يُعرِّف غروب نفسه بأنه «سلسلة خصوصية خاضعة للرقابة». الفكرة هي: يمكنك إجراء معاملات خصوصية، لكن لدى جهات الرقابة صلاحية الاطلاع. ومن منظور تصميم الآلية، فإن هذه الصلاحية تُمنح إلى «عُقد السيادة»—حيث تحتفظ عُقد الامتثال بمفاتيح التدقيق، وعندما تطلب جهة الرقابة الاطلاع، تقوم العقد بفك التشفير وتقديم البيانات. يبدو الأمر كأنه حلٌّ للخلاف الكلاسيكي بين «الخصوصية مقابل الامتثال».
لكن لدي سؤال: من يقرر من هم «عُقد السيادة»؟ ما معيار اختيار عُقد السيادة؟ إذا تم الهجوم على عُقد السيادة وتم تسريب المفاتيح، فهل تُكشف كامل سجلات المعاملات لجميع المستخدمين؟
لقد قرأت وثائق غروب: تُراجع مؤسسة غروب وتُعيّن عُقد السيادة. معيار المراجعة هو «الامتثال والقدرة التقنية»—لا توجد تفاصيل محددة. إذا كانت جهة رقابة ما تسيطر على عُقد السيادة، أو أُجبرت عُقد السيادة على تسليم المفاتيح، فكم تبقى من خصوصية المستخدمين ضمن إطار «امتثال السيادة»؟@Dusk
والذي يقلقني أكثر هو أن هذا التصميم من الناحية التقنية يمكنه فعلًا تحقيق «خصوصية قابلة للتدقيق»—فالصفقات مخفية، لكن يمكن لعقد التدقيق فتحها. ومع ذلك، جوهر المسألة ليس أنك تثق بالتشفير؛ بل أنك تثق بأن عقد السيادة لن يُسيء استخدام صلاحياته. أنت لا تثق بالمعادلات الرياضية؛ بل بثقة المؤسسات لأنها لن ترتكب الشر.
إن سرد غروب الخاص بالامتثال يتمتع فعلًا بقدرة تنافسية لدى العملاء المؤسسيين. «يمكننا مساعدتك على الصعود إلى السلسلة، وفي الوقت نفسه نلبي متطلبات الجهات الرقابية»—هذه الجملة تُعد ذات قيمة فعلًا لدى المؤسسات المالية التي تكون ميزانيات الامتثال لديها كافية. لكن الشرط لكي «تتمكن من الصعود إلى السلسلة» هو: عليك قبول أن عقد السيادة لديه حق الاطلاع على معاملتك. أنت عميل مؤسسي، وتعمل في غرفة زجاجية، وعندما تريد الجهة الرقابية ما تريد رؤيته، يمكنها الرؤية. إذًا، ما هي «الخصوصية» هنا تحديدًا؟ خصوصية الجمهور؟ أم شفافية تجاه الرقابة؟ هذا بالضبط ما يود غروب بيعه. لكن «امتثال السيادة» بحد ذاته يتطلب منك أن تثق بسلطة ما. وفي النهاية، هل هذا يُعد «خصوصية» أم «تعرضًا مُتحكمًا فيه»؟ يعتمد الأمر على زاوية نظرك تجاه هذه المسألة. #dusk $DUSK
ثغرة Dusk في PLONK: طبقة خصوصية بقيمة 600 ألف دولار كادت تُخترق عبر تزوير إثبات
بعد أن قرأت تقرير الأمان الذي كشفته OtterSec بتاريخ 30 أبريل 2026، تجمدت تقريبًا لمدة خمس دقائق. لم تقم مُثبتات dusk-plonk على الإطلاق بالتحقق من التزامات المضلعات الأربعة التي يقدّمها المُثبت. ببساطة، يستطيع المهاجم تزوير إثبات زائف للمعرفة الصفرية دون الحاجة إلى أي أصول حقيقية لِصكّ رموز DUSK ونقل العائدات غير المشروعة. بروتوكول خصوصية صُمّم لأسواق مالية مُنظّمة، لكن جوهره التشفيري يحتوي على ثغرة تسمح للمهاجم بالخلق الوهمي للرموز. بنية تحتية تدّعي أن المؤسسات يمكنها الوثوق بها عند النشر على السلسلة، لكن توجد فيها عيوب جوهرية على مستوى طبقة الخصوصية.
سردية الامتثال في ورقة الـ whitepaper جميلة، لكن الكود يكاد يفتح بابًا خلفيًا للّصك غير المحدود. يمكنك القول إن الثغرة تمت معالجتها. لكن ظهور هذا النوع من الثغرات في مرحلة التحقق داخل طبقة الخصوصية بحد ذاته هو إهانة مباشرة لمبدأ «الخصوصية أولًا». مشروع يعيش على ZK، وقد ظهرت فيه مشكلة في تنفيذ ZK. أول سؤال راودني بعد قراءة التقرير هو—إذا كانت سلسلة خصوصية تعيش على ZK، فما الذي قد لا يسوء أيضًا في تنفيذها؟ لقد تراجعت القيمة السوقية لـDusk من أعلى مستوياتها بشكل كبير؛ و600 ألف دولار وفقًا لسعر العملة آنذاك، إذا استغل المهاجم هذه الثغرة لصكّ كميات كبيرة من الرموز، فقد يتم سحق السعر مباشرة. @Dusk
وجدت تقرير تدقيقًا لـDusk وقمت بتصفحه. الجهة المُدقِّقة هي Dust Labs، ونطاق التدقيق يغطي فقط بعض الوحدات. فهل منطق التحقق الخاص بـdusk-plonk ضمن نطاق التدقيق؟ لم أجد توضيحًا صريحًا. إذا تم إغفال كود طبقة الخصوصية الأساسية في التدقيق، أو إذا لم يكن التدقيق أصلًا يغطي كل ما يلزم، فستحتاج قيمة تقرير التدقيق إلى إعادة تقييم. التدقيق لا يُجرى مرة واحدة وينتهي الأمر.
