تحذير بقيمة 680 مليون دولار: معظم هجمات DeFi تقع خارج نطاق التدقيق
Panewslabبقلم: Liam 'Akiba' Wright، cryptoslate
ترجمة: Chopper، Foresight News
في مجال التمويل اللامركزي، غالبًا ما يُنظر إلى عبارة "تم تدقيقه" على أنها ضمانة أمنية للمشروع بأكمله. لكن في الواقع، يغطي التدقيق عادةً نقطة زمنية محددة، وأكوادًا ومكونات وإصدارات معينة. أي تعديل خارج هذا النطاق قد يغير نتائج التدقيق.
تقدم ورقة بحثية أولية جديدة أرقامًا دقيقة لهذه الفجوة. حلل باحثون من شركة الأمن ack3 والجامعة التقنية التشيكية في براغ 135 حادثًا أمنيًا تم الإبلاغ عنها في النصف الأول من عام 2025، وبلغت الخسائر 939.86 مليون دولار. ووجدوا أن 68 حادثًا منها كان لها سجلات تدقيق عامة قابلة للتحديد قبل وقوعها.
ضمن عينة الحوادث الـ68، صنف الباحثون 46 مسار هجوم على أنها خارج نطاق أي تدقيق يمكن التحقق منه تمامًا؛ و20 حادثًا كانت ضمن نطاق تدقيق واحد على الأقل؛ وتعذر تحديد الحالتين المتبقيتين. شكلت الحوادث خارج نطاق التدقيق 67.6% من إجمالي عدد الحوادث، لكنها مثلت 94.4% من إجمالي الخسائر المبلغ عنها.
هذه النسبة المذهلة ليست تقييمًا لفعالية التدقيق، ولا دليلًا على أن قيود نطاق التدقيق هي سبب الخسائر. إنها تمثل فقط توزيع الخسائر في عينة الحوادث الأمنية العامة المختارة. كان لحادثين كبيرين تأثير هائل على البيانات: بعد استبعاد خسارة Kelp DAO البالغة 292 مليون دولار وخسارة Drift Protocol البالغة 285 مليون دولار، انخفضت نسبة الخسائر الناجمة عن هجمات خارج نطاق التدقيق في نفس العينة المدققة إلى 72.1%.
حتى مع وجود هذه القيود، تكشف الدراسة عن مشكلة ثقة أمنية أساسية: يدعي المشروع أنه تم تدقيقه، لكن المستخدمين لا يستطيعون معرفة ما إذا كانت الأنظمة قيد التشغيل الفعلي، وتدفقات الأموال، وإجراءات التحكم ذات الصلة قد خضعت للفحص.
المعنى الحقيقي للبيانات
تغطي دراسة ack3 الفترة من 1 يناير إلى 29 يونيو 2025، وتشمل 122 هجومًا مؤكدًا و13 حادثًا مشتبهًا به. من إجمالي العينة، لم يتم العثور على سجلات تدقيق لـ35 حادثًا، وكان تاريخ التدقيق غير معروف لـ32 حادثًا، ولم تُدرج هاتان الفئتان في إحصائيات الحوادث الـ68 المذكورة أعلاه.
ضمن عينة الحوادث الـ68، بلغت الخسائر الناجمة عن حوادث خارج نطاق التدقيق 680.97 مليون دولار، من إجمالي خسائر بلغ 721.24 مليون دولار، مما يعطي نسبة 94.4%. بعد استبعاد Kelp DAO وDrift Protocol، بلغت الخسائر خارج نطاق التدقيق 103.97 مليون دولار، من إجمالي 144.24 مليون دولار، أي بنسبة 72.1%. يمكن لملف json الخاص بمجموعة البيانات استنساخ أعداد تصنيف الحوادث ومبالغ الخسائر.
تصنيف "داخل/خارج نطاق التدقيق" هو تصنيف أجراه الباحثون بناءً على أدلة عامة. راجع فريق البحث أرشيفات المشاريع وشركات التدقيق، ووجد تقارير تدقيق سابقة للهجمات، وقارن مسار الهجوم النهائي بالأكواد والإصدارات المدققة واستثناءات التدقيق. الدراسة عبارة عن ورقة بحثية أولية من 6 صفحات، أُنتجت بالتعاون مع ناشري مجموعة البيانات، وينتمي مؤلفاها إلى شركة التدقيق الأمني ack3.
