في مشروع المسودة الموحّدة لمجلس الشيوخ لقانون «CLARITY» الذي أعلنت عنه لوميّس في 22 يوليو #CLARITY法案拟奖励白帽黑客 2026، برزت إلى السطح فقرة كانت منخفضة الظهور سابقًا بشأن الأمن السيبراني—تقترح إنشاء white-hat rewards program (برنامج مكافآت القراصنة ذوي القبعات البيضاء) عبر «آلية تنسيق الأمن السيبراني للأصول الرقمية». هذا لا يشجّع «صيادي المكافآت» على اقتحام الأنظمة عشوائيًا، بل يدرج لأول مرة آلية الإفصاح عن الثغرات الناضجة في Web2 (bug bounty) ضمن النص الأصلي لقانون هيكل سوق التشفير الفيدرالي الأميركي.
منطق الفقرة واضح جدًا: إذا اكتشف باحث أمني، عبر القنوات المصرّح بها، ثغرة في البنية التحتية مثل المنصات، أو أنظمة الحفظ، أو المحافظ، أو العقود الذكية، أو الجسور عبر السلاسل، أو التسوية والمقاصة، أو إدارة المفاتيح الخاصة، وقام بالإفصاح عنها بشكل مسؤول (responsible disclosure)، وبعد التحقق منها ومنح مهلة كافية للإصلاح، فيمكنه الحصول على مكافأة، مع تحديد الحدود القانونية بوضوح بين «البحث الأمني» و«الاقتحام الخبيث». وقد استند هذا التصور إلى دعوة الرئيس السابق لـ CFTC جياكارلو بأن «مرونة السوق تأتي من الإفصاح الشفاف»، بحيث تنتقل حماية المستهلك خطوة أبعد من مجرد «منع المنصات من الاستيلاء على أصول العملاء» إلى «منع الثغرات النظامية من تصفير أصول العملاء بين ليلة وضحاها».
لماذا الآن؟ كشفت إفلاسات على شاكلة FTX وCelsius عن فخ «اختلاط الدفاتر»، بينما أثبتت سرقات الجسور وعقود الحفظ خلال العام الماضي—والتي بلغت أحيانًا مئات الملايين—أن الاعتماد على المبادرات التطوعية للشركات وحدها لا يكفي. وتجمع المسودة بين عزل أصول العملاء، والعزل في حال الإفلاس، ومنع إساءة الاستخدام، وحوافز القبعات البيضاء، بما يعادل إضافة خط دفاع تقني استباقي إلى مفهوم «حماية المستهلك».
لكن التنفيذ ما زال يكتنفه الغموض: هل تُحدَّد ميزانية الجوائز عبر قواعد CFTC/SEC أم تُوزَّع بين المنصات؟ وما نطاق الإعفاء من المسؤولية؟ وما معايير الإفصاح؟ وما سلم المكافآت؟ كل ذلك لم يُفصَّل بعد؛ كما أن مشروع القانون بالكامل ما يزال عالقًا عند عتبة الـ60 صوتًا في مجلس الشيوخ، وإذا فشل في تجاوزها قبل عطلة أغسطس، فقد تُخفَّف أيضًا بنود القبعات البيضاء خلال التعديلات داخل المجلس.
وإذا تحوّل إلى قانون في النهاية، فلن تكون أهميته مقتصرة على «السماح للقراصنة بالكسب بشكل قانوني»—بل سيشير إلى انتقال التنظيم الأميركي للعملات المشفّرة من «ملاحقة المحتالين بعد وقوع الضرر» إلى «شراء الثغرات قبل وقوع الضرر»، ما سيؤدي إلى إعادة تقييم دور شركات التدقيق، وشركات التأمين، وجهات الحفظ المتوافقة مع القواعد.
منطق الفقرة واضح جدًا: إذا اكتشف باحث أمني، عبر القنوات المصرّح بها، ثغرة في البنية التحتية مثل المنصات، أو أنظمة الحفظ، أو المحافظ، أو العقود الذكية، أو الجسور عبر السلاسل، أو التسوية والمقاصة، أو إدارة المفاتيح الخاصة، وقام بالإفصاح عنها بشكل مسؤول (responsible disclosure)، وبعد التحقق منها ومنح مهلة كافية للإصلاح، فيمكنه الحصول على مكافأة، مع تحديد الحدود القانونية بوضوح بين «البحث الأمني» و«الاقتحام الخبيث». وقد استند هذا التصور إلى دعوة الرئيس السابق لـ CFTC جياكارلو بأن «مرونة السوق تأتي من الإفصاح الشفاف»، بحيث تنتقل حماية المستهلك خطوة أبعد من مجرد «منع المنصات من الاستيلاء على أصول العملاء» إلى «منع الثغرات النظامية من تصفير أصول العملاء بين ليلة وضحاها».
لماذا الآن؟ كشفت إفلاسات على شاكلة FTX وCelsius عن فخ «اختلاط الدفاتر»، بينما أثبتت سرقات الجسور وعقود الحفظ خلال العام الماضي—والتي بلغت أحيانًا مئات الملايين—أن الاعتماد على المبادرات التطوعية للشركات وحدها لا يكفي. وتجمع المسودة بين عزل أصول العملاء، والعزل في حال الإفلاس، ومنع إساءة الاستخدام، وحوافز القبعات البيضاء، بما يعادل إضافة خط دفاع تقني استباقي إلى مفهوم «حماية المستهلك».
لكن التنفيذ ما زال يكتنفه الغموض: هل تُحدَّد ميزانية الجوائز عبر قواعد CFTC/SEC أم تُوزَّع بين المنصات؟ وما نطاق الإعفاء من المسؤولية؟ وما معايير الإفصاح؟ وما سلم المكافآت؟ كل ذلك لم يُفصَّل بعد؛ كما أن مشروع القانون بالكامل ما يزال عالقًا عند عتبة الـ60 صوتًا في مجلس الشيوخ، وإذا فشل في تجاوزها قبل عطلة أغسطس، فقد تُخفَّف أيضًا بنود القبعات البيضاء خلال التعديلات داخل المجلس.
وإذا تحوّل إلى قانون في النهاية، فلن تكون أهميته مقتصرة على «السماح للقراصنة بالكسب بشكل قانوني»—بل سيشير إلى انتقال التنظيم الأميركي للعملات المشفّرة من «ملاحقة المحتالين بعد وقوع الضرر» إلى «شراء الثغرات قبل وقوع الضرر»، ما سيؤدي إلى إعادة تقييم دور شركات التدقيق، وشركات التأمين، وجهات الحفظ المتوافقة مع القواعد.