراتيجيات التمويل اللامركزية والتعافي.

نقاط رئيسية

• حدث استغلال Arkadiko Finance في 22 أكتوبر 2026، عندما استخدم المهاجم الاقتراح 12 لتفويض عقد ضار وسحب حوالي 1.09 مليون دولار من الأصول.
• سيطر المهاجم على 4.57 مليون تصويت DIKO في الحوكمة، وسحب ضمانات stSTX و sBTC، وصنع تقريباً 1.5 مليار توكن USDA غير المدعومة، مما أدى إلى فك ارتباط العملة المستقرة.
• قامت Arkadiko بعد ذلك بتعطيل العقد الضار، واستعادت ضمانات الخزائن المتأثرة، واستعادت العمليات المشروعة للخزائن، لكن هذه التدابير لم تحقق تعافٍ مالي كامل أو تستعيد الارتباط السعري لـ USD.

ماذا حدث في استغلال Arkadiko Finance؟

(مصدر الصورة: bitquery.com)

كان اختراق Arkadiko للعملات الرقمية استيلاءً على الحوكمة يستهدف Arkadiko Finance، وهي بروتوكول للإقراض اللامركزي والعملات المستقرة يعمل على Stacks، شبكة بلوكتشين متصلة ببيتكوين.

يسمح Arkadiko للمستخدمين بإيداع العملات المشفرة في خزائن مدعومة بالضمانات واقتراض USDA، عملته المستقرة المرتبطة بالدولار. يوفر توكن DIKO حقوق الحوكمة، مما يسمح لحامليه بالموافقة على الاقتراحات التي تعدل عمليات البروتوكول.

في 22 أكتوبر، استغل المهاجم هذا النظام الخاص باتخاذ القرار من خلال تمرير الاقتراح 12، الذي قدم عقد عمليات خزائن ضار. احتوى العقد المعتمد على وظائف قادرة على نقل الضمانات و صنع USDA بدون تفويض مناسب من المتصل.

حددت التحقيقات البلوكتشينية التي أجرتها Bitquery و BlockintAI الحادث كاستيلاء على الحوكمة بدلاً من اختراق توافق شبكة بلوكتشين Stacks. لم يحتج المهاجم إلى سرقة المفتاح الخاص لمدير النظام. وبدلاً من ذلك، مكّن آلية الحوكمة نفسها العقد الضار من السلطة على العمليات الحساسة للبروتوكول.

كيف عمل هجوم حوكمة Arkadiko؟

تطور استغلال حوكمة Arkadiko على مدار عدة أيام، بدءًا من اقتراح تحديث بروتوكول بدا مشروعا وانتهاءً بالسحب السريع للضمانات.

1. تم تقديم اقتراح ضار

في 17 أكتوبر 2026، قدم محفظة تسيطر عليها المهاجم الاقتراح 12، المعنون "AIP 32 - تحديث عمليات الخزائن لتوزيع المكافآت." بدا الاقتراح وكأنه يصف تحسينًا روتينيًا لتوزيع المكافآت.

ومع ذلك، أدخل العقد المرافق، الذي سمي arkadiko-vaults-operations-v2-1, وظائف يمكن أن تحرك ضمانات الخزائن وتخلق USDA بدون قيود وصول كافية. سعى الاقتراح لتسجيل ذلك العقد كعنصر معتمد لعمليات خزائن Arkadiko.

2. حصل المهاجم على قوة تصويت DIKO

طلبت قواعد حوكمة Arkadiko مشاركة كافية من DIKO للموافقة على الاقتراح. وفقًا للتحقيقات التي أجريت على السلسلة، جمع المهاجم حوالي 4,573,197 DIKO، بما في ذلك حوالي 3.39 مليون DIKO تم شراؤها قبل التصويت بفترة قصيرة.

