من رونين إلى وازيرإكس: لماذا 55% من “اختراقات التمويل اللامركزي” لا علاقة لها بالكود!

العبارة الأكثر تضليلاً في عالم أمان العملات الرقمية قد تكون أيضاً الأكثر شيوعاً.

العقد الذكي يمكنه أن ينفذ تماماً كما كُتب، ومع ذلك يصبح جزءاً من عملية سرقة. إذا كنت تتساءل كيف، هل فكرت أن الكود قد لا يكون الجزء الذي يتعطل؟

نحن نلقي اللوم على العقود الذكية (الكود)، ولكن الثغرة الحقيقية هي البشر الذين يديرون المشروع. المهاجمون لا يبحثون عن أخطاء رياضية عبقرية؛ بل يخدعون المؤسس لينقر على رابط ضار، ويسرقون مفاتيح الوصول لجهاز الكمبيوتر الخاص به، ويعدلون التطبيق من الداخل. ومع ذلك، بمجرد أن تنتقل الأموال على السلسلة، غالباً ما يتم تجميع هذه الإخفاقات تحت نفس عنوان الخبر. نعم، لقد خمنتها بشكل صحيح – إنها “اختراق ديفاي”!

هذه هي مشكلة التشخيص.

خلل في العقد الذكي، واختراق توقيع الجسر، وفشل في أوراكل، وثغرة في الحوكمة، وسرقة مفتاح خاص – كلها لا تصف نفس الجرح. عندما يتم تسمية الفشل بشكل خاطئ، يبدأ الإصلاح من المكان الخطأ.

قامت شركة “Ethereal Ventures” مؤخراً بتأطير هذه المشكلة كمشكلة “مستوى التحكم” – أمن الأنظمة المحيطة بالبروتوكول، وليس فقط منطق البروتوكول نفسه. نحن في AMBCrypto نأخذ هذه الحجة في اتجاه أضيق. في الحقيقة، قبل أن تناقش الصناعة الإصلاح، تحتاج إلى تسمية الفشل بشكل صحيح.

بالطبع، البيانات تجعل سوء التسمية أصعب في التجاهل. على سبيل المثال، وجدت شركة “Halborn” أنه في عام 2024، شكلت الحوادث خارج السلسلة 56.5% من الهجمات و 80.5% من الأموال المسروقة.

كما وجدت “Chainalysis” أن اختراقات المفاتيح الخاصة شكلت الحصة الأكبر من العملات الرقمية المسروقة في عام 2024.

لذا، السؤال غير المريح بسيط: هل “كود أفضل” كافٍ عندما يكون أفضل طريق للمهاجم هو سرقة المفتاح الذي يخبر الكود ماذا يفعل؟

إذا كانت معظم الخسائر تأتي من نقاط ضعف خارج السلسلة، فلماذا تستمر الصناعة في تسمية كل حادثة كبيرة بـ “اختراق ديفاي”؟

العنوان الرئيسي ليس تشخيصاً

“اختراق ديفاي” يعمل كعنوان رئيسي لأنه قصير. لكنه يفشل كتشخيص لأنه يخفي الشيء الذي تعطل بالفعل.

قال “ريتيش كاكاد”، المؤسس المشارك لشبكة XDC، بصراحة:

“التمييز بين هذه الأنواع من الإخفاقات مهم جداً. لا يمكنك إصلاح باب مكسور بينما تفكر أنك تصلح نافذة.”

هذا التمييز مهم.

إذن، ما الذي تعطل بالفعل؟

مفتاح خاص مسروق، فشل في مدقق الجسر، واجهة تسمم، ومنطق بروتوكول معطل – كلها قد تنتهي بأموال تنتقل على السلسلة. لكنها تبدأ في أماكن مختلفة.

هذا يقودنا إلى أين تساعد معرفة “مستوى التطبيق” و “مستوى التحكم”.

