پژوهشی تازه نشان می‌دهد حملات موسوم به «وام آنی» در فاصله فوریه ۲۰۲۰ تا ژوئیه ۲۰۲۴، دست‌کم ۱.۲۱۱ میلیارد دلار از پلتفرم‌های امور مالی غیرمتمرکز، یا دیفای، خارج کرده‌اند. این رقم مربوط به ۷۲ حمله است و ۱۸.۴۴ درصد از مجموع زیان ۶.۵۶۸ میلیارد دلاری ناشی از ۲۵۴ حمله موفق به پروتکل‌های دیفای در همین دوره را تشکیل می‌دهد. این گزارش را نخستین‌بار Decrypt بر پایه پژوهشی منتشرشده در Journal of Financial Crime گزارش کرد.
وام آنی چگونه به ابزار حمله تبدیل می‌شود؟
وام آنی به کاربر اجازه می‌دهد بدون ارائه وثیقه، دارایی را از یک استخر نقدینگی دریافت کند؛ اما شرط آن این است که کل وام در همان تراکنش بلاک‌چینی بازپرداخت شود. این سازوکار برای انجام معامله‌های بزرگ و کوتاه‌مدت طراحی شده است، ولی مهاجم می‌تواند از سرمایه‌ای که در اختیار خود ندارد برای اجرای زنجیره‌ای از عملیات و بهره‌برداری از ضعف یک پروتکل استفاده کند.
در حملات بررسی‌شده، اندازه زیان هر مورد از ۸۰ هزار دلار تا ۱۹۷ میلیون دلار متغیر بود. حملاتی که دست‌کم ۱۰ میلیون دلار سرقت کردند، بیش از ۸۸ درصد کل زیان‌های مربوط به وام آنی را به خود اختصاص دادند. بیش از ۸۰ درصد این زیان‌ها نیز در شبکه اتریوم رخ داده است.
پژوهشگران ۱۴ نوع حمله را شناسایی کردند که در دو گروه اصلی قرار می‌گیرند: حمله‌هایی برای دست‌کاری فیدهای قیمت و حمله‌هایی که از نقص در منطق داخلی پروتکل استفاده می‌کنند. فید قیمت، داده‌ای است که پروتکل برای تعیین ارزش دارایی‌ها به آن تکیه دارد. اگر این داده دست‌کاری شود، ممکن است قرارداد هوشمند دارایی را با ارزش نادرست محاسبه کند.
افزایش سهم نقص‌های منطقی
بر اساس این مطالعه، سوءاستفاده از منطق پروتکل در مقایسه با حمله‌های دست‌کاری قیمت، کمتر رخ داده اما میانگین زیان آن بیشتر بوده است. این نوع حمله در فاصله فوریه ۲۰۲۰ تا ژانویه ۲۰۲۲، ۲۸ درصد از زیان‌های حملات وام آنی را شامل می‌شد؛ این سهم از فوریه ۲۰۲۲ تا ژوئیه ۲۰۲۴ به ۵۵ درصد افزایش یافت.
چهار نوع حمله، بیش از ۸۱ درصد زیان‌ها را رقم زدند: حمله به اوراکل‌های قیمت، سوءاستفاده منطقی از تابع اهدا، حمله بازگشتی و یک حمله حاکمیتی. حمله حاکمیتی به‌تنهایی ۱۸۱ میلیون دلار هزینه داشت. حمله بازگشتی نیز زمانی رخ می‌دهد که یک قرارداد هوشمند پیش از تکمیل به‌روزرسانی وضعیت خود، دوباره فراخوانی شود و مهاجم از این ترتیب برای برداشت بیش از میزان مجاز استفاده کند.
تیم هال از دانشگاه وینچستر و رمو اشتایگر، شریک پیشین شرکت اطلاعات ریسک سوئیسی SyntiFi، نویسندگان این پژوهش هستند. آن‌ها در مجموع ۷۲ حمله وام آنی را در میان ۲۵۴ حمله موفق به دیفای بررسی کردند. به گفته هال، این پرونده‌ها نمونه‌ای از جرایم مالی جدید هستند که در برخی موارد توانسته‌اند مبالغی در حد ده‌ها میلیون دلار جابه‌جا کنند.