قدر Bitquery أن مشتريات رموز التصويت كلفت حوالي 51,000 دولار. أجرى المهاجم التصويت في 22 أكتوبر. لم يتم تسجيل أي تصويت معارض، مما سمح للاقتراح بالامتثال لشروط الموافقة المطلوبة.

3. منح الاقتراح 12 السيطرة على الخزائن

في حوالي الساعة 16:04 بتوقيت UTC في 22 أكتوبر، تم تنفيذ الاقتراح. سجلت عملية الحوكمة العقد الضار كعنصر معتمد لعمليات الخزائن.

والمهم أن النظام لم يفرض فترة انتظار منفصلة بين تنفيذ الحوكمة الناجحة واستلام العقد لسلطته الجديدة. وهذا يعني أن المهاجم كان بإمكانه استخدام الوظائف المعتمدة مباشرة من خلال تصويت DAO.

4. قام المهاجم بسحب الضمانات وصنع USDA

في غضون دقائق من التنفيذ، استخدم المهاجم العقد الضار لسحب الضمانات وصنع USDA غير المدعومة. وحددت التحقيقات على السلسلة سحب حوالي 2.07 مليون stSTX و1.65 sBTC من مجموعة الخزائن.

كما صنع المهاجم حوالي 1.5 مليار USDA من خلال إصدار غير مصرح به. تم تبادل جزء من تلك الرموز الجديدة التي تم إنشاؤها مقابل أصول أخرى، مما أدى إلى استخراج قيمة إضافية من مجمعات السيولة في Arkadiko.

5. تم نقل الأصول المسروقة عبر الشبكات

بعد الاستغلال، حول المهاجم الأصول ونقلها عبر عدة شبكات بلوكتشين. تتبع Bitquery التحويلات المرتبطة التي تشمل STX وBitcoin وUSDCx وEthereum وTornado Cash.

حددت تحقيقاته حوالي 4.86 BTC تم تحويلها إلى Bitcoin وحوالي 213.3 ETH تم إيداعها بعد ذلك في Tornado Cash. توضح هذه المعاملات كيف يمكن أن تعقّد التحويلات عبر السلاسل وتحويلات الأصول الجهود الرامية إلى تتبع واستعادة العملات المشفرة المسروقة.

كم كان المفقود في اختراق Arkadiko؟

قدر Bitquery أن استغلال Arkadiko Finance تسبب في خسائر تبلغ حوالي 1.09 مليون دولار، تم قياسها باستخدام تقييمات الأصول حول الحادث. كانت الخسائر المقدرة موزعة عبر سحوبات الضمانات ومعاملات مجمعات السيولة.

كما صنع المهاجم حوالي 1.5 مليار USDA، لكن لا ينبغي تفسير هذا الرقم على أنه 1.5 مليار دولار من الأموال المسروقة. تم إحراق معظم عرض USDA غير المصرح به بعد ذلك قبل أن يتمكن من التداول.

تشمل حسابات الخسارة الاقتصادية بدلاً من ذلك الضمانات الفعلية المأخوذة والأصول المستخرجة من خلال المبادلات. يتضمن تقدير أوسع قدره 1.16 مليون دولار ظهر في بعض التحقيقات حوادث StackSwap ذات الصلة، والتي يجب أن تميز عن خسائر Arkadiko المباشرة.

لماذا فقدت USDA ربطها بالدولار؟

فقدت USDA ربطها بالدولار لأن الاستغلال ألحق الضرر بكل من الضمانات الخلفية والثقة في آليات استردادها. تم تصميم USDA للحفاظ على قيمة قريبة من 1 دولار من خلال الاقتراض المدعوم بالضمانات وحوافز الاسترداد.

في الظروف العادية، يمكن للمستخدمين تبادل USDA من خلال آلية الاسترداد الخاصة بالبروتوكول مقابل قيمة الضمانات، مما يساعد على تصحيح الانحرافات السوقية. عطلت الهجوم على الحوكمة تلك العلاقة بطريقتين.