أنا لا أقول إن Dusk غير موثوق، لكن مشروعًا يكتب «الخصوصية» في اسمه، ويعاني من ثغرة جوهرية من هذا النوع في طبقة التحقق الأساسية لـZK، من الصعب عليّ أن أقنع نفسي بالاستمرار في الاحتفاظ به. لنرَ الأمر بعد أن يتم التحقق من جوهر التشفير عبر جولات إضافية. سأضعه مؤقتًا في قائمة الملاحظة، وأرى ما إذا كانت ستظهر إفصاحات عن ثغرات جديدة لاحقًا. إذا تكرّر ظهور المشكلة في نفس الوحدة مرة أخرى، فسيكون ذلك ليس مجرد مشكلة تقنية، بل مشكلة في العملية أيضًا. #dusk $DUSK
Babylon最核心的创新是罚没机制。在比特币上实现罚没,以前没人做过。技术上确实超前,但问题也出在技术上。Hindenrank风险评级报告里有一句话我读了好几遍:“Slashing is enforced cryptographically — an honest software bug can burn your BTC irreversibly.”一个诚实的软件bug,就能把你的BTC永久烧掉。不是黑客攻击,不是恶意作恶,是你选的验证者代码出了bug,无意中触发了罚没条件,你的BTC就没了。更恐怖的是,如果多个验证者跑了同一个有bug的客户端,一个bug就能同时烧掉所有人的BTC。在这个系统里,罚没不是“做坏事才被罚”,是“出了错就被罚”。@BabylonLabs_io
أعرف صديقًا قديمًا، بحوزته 10 بيتكوين. حصل عليها من عام 2017 وحتى الآن، وشهد ثلاث دورات صعود لأسواق كبرى ومَريرتين لهبوط، ومع ذلك لم يبع أبدًا. قبل أيام، أثناء تناولنا الطعام معًا، سألني: «كيف ترى إيداع بيتكوين في Babylon؟» @BabylonLabs_io
سألته: «أنت لم تكن تتعامل أبدًا مع DeFi من قبل، لماذا أصبحت مهتمًا فجأة؟» قال: «لأن هذه بيتكوين تُنجب بيتكوين، وليست بيتكوين تُنجب عملات جوفاء. أنا أحتفظ ببيتكوين ولا أبيعها، ولا أحصل على فائدة سنوية. إذا كان بإمكاني بأمان أن أنجب بضع نقاط مئوية من بيتكوين، فلماذا لا؟» هذه هي المنطق الأساسي الأكثر جوهرية في Babylon. بالنسبة لشخص يحتفظ ببيتكوين لأكثر من خمس سنوات، فإن إخراج العملات من المحفظة الباردة إلى المنصة، لا تكون له إلا سبب واحد: «الأرباح تُدفع ببيتكوين». ليس BABY، وليست أي توكن أخرى، بل بيتكوين فقط.
قامت Babylon مؤخرًا بتعاون مع Gomining، والذي جاء ليُجيب مباشرة عن هذا الاحتياج. يقوم حائزو بيتكوين بإقفال بيتكوينهم داخل خزنة Babylon، ويحصلون على عوائد تعدين بيتكوين من Gomining—دفعٌ يتم ببيتكوين. لكن المشكلة أن هذا التعاون حاليًا متاح فقط لـ 1000 بيتكوين. 1000 بيتكوين، تمثل أقل من 2% من إجمالي TVL الخاص بـ Babylon. لذلك حتى لو أراد صديقي القديم المشاركة، فقد لا يُتاح له الدور.
سألني: «فما الذي عليّ فعله الآن؟» قلت له: «انتظر. انتظر أن يتم توسيع الحصة من 1000 بيتكوين إلى 10 آلاف، ثم إلى 100 آلاف. عندها فقط يمكن لبيتكوينك أن يبدأ فعلًا في إنجاب بيتكوين». بعد أن أنهى الكلام، لم يقل شيئًا. وبعد التفكير طويلاً، قال في النهاية: «سأستمر في الاحتفاظ بها إذن».
لاحقًا، ظللت أفكر في معنى «الاستمرار في الاحتفاظ» الذي يقصده. هو لم يكن غير راغب في المشاركة، بل أن عتبة المشاركة لم تكن قد بلغت المستوى الذي يمكنه الوصول إليه. قصة «بيتكوين تُنجب بيتكوين» صحيحة، لكنها لا تصبح قصة قائمة فعلاً إلا عندما تُتاح حقًا لعامة الناس. في الوقت الحالي، ما زالت لعبة مقتصرة على الحيتان.