تفتقر الدراسة إلى مجموعة ضابطة من الأنظمة التي لم تتعرض للهجوم، ولا تقيس مدة تعرض كل نظام للمخاطر. لذلك لا يمكنها إثبات أن البروتوكولات المدققة أكثر أمانًا بشكل عام، ولا تقدير احتمالية وقوع الحوادث، ولا تأكيد أن "تجاوز نطاق التدقيق" هو السبب المباشر لكل خسارة. قد تكون بعض عمليات التدقيق غير المعلنة والحوادث الخاصة مفقودة، كما أن بيانات الخسائر المبلغ عنها ليست قابلة للمقارنة تمامًا.
لذلك لا يمكن للدراسة سوى استخلاص استنتاجات محدودة: سجلات التدقيق ونطاق التغطية هما مؤشران مستقلان. العقد الذكي الذي تمت مراجعته لا يعني أن ترقيات العقد، أو المفاتيح المميزة، أو الواجهات الأمامية، أو المرحلات، أو الأوراكل، أو الخدمات السحابية، أو إجراءات الاستجابة للطوارئ تحصل على نفس مستوى الضمان الأمني.
حادثتان وقعتا في أغسطس توضحان هذا التمييز من زاويتين مختلفتين. تُظهر حالة ICON Network بوضوح أن جزأين من الأكواد المدققة فشلا عند الحدود بين نقطتي تحقق؛ بينما حادثة aelf الأمنية في أغسطس حالة مختلفة، حيث لا تسمح أدلة التدقيق الحالية بربط مسار تشغيل الهجوم بنطاق التدقيق السابق.
ICON Network: عينة فشل عند حدود التدقيق
في هجوم إعادة التشغيل على ICON Network في 27 أغسطس، حدث اختلاف بين وحدتين في سلسلة السحب في تفسير نفس الرسالة.
وفقًا لتقرير المراجعة اللاحقة لمؤسسة ICON: يعتمد عقد الترحيل على البتات العالية من الرقم التسلسلي لرسالة السحب لتحديد ما إذا كانت الرسالة فريدة؛ لكن التوقيع المشفر يغطي فقط الـ256 بت السفلية من الرقم التسلسلي. استغل المهاجم تعديل البتات العالية غير المدرجة في التحقق من التوقيع، وخلال حوالي 20 دقيقة، أعاد تقديم رسالتي سحب موقّعتين بشكل قانوني 1492 مرة، نجحت منها 1490 استدعاءً.
أسفر هجوم إعادة التشغيل هذا عن 119.866 مليون ICX و531,600 bnUSD. عند نشر المراجعة، أكدت ICON أن صافي الخسارة بلغ حوالي 150.2 ETH بالإضافة إلى 31,204 USDC. وذكرت المؤسسة أنه تم استرداد 531,600 bnUSD و1.366 مليون SODA، ولم تتأثر ودائع المستخدمين أو أرصدة الحسابات أو المراكز.
صرحت ICON أن عقد الترحيل هذا خضع لتدقيق خارجي، وتم تنفيذ توصيات التدقيق، بما في ذلك التعديلات ذات الصلة في نفس الجزء؛ كما خضع منطق الترحيل المقابل لمراجعة متخصصة منفصلة. تتضمن قائمة تدقيق وثائق تطوير Sodax 8 تقارير تغطي مكونات مختلفة، بما في ذلك تقرير تدقيق مرحل Sodax لشهر نوفمبر 2025.
لكن تقرير المراجعة ينص بوضوح على أن عدم التطابق الدقيق بين منطق التحقق من التفرد وقيمة التحقق من التوقيع لم يكن ضمن نطاق نتائج عمليات التدقيق المذكورة. علامة "تم تدقيقه" البسيطة للمشروع لا تتيح للمستخدمين معرفة ما إذا كانت معايير تحديد "تفرد الرسالة" متسقة بين طرفي سلسلة السحب.
يكشف الجدول الزمني للاستجابة أيضًا عن نوع آخر من مشاكل في الحدود. انطلق أول تنبيه آلي لـICON في الساعة 02:08 بالتوقيت العالمي المنسق، بعد حوالي 7 دقائق من بدء الهجوم. بدأ الموظفون التحقيق حوالي الساعة 03:40، وأوقفوا العقد المتأثر في الساعة 03:53، وأوقفوا الشبكة بأكملها في الساعة 06:18:54.
بين التنبيه الأول والاستجابة الطارئة الكاملة، كانت هناك فاصل زمني يبلغ حوالي 90 دقيقة. أرجعتها ICON إلى تعديل آلية التنبيه، حيث أنتجت قاعدة التنبيه هذه عددًا كبيرًا من الإنذارات الكاذبة أثناء أعطال الاتصال السابقة بالشبكة، وبالتالي لم يتم إخطار الموظفين المناوبين بأولوية عالية. تخطط المؤسسة لنشر آلية إيقاف تلقائي، وخفض عتبات الانصهار، وإجراء مراجعة متخصصة لتفرد الرسائل والحماية من إعادة التشغيل.