أولاً، أزال المهاجم ضمانات كبيرة من نظام الخزينة. ثانياً، زاد إصدار USDA غير المصرح به من كمية الرموز التي تتنافس على السيولة المتاحة. باع المهاجم جزءًا من USDA الذي تم سكّه حديثًا، مما أضاف ضغط بيع إضافي.

أفادت Bitquery أن بعض مبيعات USDA المرتبطة بالمهاجم حدثت بمعدل حوالي 0.13 دولار لكل رمز خلال الحادث. على الرغم من أن Arkadiko قد قامت لاحقًا بحرق أكثر من 99% من الإصدار غير المصرح به، إلا أن حرق الرموز لم يُعاد تلقائيًا الضمانات المسروقة أو يستعيد وظيفة الاسترداد العادية.

لذلك، كانت انهيار سعر USDA يعكس أزمة ثقة وضمانات أساسية، وليس مجرد تقلبات عادية في العملة المشفرة.

خطط استعادة Arkadiko Finance واستعادة التحكم في الخزائن

(مصدر الصورة: daemontechnologies.co)

ركزت الاستجابة الأولية لـ Arkadiko على وقف المزيد من الأنشطة غير المصرح بها ومعالجة نقص الضمانات. بعد الاستغلال، أفاد الفريق بأنه تم تعطيلالعقد الخبيث, وتم إيقاف الحوكمة، وتعليق عمليات الاسترداد والتسويات.

كما أفاد البروتوكول بأنه تم الاتصال بالبورصات بشأن الأموال المسروقة المحتملة وطلب المساعدة من أعمال القانون.

تجديد الضمانات والوصول إلى الخزائن

في تحديثه في 25 أكتوبر، أفاد Arkadiko بأنه تم إيداع ضمانات إضافية في عقود الخزائن المتأثرة. وفقًا لذلك التحديث، كانت الخزائن تحتوي على ضمانات كافية للسحب، وكان بإمكان المستخدمين سداد الديون المستحقة.

ومع ذلك، ظلت عمليات استرداد USDA متوقفة، وأفاد الفريق بأن تداول USDA كان بالقرب من 0.30 دولار في ذلك الوقت. هذا التمييز مهم لأن تجديد ضمانات الخزائن باستخدام موارد البروتوكول لا يعني بالضرورة أن المهاجم أعاد الأصول المسروقة.

اقتراح 14 استعاد عمليات الخزائن الشرعية

في 27 أكتوبر 2026، نفذت حوكمة Arkadiko الاقتراح 14، بعنوان "AIP 32.2 - استعادة عمليات الخزائن." استعاد الاقتراحarkadiko-vaults-operations-v1-3 كعنصر عمليات الخزائن المصرح به.

عكس هذا القرار الحوكمي تسجيل العقد الخبيث الذي تم تقديمه من خلال الاقتراح 12. ومع ذلك، لم يُثبت استعادة السيطرة على العقد بشكل مستقل أن USDA قد استعادت ربطها أو أن كل المشاركين المتأثرين قد حصلوا على تعويض.

اعتبارًا من 3 نوفمبر، لم تُثبت المعلومات التي تم مراجعتها علنًا الاستعادة الكاملة للأصول المسروقة أو تطبيع كامل لعمليات استرداد USDA.

هل يمكن أن تغطي وحدة أمان Arkadiko الخسائر؟

تصف وثائق Arkadiko وحدة أمان تهدف إلى توفير حماية محدودة ضد الديون السيئة للبروتوكول. وفقًا لتصميمها الموثق، يمكن استخدام ما يصل إلى 30% من رموز DIKO المودعة في الوحدة لتغطية الخسائر المؤهلة من خلال إجراءات معتمدة من الحوكمة.

ومع ذلك، فإن وجود هذه الآلية لا يضمن التعويض. سواء كانت يمكن تفعيلها، ومقدار القيمة التي يمكن أن تقدمها، وما إذا كانت الحوكمة ستوافق على استخدامها لهذا الحادث تتطلب تأكيدًا منفصلًا.

