اختراق بروتوكول Squid Crypto وسرقة 3 ملايين دولار بعد دعم Ripple

شهدت ساحة أخبار Ripple تطوراً دراماتيكياً، حيث أتم بروتوكول Squid Crypto جولة تمويل استراتيجية بقيمة 6 ملايين دولار بقيادة North Island Ventures وبمشاركة شركة Ripple في 25 مايو 2026، ولكن الفرحة لم تدم طويلاً؛ ففي غضون أقل من 24 ساعة، تمكن مهاجم من استنزاف 3 ملايين دولار من البروتوكول.

استهدف الاختراق وحدة تجميع سيولة تابعة لجهة خارجية مدمجة في بنية المقايضة عبر السلاسل (cross-chain swap) الخاصة بـ Squid، ولم يمس العقود الأساسية التي خضعت للتدقيق الأمني. ومن جهته، جاء الرد الرسمي من Squid ليتبرأ تماماً من هذا الخرق، مؤكداً أن الفريق لا يعلم من قام بنشر الوحدة المحددة المسؤولة عن استنزاف الأموال.

يعمل Squid كبروتوكول تجميع للمنصات اللامركزية (meta-DEX) وتجريد السلاسل، حيث يقوم بتوجيه عمليات المقايضة عبر شبكات متعددة من خلال طبقات سيولة مجمعة. وكان الهدف من جمع مبلغ الـ 6 ملايين دولار هو العمل كمحفز لتوسيع بنية التفاعل البيني هذه، مع تأطير مشاركة Ripple كتحالف استراتيجي مع خارطة طريقها الأوسع للمدفوعات عبر السلاسل، إلا أن هذه الرواية انهارت خلال دورة إخبارية واحدة.

أخبار Ripple: كيف حدث اختراق Squid Crypto؟ ثغرة وحدة الطرف الثالث

تمثل ناقل الهجوم في وحدة تجميع سيولة فرعية دمجتها Squid مؤخراً لتسهيل توجيه المقايضات عبر السلاسل، وهي مكون يقع خارج حزمة العقود الأساسية المدققة للبروتوكول. واستغل المهاجم تلاعباً في تغذية الأسعار أو أخطاء في تكوين أذونات الوصول داخل هذه الوحدة لسحب الأصول مباشرة، متجاوزاً الضوابط الأمنية التي تحكم عقود Squid الرئيسية.

هذا السيناريو يعكس نمطاً هيكلياً تكرر في تاريخ اختراقات DeFi؛ حيث تغطي عمليات التدقيق المكونات المقدمة فقط، وليس شجرة الاعتماديات الكاملة. وبما أن الوحدة المعنية كانت طبقة دمج تابعة لجهة خارجية، فإن افتراضات الثقة ومنطق الأذونات واعتماديات الأوراكل الخاصة بها لم تخضع أبداً لنفس مستوى الفحص الذي خضع له كود Squid الأصلي.

سارع فريق Squid Router بإصدار بيان ينأى فيه بنفسه عن الحادثة، موضحاً أن الأموال المستنزفة جاءت من وحدة Gnosis Safe تابعة لجهة خارجية تسمى SquidRouterModule، وهي وحدة لم يقم الفريق ببنائها أو نشرها أو حتى تشغيلها. وشددوا على أن عقد الراوتر الأساسي لم يتأثر، وأن جميع مستخدمي Squid والمدمجين المعياريين في أمان.

وأشار الفريق إلى أن هذه الوحدة قد اندمجت مع Squid إلى جانب بروتوكولات أخرى دون أي تدخل مباشر منهم، وحثوا المجتمع على عدم الخلط بين الاثنين بسبب تشابه الأسماء. كما أكدوا أنه لا يتطلب من مستخدمي Squid اتخاذ أي إجراء حالياً.