الرواية الكاملة
كيف نُفذ الهجوم خطوة بخطوة — الثغرة، والاستغلال، والـ 80 مليون دولار التي اختفت.
سرقة 80 مليون دولار. لم يُحاسَب أحد.
في 28 يناير 2022، تم استغلال جسر Qubit Finance عبر السلاسل. شركة Mound Inc. — المدعومة من Binance — استولت على 80 مليون دولار من أموال المستخدمين وصمتت. بعد أربع سنوات، لم يتغير شيء.
80 مليون دولارسُرقت في هجوم واحد
$0أُعيد للضحايا
4 سنواتمن صمت Mound Inc.
0أشخاص تمت محاسبتهم
الحادثة
ماذا حدث
Section titled “ماذا حدث”أدارت Qubit Finance جسراً عبر السلاسل (QBridge) بين Ethereum وBinance Smart Chain. في 28 يناير 2022، اكتشف مهاجم أن استدعاء deposit() بدلاً من depositETH() يُطلق نفس الحدث على السلسلة — لكنه لا يتطلب أي ETH فعلي. قام مُرحّل الجسر، الذي يراقب الأحداث فقط، بسك رموز qXETH على BSC مجاناً. استخدم المهاجم هذه الرموز كضمان لاستنزاف 80 مليون دولار.
ثلاثة أمور جعلت هذا ممكناً: تم نشر الجسر بدون إتمام المراجعة الأمنية، وتم تغيير مُعامل في العقد سراً من قِبَل المالك قبل أيام (بدون قفل زمني، بدون إعلان)، وسلوك معروف في EVM — أن استدعاء أي دالة على العنوان الصفري ينجح بصمت — لم يُؤخذ في الاعتبار أبداً.
التحليل التقني
تصادم الأحداث بين deposit() وdepositETH(). خدعة العنوان الصفري EOA. التغيير المشبوه في المُعامل.
الجدول الزمني
من استغلال 28 يناير إلى أربع سنوات من الصمت — سجل زمني كامل.
تسعة أسئلة بلا إجابة
لماذا تجاهل الفريق أشخاصاً لديهم معلومات عن المخترق؟ لماذا تم نشر كود غير مُراجَع؟ لماذا حُذف حساب المدير التقني على LinkedIn؟
رد الفريق
المشرف الذي حذف الضحايا. المدير التقني الذي اختفى من LinkedIn. فريق أمان Binance الذي لم يُستدعَ أبداً.
تتبّع الأموال
محفظة المخترق. الضحية الصامت بـ 20 مليون دولار المرتبط بمحفظة Binance الساخنة. أربع سنوات من عدم التحرك نحو الاسترداد.
الشركة
Mound Inc. — من المسؤول
Section titled “Mound Inc. — من المسؤول”تم بناء Qubit Finance بواسطة Mound Inc.، المسجلة في دايجون، كوريا الجنوبية (رقم التسجيل: 160111-0556766). الشركة مملوكة بنسبة 90.5% لشركة Krypton PTE. LTD. (سنغافورة)، التي يملك 60% منها الرئيس التنفيذي Jun Hur. كانت Mound Inc. قد خسرت بالفعل نحو 45 مليون دولار في اختراق PancakeBunny في مايو 2021. قاموا ببناء Qubit Finance للتعافي — ثم خسروا 80 مليون دولار إضافية.
Jun Hurالرئيس التنفيذي — 60% من Krypton PTEسيوتشو-غو، سيول · LinkedIn نشطAaron Yooshin Kimالمدير التقني — 20% من Krypton PTE⚠ حذف LinkedIn في 1 فبراير 2022 — بعد 4 أيام من الاختراقKim Hyungchulكبير مسؤولي الأمن — 20% من Krypton PTEالمسؤول عن الأمان — نشر الجسر بدون مراجعة أمنيةYonggon Kimمدير الأبحاثهندسة البروتوكول وتصميمهKim Taeeunمالك المنتجوافق على الإطلاق بدون إتمام المراجعة الأمنية
الهيكل المؤسسي الكامل، العناوين، وملفات المساهمين ←
الأموال
محفظة المخترق — لم تُسترد
Section titled “محفظة المخترق — لم تُسترد”0xd01ae1a708614948b2b5e0b7ab5be6afa01325c7
Etherscan (ETH) · BSCScan (BSC) · تحليل مسار الأموال الكامل ←
محفظة واحدة خسرت 8,510.12 ETH (نحو 20 مليون دولار في ذلك الوقت) — ربع الاختراق بالكامل. جميع التحويلات مرت عبر محفظة Binance الساخنة. هذا الشخص لم ينطق بكلمة واحدة علناً.
Binance
Binance دعمت هذا المشروع
Section titled “Binance دعمت هذا المشروع”كان Qubit Finance مشروعاً على Binance Smart Chain بدعم صريح من Binance. عندما ناشد الضحايا مباشرةً CZ وBinance للتدخل — لحظر محفظة المهاجم، للضغط على Mound Inc.، لاستخدام نفوذهم على المنصة — تم تجاهلهم.
“مرحباً سيدي، على نفس BSC، لماذا حميتم Squid Game، ولم تفعلوا شيئاً مع Bunny هذه المرة؟ هذا ليس عدلاً.” — مناشدة ضحية لـ @cz_binance، 2022
اقرأ مناشدات الضحايا لـ Binance ←
اتخذ إجراءً
انضم إلى معركة المحاسبة
Section titled “انضم إلى معركة المحاسبة”أبلغ عن معلومات
هل لديك معلومات عن المخترق، أو تحركات الأموال، أو قرارات Mound Inc. الداخلية؟ أرسلها — بسرية إن لزم الأمر.
مجتمع الضحايا
تواصل مع ضحايا آخرين. تحالف ضحايا Qubit يناضل من أجل المحاسبة منذ 2022.
التغطية الإعلامية
Bloomberg وCoinDesk وThe Verge وZDNet وThe Register وغيرها غطت هذه القصة. لم تنتهِ بعد.
شارك هذا الموقع
أفضل طريقة للحفاظ على الضغط على Mound Inc. هي إبقاء هذه القصة حية. شارك qbt.wiki.