كيف أثر الاستغلال على TVL الخاص بـ Arkadiko ونظام Stacks البيئي؟

تسبب الهجوم في انخفاض حاد في إجمالي القيمة المقفلة في Arkadiko، أو TVL، والذي يقيس الأصول المحتفظ بها داخل عقود الذكية للبروتوكولات المالية اللامركزية. وفقًا للبيانات التاريخية من DefiLlama، انخفض TVL الخاص بـ Arkadiko من حوالي 1.43 مليون دولار في 22 أكتوبر إلى 141,585 دولار في 23 أكتوبر، مما يمثل انخفاضًا بنحو 90%.

بحلول 25 أكتوبر، انخفضت القيمة المتعقبة إلى حوالي 131,714 دولار. على الرغم من أن تجديد الضمانات التالية زاد من TVL المبلغ عنه، فإن تلك التغييرات وحدها لا تظهر استعادة كاملة لثقة المستخدم أو وظيفة البروتوكول.

الاتصال بين Arkadiko وStackSwap

حدد المحققون أيضًا هجوم حوكمة ذا صلة ضد StackSwap، وهو تبادل لامركزي آخر يعمل على Stacks. حدثت حادثة StackSwap في وقت سابق، حيث استخدمت محافظ مرتبطة بالمهاجم اقتراح ترقية مضلل للسيطرة على عمليات تجمع السيولة.

تقدر Bitquery خسائر مجمعة تصل إلى حوالي 70,500 دولار من عمليتين استيلاء على حوكمة StackSwap. تم ربط أحد الاستيلاءات من خلال تمويل المحافظ وتحويل الأصول إلى الهجوم التالي على Arkadiko.

لم يُثبت المحققون أن كل محفظة متورطة في الحوادث المنفصلة لـ StackSwap تخص نفس المهاجم. كانت هذه الحوادث قد سلطت الضوء على نقاط الضعف في أنظمة حوكمة التطبيقات الفردية بدلاً من إثبات التهديد لشبكة Stacks الأساسية.

ماذا يكشف استغلال Arkadiko عن أمان حوكمة DAO؟

يظهر استغلال Arkadiko Finance أن التصويت اللامركزي لا يضمن تلقائيًا اتخاذ قرارات آمنة. يمكن أن يلبي اقتراح الحوكمة متطلبات التصويت الفنية بينما يصرح بسلوك عقد ذكي ضار. ساهمت عدة نقاط ضعف في هذه الحادثة:

• قوة التصويت المركزة:حصل المهاجم على ما يكفي من DIKO لتمرير اقتراح مهم دون معارضة ذات مغزى.
• مشاركة التصويت المحدودة:لم تتحد أي أصوات معارضة تحدى الاقتراح 12 قبل تنفيذه.
• نقص في حماية العقود:احتوى العقد المعتمد على وظائف تفتقر إلى تفويض مناسب للنداء.
• لا تأخير تنفيذ منفصل:تمكن المهاجم من استخدام العقد الذي تم تفويضه حديثًا فور تنفيذ الاقتراح.
• مراجعة حوكمة ضعيفة: تم تقديم اقتراح كمجموعة ترقية روتينية أدخل تغييرات حساسة للغاية على إدارة الأصول وأذونات صك العملة.

بالنسبة لبروتوكولات DeFi، تشمل تدابير الحماية المحتملة لقطات تاريخية لقوة التصويت، وأقفال زمنية، ومراجعات مستقلة للاقتراحات، وأذونات عقود مقيدة، ومراقبة حكومية نشطة.

تقلل هذه الضوابط من الفرص الهجومية المحددة لكن لا يمكنها القضاء على كل ضعف محتمل. بالنسبة للمستخدمين، يعني تقييم أمان مشروع DeFi أيضًا تقييم تركيز الحوكمة، وإجراءات الترقية، وظروف السيولة، وقدرات استجابة الحوادث بدلاً من الاعتماد فقط على تدقيق العقود الذكية.

