كشفت شركة “سلو ميست” (SlowMist) المتخصصة في أمن البلوكتشين عن استغلال ثغرة أمنية في عقد ذكي غير موثّق، مما أدى إلى سرقة ما يقارب 16.6 وحدة من عملة WETH المشفرة. الحادثة التي وقعت على منصة غير معلنة، تسلط الضوء على المخاطر المستمرة المرتبطة بالتعامل مع أكواد برمجية غير مدققة وغير موثقة في نظام التمويل اللامركزي (DeFi).
كيف تم تنفيذ الاختراق؟
أشار التحليل الأولي لشركة “سلو ميست” إلى أن العقد المتضرر كان يفتقر إلى ضوابط وصول مناسبة وفشل في التحقق من صحة البيانات المستهدفة. هذا السماح مكّن المهاجم من استغلال موافقة قائمة على عملة ERC-20 والتحايل على عملية التحقق من المالك. ببساطة، العقد وثق مدخلات كان يجب فحصها وتنقيتها، مما سمح بنقل الأموال بشكل غير مصرح به.
وعلى الرغم من عدم الكشف عن المنصة المستهدفة، إلا أن أسلوب الهجوم ليس جديداً. فقد حدثت اختراقات مماثلة في الماضي، وغالباً ما استهدفت عقوداً تعتمد على فحوصات صلاحيات قديمة أو سيئة التنفيذ. تعتبر خسارة 16.6 WETH (بقيمة تقارب 40 ألف دولار حالياً) صغيرة نسبياً مقارنة باختراقات DeFi الأخرى، لكنها تؤكد على وجود فجوة أمنية مستمرة.
لماذا تعتبر العقود غير الموثقة علامة خطر؟
في أنظمة البلوكتشين، يُعتبر العقد “موثقاً” عندما يتم نشر الكود المصدري الخاص به ومطابقته مع الكود الموجود على السلسلة. هذا يسمح للمدققين والمستخدمين بمراجعة الكود واكتشاف الثغرات. أما العقود غير الموثقة، فتبقى غامضة، مما يجعل من المستحيل تقييم مستوى أمانها.
لا تزال العديد من بروتوكولات DeFi تعمل بعقود غير موثقة، إما لحماية منطقها الخاص أو بسبب الإهمال. هذا الحادث يذكرنا بأن التعامل مع هذه العقود يحمل مخاطر كبيرة. ينصح المستخدمون بتوخي الحذر وإعطاء الأولية للمنصات التي تخضع لتدقيق أمني صارم وتحافظ على شفافية أكوادها البرمجية.
تأثير ذلك على مستخدمي DeFi
بالنسبة للمستخدمين العاديين، الدرس المستفاد هو ضرورة التحقق من الأمان والموثوقية لأي عقد ذكي قبل الموافقة على إنفاق العملات الرقمية. فحص ما إذا كان العقد موثقاً على منصات الاستكشاف مثل إيثر سكان (Etherscan)، ومراجعة تقارير التدقيق الأمني، ومتابعة مناقشات المجتمع، كلها خطوات يمكن أن تقلل من التعرض لمثل هذه الاختراقات.
علاوة على ذلك، قد يدفع هذا الحدث المزيد من البروتوكولات إلى إعادة النظر في ممارساتها الأمنية. يواجه قطاع DeFi انتقادات متكررة بسبب الثغرات الأمنية، وحوادث مثل هذه تغذي الدعوات إلى معايير أكثر صرامة وتوثيق إلزامي للعقود.
الخلاصة
سرقة 16.6 WETH من عقد غير موثق تعتبر قصة تحذيرية في عالم أمن DeFi. على الرغم من أن الضرر المالي محدود، إلا أن نمط الثغرة معروف ويمكن تجنبه. مع نضوج النظام البيئي، ستبقى الشفافية وضوابط الوصول القوية حاسمة لحماية أموال المستخدمين وبناء الثقة على المدى الطويل.
الأسئلة الشائعة
س1: ما هو العقد غير الموثق؟
العقد غير الموثق هو عقد لم يتم نشر الكود المصدري الخاص به ومطابقته مع الكود الموجود على السلسلة. هذا يعني أن منطق تشغيله لا يمكن مراجعته علناً، مما يزيد من خطر وجود ثغرات خفية.
س2: كيف يمكن للمستخدمين حماية أنفسهم من اختراقات مماثلة؟
يجب على المستخدمين التعامل فقط مع العقود الموثقة على متصفحات البلوكتشين، والتي خضعت لتدقيق مهني، ولديها فريق تطوير شفاف. بالإضافة إلى ذلك، إلغاء الموافقات غير المستخدمة على إنفاق العملات يمكن أن يقلل من الخسائر المحتملة.
س3: هل سيتم استرداد عملات WETH المسروقة؟
الاسترداد يعتمد على عدة عوامل، بما في ذلك إجراءات المهاجم وأي تدخل من جهات إنفاذ القانون. في العديد من اختراقات DeFi، تبقى الأموال غير مستردة، على الرغم من أن بعض البروتوكولات نجحت في التفاوض مع القراصنة أو استخدام برامج مكافآت لاستعادة الأصول.