• مستوى التطبيق هو ما يلمسه المستخدمون ويتضمن المقايضات، أسواق الإقراض، الخزائن، التحويلات، ونشاط الجسر.
• مستوى التحكم هو ما يعطي السلطة للنظام للتصرف: المفاتيح الإدارية، الموقعون، مسارات الترقية، مدققي الجسور، الأوراكل، وأذونات الحوكمة.
• ثم هناك الطبقة البشرية والتشغيلية حولها: الأجهزة، الوصول إلى GitHub، أنابيب CI/CD، الحسابات السحابية، أذونات المقاولين، والاستجابة للحوادث.

ومع ذلك، فإن معظم الروايات العامة تدمج هذه الطبقات في كلمة واحدة – “اختراق”.

تخيل أن تفتح تطبيق ديفاي وتوافق على معاملة تبدو روتينية. تبدو الصفحة مألوفة. يبدو طلب المحفظة طبيعياً. تسجل البلوكتشين لاحقاً موافقة صالحة. لكن ماذا لو تم تغيير الشاشة قبل أن يراها الموقع؟ ماذا لو كان الفشل في واجهة التطبيق، أو بيانات الاعتماد، أو سير العمل حول عملية التوقيع؟

كيف تقارن أمان العملات الرقمية بشركات التكنولوجيا التقليدية؟

عادةً ما تفصل أنظمة المؤسسات التقليدية هذه الإخفاقات لأن كل منها يستدعي استجابة مختلفة. غالباً ما تفقد العملات الرقمية تلك الدقة بمجرد أن تهبط الأموال المسروقة على مستكشف الكتلة.

نمط الفشل يتغير من حالة لأخرى

تقارير ما بعد الحادثة (أو الأدلة) تروي قصة أكثر تعقيداً من العناوين الرئيسية. معظم تقارير ما بعد الحادثة في العملات الرقمية تبدأ متأخرة جداً. تسأل “كم سُرق؟” قبل أن تسأل “ما الذي فشل بالفعل؟”

انظر إلى هجوم “رونين”، على سبيل المثال، الذي يُذكر كواحد من أهم اختراقات الجسور في العملات الرقمية. في مارس 2022، استنزف المهاجمون 173,600 إيثر و 25.5 مليون USDC من جسر رونين. ومع ذلك، فإن الآليات مهمة هنا.

كان جسر رونين يحتاج إلى 5 من أصل 9 توقيعات مدقق للموافقة على عمليات السحب. لم يكن المهاجم بحاجة إلى إيجاد خطأ تقليدي في العقد الذكي للوصول إلى هناك. تم اختراق أربعة مفاتيح مدقق من Sky Mavis. جاءت الموافقة الخامسة من خلال مسار إذن قديم لـ Axie DAO مرتبط بإعداد RPC المجاني لرونين، والذي لم يتم إلغاؤه بشكل صحيح.

بمجرد أن كانت هذه الموافقات الخمسة في مكانها، تعامل الجسر مع عمليات السحب على أنها صالحة.

هذا هو الجزء الذي يميل تصنيف “اختراق جسر” إلى تسويته. نقطة الضعف لم تكن ببساطة الجسر كمنتج، أو ديفاي كفئة. لقد كانت هيكل السلطة حول الجسر: من يمكنه الموافقة على الحركة، وكيف تمت حماية تلك الموافقات، ولماذا كان مسار الوصول القديم لا يزال قادراً على التأثير.

إنها نفس القصة في أماكن أخرى

لم يكن هجوم رونين استثناءً. Orbit Chain و WazirX و Bybit كلها تشير إلى نفس النمط من زوايا مختلفة. حتى حوادث هجوم “مفتاح الربط” في فرنسا تنتمي إلى محادثة التشخيص الأوسع. لم تكن إخفاقات ديفاي، لكنها أظهرت نفس الحقيقة غير المريحة: المهاجمون يتبعون السيطرة، سواء كانت تلك السيطرة في الكود، أو محفظة متعددة التوقيع، أو واجهة متصفح، أو شخص.

إلى أين تذهب الأموال؟

البيانات الأوسع تعقد القصة المعتادة أيضاً.