استنتاج

توضح عملية استغلال Arkadiko Finance كيف يمكن أن يصبح نظام تصويت DAO الشرعي متجه هجوم عندما تكون سلطة الحوكمة غير مقيدة بما فيه الكفاية. تسبب حادث 22 أكتوبر في خسائر تبلغ حوالي 1.09 مليون دولار، واضطراب ربط الدولار الخاص بـ USDA، وكشف نقاط الضعف في تفويض العقود واشتراك الحوكمة.

استعادت إجراءات Arkadiko اللاحقة السيطرة الشرعية على الصناديق وأعادت تجديد الضمانات المتأثرة، ولكن استعادة العقود والاستعادة المالية هما نتيجتان منفصلتان.

قبل التفاعل مع Arkadiko أو بروتوكولات DeFi مماثلة، يجب على المستخدمين التحقق من توفر الاسترداد الحالي، وسيلة السيولة للعملات المستقرة، وحمايات الحوكمة، والإعلانات الرسمية عن الاستعادة.

يمكن للقراء المهتمين بمراقبة أسواق العملات المشفرة استكشاف Bitrue Exchange, بينما تتوفر تحديثات أمان blockchain الإضافية والموارد التعليمية من خلال مدونة Bitrue.

أسئلة شائعة

ما الذي تسبب في استغلال Arkadiko Finance؟

تسبب استغلال Arkadiko Finance في مهاجم استخدم حوكمة DAO لتفويض عقد عمليات الصناديق الخبيثة. تم تمرير الاقتراح 12 بأصوات DIKO التي يتحكم بها المهاجم ومنح العقد الوصول إلى وظائف إدارة الضمانات وصك USDA.

كم من العملة المشفرة سُرقت من Arkadiko؟

قدرت Bitquery أن حوالي 1.09 مليون دولار من الأصول فقدت خلال حادث 22 أكتوبر 2026. وشملت الأصول المتضررة stSTX و sBTC و STX التي تم الحصول عليها من خلال تبادلات تتضمن إصدار USDA غير المصرح به.

لماذا فقدت USDA ربطها بعد اختراق Arkadiko؟

فقدت USDA ربطها بعد أن استنزف المهاجم الضمانات الداعمة وصك كمية كبيرة من الرموز غير المدعومة. ضغط البيع الناتج، وتأثير تدهور وظيفة الاسترداد، والشك المحيط بتوفر الضمانات أضعف ثقة السوق.

هل استعادة تصويت الحوكمة في Arkadiko السيطرة على الصناديق؟

نعم. في 27 أكتوبر 2026، استعاد الاقتراح 14 عقد عمليات الصناديق الشرعي لـ Arkadiko. ومع ذلك، لم تعيد هذه التغييرات في الحوكمة الأصول المسروقة من تلقاء نفسها أو تضمن عودة استرداد USDA وأسعارها إلى الوضع الطبيعي.

هل تعافت Arkadiko Finance بالكامل من الاستغلال؟

لم يتم التحقق من التعافي الكامل بشكل مستقل حتى 3 نوفمبر 2026. أفادت Arkadiko بإعادة تجديد ضمانات الصناديق واستعادة السيطرة الشرعية على العقود، لكن استعادة الأصول المسروقة بالكامل، واستعادة ربط USDA، وتعويض شامل ظلت غير محلولة أو غير مؤكدة بشكل كاف.

تنويه: الآراء المعبر عنها تخص المؤلف حصريًا ولا تعكس آراء هذه المنصة. تتنصل هذه المنصة وشركاتها التابعة من أي مسؤولية عن دقة أو ملاءمة المعلومات المقدمة. إنها لأغراض معلوماتية فقط وليست مقصودة كنصيحة مالية أو استثمارية.