أردت الكتابة عن هذا منذ وقت طويل، ووجدت اليوم بعض الوقت لأكتب عنه.

في التمويل اللامركزي (DeFi)، تُنفَّذ عمليات الإيداع والاقتراض والتبادل تلقائيًا بواسطة العقود الذكية، من دون مراجعة بشرية، ولا توجد خدمة عملاء يمكنها استرداد الأموال التي حُوّلت بالخطأ. إذا كُتب العقد على نحو صحيح، فهو القواعد الأكثر موثوقية؛ أما إذا كُتب على نحو خاطئ، فستُنفَّذ الثغرات فيه أيضًا بكل دقة.

العملة ذات الصلة: $ETH السعر الحالي 2489.99 (تغير 24 ساعة: -0.97%).

📌 الشفرة هي القاعدة، وكذلك الثغرات

بعد نشر العقد الذكي على سلسلة الكتل، يُنفَّذ تلقائيًا وفقًا للشفرة. وهذا يتيح الشفافية وإمكانية التنبؤ: يمكن لأي شخص قراءة الشفرة، والعقود غير القابلة للترقية لا تتغير قواعدها لمجرد أن شخصًا ما غيّر رأيه.

وعلى العكس، إذا اكتشف أحدهم ثغرة في الكود واستغلها، فقد تُحوَّل الأموال خلال بضع معاملات، ويصعب استردادها. ويُعد The DAO في عام 2016 مثالًا على ذلك: فقد تعرض العقد لهجوم بسبب ثغرة إعادة الدخول، ثم عالجت إيثيريوم الأمر عبر انقسام صلب، بينما استمرت السلسلة الأصلية التي لم تنقسم لتُعرف باسم إيثيريوم كلاسيك (ETC).

📌 ما الذي يشمله التدقيق بالضبط؟

التدقيق الأمني هو فحص يجريه فريق أمني مستقل على إصدار محدد من الكود في وقت معين. ويعرض تقرير التدقيق عادةً المشكلات المكتشفة، ودرجة خطورة كل منها، وما إذا كان المشروع قد عالجها بالفعل.

تشمل الأمور التي يجري فحصها عادةً ثغرات إعادة الدخول، وأخطاء التحكم في الصلاحيات، ومشكلات دقة الحسابات، واحتمال التلاعب بأوراكل الأسعار، وغيرها. يساعد التدقيق على اكتشاف هذا النوع من الثغرات الشائعة والحد منها، لكنه يظل مقيدًا بالوقت والموارد البشرية ونطاق التدقيق.

📌 لماذا قد تقع مشكلات رغم إجراء التدقيق؟

أولًا، لا يغطي التدقيق سوى الكود المحدد ضمن نطاقه؛ فالعقود الخارجة عن هذا النطاق والميزات التي تُضاف لاحقًا لا يشملها. وإذا عُدّل الكود بعد التدقيق، أو اختلف الإصدار المنشور فعليًا عن الإصدار الذي خضع للتدقيق، فلا يمكن تطبيق نتائج التدقيق عليه مباشرةً.

ثانيًا، لا تنشأ بعض المخاطر من الكود نفسه: فقد تتسبب مشكلات في أوراكل الأسعار أو بروتوكولات أخرى يعتمد عليها البروتوكول، أو سرقة مفاتيح المسؤولين الذين يملكون صلاحية الترقية، أو التلاعب بواجهة الموقع وتوجيه المستخدمين إلى توقيع معاملات ضارة، في خسائر.

📌 ما الذي يمكن للمستخدم العادي فعله؟

عند قراءة تقرير التدقيق، انتبه إلى تاريخه ونطاقه والمشكلات التي لم تُعالج بعد، ولا تكتفِ بعبارة «خضع للتدقيق». ويمكنك أيضًا التحقق مما إذا كان من الممكن ترقية العقد بشكل أحادي، وما إذا كانت صلاحيات الترقية تخضع لتوقيعات متعددة وقفل زمني.

غالبًا ما يُنظر إلى البروتوكولات التي تعمل منذ مدة طويلة واجتازت اختبارات التعامل مع مبالغ كبيرة على أنها أكثر موثوقية، لكن ذلك لا يعني خلوها من الثغرات. لذلك، لا تودع في التمويل اللامركزي (DeFi) إلا أموالًا تستطيع تحمل خسارتها، ووزّع المبالغ الكبيرة على بروتوكولات مختلفة، ولا تنسَ إلغاء أذونات البروتوكولات التي لم تعد تستخدمها.

📌 كلمة أخيرة

التدقيق نقطة انطلاق للأمان، لا نهايته. ومن الواقعي أن تتعامل مع مخاطر العقود الذكية على أنها تكلفة لا بد من أخذها في الحسبان عند المشاركة في التمويل اللامركزي، بدلًا من الاطمئنان إلى عبارة «خضع للتدقيق». فكل عائد يقابله خطر، لذا فكّر مليًا في أسوأ الاحتمالات.

متى كانت أول مرة فهمتم فيها هذا الأمر؟

مشاركة شخصية، وليست نصيحة محددة بالشراء أو البيع.