سجلت “Immunefi” خسائر بقيمة 1.635 مليار دولار من العملات الرقمية عبر 40 حادثة في الربع الأول من عام 2025. ووصفته بأنه أسوأ ربع للاختراقات في تاريخ العملات الرقمية. لكن التقسيم مهم.

معظم هذا الرقم جاء من بورصتين مركزيتين (CEX). ومجتمعتين، شكلت هاتان الحادثتان حوالي 94% من خسائر الربع.

هذا لا يعني أن خطر الديفاي اختفى. ولكن من حيث القيمة، كان الربع يهيمن عليه إخفاقات التمويل المركزي (CeFi) وإخفاقات التوقيع، وليس موجة من الأخطاء الرياضية للبروتوكول.

تقرير “Chainalysis” عن السرقة أبرز شيئاً مشابهاً.

كما وجد أن اختراقات المحافظ الشخصية أصبحت جزءاً أكبر من صورة الخسارة، حيث ارتفعت من 7.3% من القيمة المسروقة في 2022 إلى 44% في 2024. حدثت 158,000 حادثة اختراق محفظة فردية أثرت على 80,000 ضحية فريدة في 2025، حتى مع بقاء خسائر اختراقات الديفاي منخفضة على الرغم من ارتفاع القيمة الإجمالية المقفلة (TVL).

عند قراءتها معاً، لا تسمح البيانات لأي من الجانبين بالفوز بحجة سهلة.

كود السلسلة لا يزال يفشل. أنظمة خارج السلسلة تفشل بوضوح أيضاً. النمط الأكثر فائدة هو أن الخسائر الكبيرة تكشف بشكل متزايد عن الآلات المحيطة بالكود: المدققون، الموقعون، الواجهات، بنية المحفظة التحتية، الأنظمة السحابية، الأجهزة الشخصية، والوصول البشري. لكن الخطر الأكبر يبدأ بعد الفشل الأول.

لماذا يتسبب خطأ صغير واحد في انهيار النظام بأكمله؟

في ديفاي، نادراً ما يبقى الافتراض المكسور حيث بدأ. أصل الجسر يمكن أن يصبح ضماناً. الضمان يمكن أن يدعم القروض. القروض يمكن أن تغذي الخزائن. الخزائن يمكن أن تكون داخل مجمعات. بحلول الوقت الذي يرى فيه المستخدمون العنوان الرئيسي، قد يكون الخطر قد مر بالفعل عبر عدة طبقات. هنا يصبح سوء التشخيص أكثر من مجرد لغة غير دقيقة.

للتوضيح، في التمويل التقليدي (TradFi)، إذا فشل بنك، قد يقوم المنظمون بتجميد الأصول بينما يكتشفون ما حدث. في ديفاي، ينفذ الكود تلقائياً.

بمجرد أن تصبح الأنظمة متصلة، فإن تسمية الفشل الخطأ يمكن أن يشوه كيف يفهم السوق كل تعرض مبني فوقه.

تأثير الدومينو للخطر المترابط

عادة ما يتم التعامل مع قابلية التركيب (Composability) على أنها الميزة الكبرى للديفاي. البروتوكولات تتصل ببعضها البعض بسلاسة، الأصول تهاجر عبر السلاسل، الرموز المميزة تعمل كضمان، والسيولة يتم إعادة تدويرها بلا نهاية عبر الأسواق.

ومع ذلك، فإن هذا التصميم السلس هو سيف ذو حدين لأن البنية التي تسرع النمو تعمل أيضاً على تسريع الفشل.

عندما يصدر جسر عبر السلاسل أصلاً، نادراً ما يبقى هذا الأصل في مكانه. إنه يسافر. يدخل أسواق الإقراض، ويجلس داخل خزائن العائد، ويتم توجيهه عبر المجمعات، أو يعمل كضمان لمراكز منفصلة تماماً.

إذا انكسر نموذج أمان الجسر، لا يمكن حصر الضرر في عقد الجسر نفسه. كل بروتوكول سفلي تعامل مع ذلك الأصل المجسور كمخزن آمن ونقي للقيمة يرث فجأة العفن.

هذا هو المكان الذي يصبح فيه تشبيه “مكعبات الليغو المالية” نظيفاً جداً.