مهاجمان، نقص‌های پنهان و پیامدها برای دیفای
الگوی فعالیت حمله‌ها در این دوره از نظر پژوهشگران شامل دوره‌هایی از رشد و سپس تثبیت بوده است. این روند می‌تواند نشان دهد که برخی پلتفرم‌ها پس از حمله، ضعف‌های شناخته‌شده را اصلاح کرده‌اند و مهاجمان برای ادامه فعالیت به دنبال آسیب‌پذیری‌های تازه رفته‌اند. با این حال، استفاده از وام‌های آنی در این مدت همچنان افزایش یافته است.
پژوهش همچنین بر پایه گفت‌وگو با یک پلتفرم آسیب‌دیده انجام شده است؛ نام این پلتفرم به درخواست آن اعلام نشده. نماینده این پلتفرم گفت باگی که در حمله مورد استفاده قرار گرفت، از بررسی خود تیم و چند حسابرس عبور کرده بود و بیش از یک سال روی زنجیره شناسایی نشده بود. پس از حمله، مهاجم در شبکه‌های اجتماعی تیم پلتفرم را تحریک می‌کرد و برخی قربانیان درباره پیامدهای سنگین از دست رفتن دارایی‌ها با او وارد گفت‌وگو شدند.
این نماینده مهاجمان را به دو گروه پژوهشگران مستقل و گروه‌های حرفه‌ای وابسته به دولت یا جرایم سازمان‌یافته، از جمله کره شمالی، تقسیم کرد. او در عین حال گفت حملات گروه‌های حرفه‌ای، از منظر امنیت بلاک‌چین، لزوماً پیشرفته نیستند. به گفته او، حتی در مواردی که بخشی از منابع بازیابی می‌شود، حمله‌ها اغلب باعث ازهم‌گسیختگی و فروپاشی تیم‌های پروژه می‌شوند.
پژوهشگران حملات وام آنی را تهدیدهایی مهم، پیچیده‌ترشونده و غیرقابل پیش‌بینی، اما نه تهدیدی موجودیتی برای کل دیفای، توصیف کرده‌اند. از پایان دوره مطالعه نیز نمونه‌ای از این ریسک دیده شد: صرافی غیرمتمرکز Bunni در اکتبر ۲۰۲۵ پس از یک سوءاستفاده ۸.۴ میلیون دلاری مبتنی بر وام آنی تعطیل شد و گفت توان مالی راه‌اندازی دوباره با سطح امنیتی مناسب را ندارد. هال تأکید کرده است که یافته‌ها فقط برای فضای دانشگاهی نیست و می‌تواند برای صنعت رمزارز، نهادهای ناظر و سازمان‌های حقوقی و انتظامی کاربرد داشته باشد.
تصویر فعلی بازار؛ داده‌های Moneyiar
بر اساس داده‌های بازار Moneyiar در ساعت ۱۰:۲۹ روز ۷ اکتبر ۲۰۲۶ به وقت +۰۳:۳۰، قیمت ORDI برابر با ۴.۲۶۷۲۶۵۳۴۶۸ دلار بود؛ این دارایی در ۲۴ ساعت ۶.۹۳ درصد و در هفت روز ۸.۴۲ درصد افت داشت. قیمت RAIN نیز ۰.۰۱۱۱۱۱۷۰۵۴ دلار ثبت شد و این رمزارز در بازه‌های ۲۴ ساعته و هفت‌روزه به‌ترتیب ۲.۵۷ و ۱۰.۴۴ درصد کاهش یافت.
در همین زمان، ARC با قیمت ۰.۰۶۹۷۳۰۹۲۹۶ دلار معامله شد؛ تغییر آن در ۲۴ ساعت منفی ۲.۴۳ درصد و در هفت روز منفی ۲.۴۹ درصد بود. داده ثبت‌شده برای BILL در ساعت ۰۱:۳۹ روز ۲۱ سپتامبر ۲۰۲۶ به وقت +۰۳:۳۰، قیمت ۰.۰۱۳۹۹۷۱۹۳۹ دلار و تغییرات ۲۴ ساعته منفی ۰.۵۹ درصد و هفت‌روزه مثبت ۱۰.۰۴ درصد را نشان می‌دهد.