لا يمكن لآليات إدارة المخاطر هذه أن تحل محل التدقيق، لكنها تجيب على سؤال رئيسي آخر: عندما تفشل الإجراءات الوقائية، هل يمكن للنظام اكتشاف المخاطر وعزلها بسرعة؟
aelf: الضمانات الأمنية تحتاج إلى تحديث مستمر
حادثة aelf الأمنية في أغسطس تدعم الرأي أعلاه من زاوية أخرى. تصف البيانات العامة اختراقًا في وقت التشغيل واستردادًا متحكمًا به، لكن الأدلة الحالية غير كافية لتحديد ما إذا كان مسار الهجوم يقع ضمن نطاق تدقيق محدد سابق.
يوضح الإعلان الرسمي للمشروع: يوجد عقد ذكي غير مصرح به يمكنه، من خلال معاملات، حقن تجميعات .NET مشفرة وتعليمات في سلسلة تنفيذ العقدة.
يعزو تقرير التحقيق الأولي الحادث إلى عيوب في التحقق من الانعكاس في وقت التشغيل والتحميل الديناميكي، بالإضافة إلى عدم كفاية العزل بين بيئة تنفيذ العقد والعقد الحساسة وموارد البنية التحتية. حددت aelf إجمالي 155 معاملة ذات صلة، و5 تجميعات حمولة مستقلة، لديها قدرات مثل تنفيذ أوامر المضيف، ومحاولة الاتصال الخارجي، والوصول إلى مفاتيح العقد، واستطلاع البنية التحتية.
امتلاك القدرة لا يعني تأكيد نجاح تنفيذ جميع الحمولات، ولا يعني أن المهاجم حصل على جميع بيانات الاعتماد المستهدفة أو حدث تسرب لبيانات حساسة. صرحت aelf بأنها قامت بتدوير مفاتيح التوقيع وبيانات اعتماد البنية التحتية وفقًا لمعايير التعامل مع التسريبات المحتملة.
حتى 11 سبتمبر، لا يزال هذا الاستنتاج استنتاجًا أوليًا. لم تنشر مدونة موقع aelf الرسمي أي تحديث خاص لهذا الحادث بعد 26 أغسطس. وعد إعلان 26 أغسطس بنشر تحديثات وتقرير نهائي لاحقًا.
تنص وثائق الأمان الفني لـaelf على أن سلسلة الكتل وعقد رمز ELF خضعا لجولات متعددة من التدقيق دون اكتشاف مشكلات أمنية. لكن الصفحات العامة الحالية لا تسمح بربط مسار التشغيل المقابل لهجوم أغسطس بأي تقرير تدقيق سابق. لذلك، فإن تصنيف الحادث على أنه إهمال في التدقيق أو فشل خارج نطاق التدقيق يفتقر إلى أدلة كافية.
عدم اليقين هذا بحد ذاته له قيمة إرشادية. تقرير التدقيق ذو الطابع الزمني يبتعد تدريجيًا عن أكواد النظام الحالية، والمكتبات التابعة، وحالة التشغيل الفعلية. يحتاج المستخدمون إلى سجل أمني مُحدد بالإصدارات ليعكس هذا الاختلاف.
يجب أن يوضح هذا السجل الأمني: المستودعات المدققة وإصدارات الالتزام بالأكواد، وعناوين العقود المنشورة، والمكونات المستبعدة، والأدوار المميزة، والمكتبات التابعة؛ مع تسجيل ترقيات العقود بعد اكتمال التدقيق، وآليات حفظ المفاتيح وتدويرها، وسياسات العزل في وقت التشغيل، وآليات التنبيه والانصهار، وحالة استرداد الأصول ذات الطابع الزمني، مع التمييز بين الخسائر المؤكدة والأصول المجمدة والتعرضات غير المحلولة.
هذا لا ينفي قيمة التدقيق، بل يجعل الدعاية للتدقيق متوافقة مع العمل الفعلي المنجز، ومرتبطًا بالأنظمة قيد التشغيل حاليًا.
شارة التدقيق لا يمكنها الإجابة: هل المكونات المدققة، والأنظمة المنشورة، وآليات التعامل مع الأعطال ما زالت ضمن نفس الحدود الأمنية؟
هذا المحتوى لأغراض معلوماتية وتعليمية فقط، ولا يمثل نصيحة استثمارية تتعلق بـ BTCC. تبذل BTCC قصارى جهدها ولكنها لا تضمن صحة أو دقة أو أصالة المحتوى المذكور أعلاه.