تجعل منصة “XChainWatcher” نسخة الجسر من هذه المشكلة أكثر وضوحاً. وجدت الدراسة أن ثغرات الجسور تسببت في خسائر بقيمة 3.2 مليار دولار منذ مايو 2021، مع الإشارة أيضاً إلى إخفاقات يمكن أن يغفلها تغطية “اختراق ديفاي” العادية.

لذا، قد يبدأ الفشل الأول كافتراض جسر، أو موقع، أو أوراكل، أو مسار حوكمة. الفشل من الدرجة الثانية هو “الثقة” التي تنتقل إلى المصب. تتحرك السموم عبر الأنابيب المالية قبل وقت طويل من إدراك السوق حتى أن حدوث اختراق.

السؤال الأفضل هو: أي طبقة فشلت؟

هل تصرف الكود بشكل غير صحيح؟ هل تم تغذية البروتوكول ببيانات خاطئة؟ هل فقد مدقق الجسر أو موقع المحفظة متعددة التوقيع سلطته؟ هل تم اختراق الواجهة الأمامية أو أنبوب CI/CD قبل أن يرى المستخدمون المعاملة حتى؟ هل غيرت الحوكمة القواعد؟ أم أن الشخص الذي لديه الوصول تم استهدافه مباشرة؟

هذه الأسئلة تؤدي إلى إجابات مختلفة.

تحسين عمليات التدقيق مهم، نعم. يمكنها تقليل المخاطر على مستوى الكود. لكنها لا تستطيع حل المفاتيح المسروقة، أو الموقعون المخترقون، أو ضوابط الجسر الضعيفة، أو بيانات الاعتماد السحابية المكشوفة، أو ضعف الأمن التشغيلي. وبالتأكيد، لا يمكنها منع استهداف الأشخاص لأنهم يتحكمون في الوصول إلى الثروة الرقمية.

هذه هي نقطة الدقة. إذا استمرت الصناعة في تسمية الفشل بشكل خاطئ، فستستمر في خوض المعركة الخاطئة.

“اختراق ديفاي” قد يظل مفيداً كاختصار للعنوان الرئيسي. كتشخيص، غالباً ما يكون فضفاضاً جداً ليكون صحيحاً. ربما السؤال الأفضل هو أين بدأ الفشل بالفعل.

الأسئلة الشائعة (FAQ)

س 1: ما هي المشكلة الرئيسية التي يسلط المقال الضوء عليها في أمان العملات الرقمية؟

المشكلة الرئيسية هي أن الصناعة تسمي معظم الإخفاقات الأمنية “اختراق ديفاي”، مما يخفي السبب الحقيقي. غالباً ما تكون الثغرة الحقيقية هي الأخطاء البشرية أو نقاط الضعف في الأنظمة المحيطة بالكود، مثل سرقة المفاتيح الخاصة أو اختراق أجهزة المؤسسين، وليس خطأ في الكود نفسه.

س 2: ما هو الفرق بين “مستوى التطبيق” و “مستوى التحكم” في سياق أمن ديفاي؟

“مستوى التطبيق” يشمل ما يتفاعل معه المستخدمون مباشرة مثل المقايضات والإقراض. أما “مستوى التحكم” فهو البنية التحتية التي تدير النظام وتعطيه السلطة، مثل المفاتيح الإدارية، الموقعون على الجسور، وأذونات الحوكمة. المقال يوضح أن معظم الهجمات تستهدف مستوى التحكم، وليس التطبيق.

س 3: هل حل “الكود الأفضل” وحده كافٍ لمنع الاختراقات؟

لا، الكود الأفضل ليس كافياً. تشير البيانات إلى أن معظم الخسائر الكبيرة (أكثر من 80% في بعض الدراسات) تأتي من نقاط ضعف خارج السلسلة مثل سرقة المفاتيح الخاصة أو اختراق الأنظمة التشغيلية. لذلك، يجب على الصناعة تحسين الأمن البشري والتشغيلي، وليس فقط التركيز على تدقيق العقود الذكية.