بعد أن جمّدت Tether عملات USDT المرتبطة بـLedger، أكثر ما يسهل إساءة فهمه هو الفرق بين «كم جُمّد» و«كم استُعيد». ما أوليه أهمية أكبر هو حالة التصرف في الأموال: فتقييد عنوان عن تحويل الرموز لا يعني أن الأصول أُعيدت فعليًا إلى الضحايا؛ فما زالت هناك خطوات ينبغي التحقق منها. تستحق أخبار التجميد المتداولة الاهتمام، لكن لا ينبغي عرضها مباشرة على أنها دليل على اكتمال استرداد الأموال.
تناول الجزء السابق إيقاف Ledger الاحترازي للمبيعات عبر قناة CryptoBilis: ففي 9 أكتوبر، الساعة 21:32 بتوقيت بكين، أفاد حساب الدعم الرسمي بأنه يحقق في تقارير عن خسائر مالية لدى أشخاص اشتروا منتجات عبر هذا الموزع في جنوب شرق آسيا، وطلب تعليق المبيعات والشحن. وأكد ذلك البيان إجراء التحقيق واتخاذ تدابير بشأن قناة التوزيع، لكنه لم يعلن في النص الرئيسي المتاح للقراءة عن المبلغ النهائي للخسائر أو آلية الهجوم. وعند إعادة قراءة الأمر الآن، لا يزال من غير الممكن تعميم وقف المبيعات والقول إن جميع منتجات الأجهزة قد اختُرقت.
أما الجديد هذه المرة فهو الأرقام المتعلقة بالتجميد، كما وردت في تحقيق Bitquery الأصلي على السلسلة. يذكر التقرير أن Tether فرضت قيودًا على 37 عنوانًا مرتبطًا بين 9 أكتوبر، الساعة 12:09 و14:10 بالتوقيت العالمي المنسق (UTC)، أي بين 20:09 و22:10 بتوقيت بكين، وأن 20 عنوانًا منها كانت تحتوي على نحو 10 ملايين USDT إجمالًا. يشير الرقم 37 إلى عدد العناوين التي خضعت للإجراء، بينما يشير الرقم 20 إلى عدد العناوين التي كان لديها رصيد من USDT في ذلك الوقت؛ ولا ينبغي اعتبارهما عددًا لمجموعة واحدة من الضحايا.
ويسجل التقرير أيضًا أنه عند الساعة 15:30 UTC، أي 23:30 بتوقيت بكين، رُفعت القيود عن أربع محافظ صُنّفت على أنها جزء من حلقات الوساطة في التداول خارج المنصات. وهذا تذكير بأن مرور الأموال عبر عنوان ما لا يثبت تلقائيًا أن مالك ذلك العنوان هو المهاجم؛ فقد يتولى العنوان أيضًا التعامل بأصول تخص أشخاصًا آخرين. وينبغي الاستدلال على حركة الأموال على السلسلة، وملكية العناوين، وتحديد المسؤولية، كلٌّ بأدلته الخاصة؛ فلا يصح الحكم على أحد اعتمادًا على سهم تحويل واحد.
يعود مخطط حالة الأموال في التقرير إلى 9 أكتوبر، الساعة 16:45 UTC، أي 10 أكتوبر، الساعة 00:45 بتوقيت بكين. وما قرأته عند الساعة 12:41 هذه المرة هو لقطة تاريخية لتلك الحالة، وليس أرصدة السلسلة في هذه اللحظة. أما ما إذا كانت الأموال قد واصلت التحرك لاحقًا، أو توسع نطاق التجميد أو رُفعت القيود، أو جرت إعادة إصدار الرموز وردّ الأموال، فيجب التحقق منه عبر سجلات جديدة على السلسلة وإعلانات عن الإجراءات؛ فلا يمكن تحويل مخطط ثابت من الليلة الماضية إلى استنتاج آني.
قد يقلل التجميد مبدئيًا من مخاطر مواصلة تحريك رموز محددة، لكنه لا يعني أن جميع الأصول التي كانت بحوزة الطرف الآخر خضعت للقيود نفسها. فإمكانيات التصرف تختلف باختلاف الأصول وآليات إصدارها؛ وحتى إذا أمكن تتبع الأموال، فهذا لا يعني أن السيطرة عليها عادت إلى أصحابها الأصليين. «يمكن العثور عليها» و«لا يمكن تحريكها» و«أُعيدت بالفعل» ثلاث حالات ينبغي التحقق من كل منها على حدة.
لن أتعامل مع التفسير الوارد في هذا التحقيق بشأن أنشطة السلسلة على أنه الاستنتاج النهائي الذي أصدرته Ledger بشأن الحادثة. فلدى الإحصاءات والتحليلات التي تقدمها جهة التحقيق نطاق رصدها الخاص، بينما يجيب تحقيق الشركة الرسمي في الأجهزة عن أسئلة أخرى: في أي مرحلة تسرّبت المفاتيح، ومن هم المشترون المتضررون، وكيف يمكن اتخاذ إجراءات تستهدفهم. وإذا خلطنا بين هذين النوعين من الأدلة، فقد تبدو الأرقام أكثر اكتمالًا، لكننا نعرّض أنفسنا للمبالغة في الجزم بالأسباب.
وبالمقارنة مع نطاق إيقاف المبيعات الوارد في الجزء السابق، تضيف هذه المرة بيانات عن العناوين المجمدة والأرصدة، ومحطات التغير اللاحق في القيود، والحد الزمني للّقطة الواردة في التقرير. والخطوة التالية التي من شأنها أن تغيّر التقييم هي ظهور سجلات جديدة قابلة للتحقق بشأن فرض القيود أو رفعها، وتفاصيل ملموسة عن إعادة الأموال، وتحديد رسمي للمرحلة التي وقع فيها الخلل. وإلى أن تظهر هذه الأدلة، يظل التجميد تقدمًا في الإجراءات، أما عودة الأموال إلى حسابات الضحايا فتحتاج إلى إثبات مستقل.
تناول الجزء السابق إيقاف Ledger الاحترازي للمبيعات عبر قناة CryptoBilis: ففي 9 أكتوبر، الساعة 21:32 بتوقيت بكين، أفاد حساب الدعم الرسمي بأنه يحقق في تقارير عن خسائر مالية لدى أشخاص اشتروا منتجات عبر هذا الموزع في جنوب شرق آسيا، وطلب تعليق المبيعات والشحن. وأكد ذلك البيان إجراء التحقيق واتخاذ تدابير بشأن قناة التوزيع، لكنه لم يعلن في النص الرئيسي المتاح للقراءة عن المبلغ النهائي للخسائر أو آلية الهجوم. وعند إعادة قراءة الأمر الآن، لا يزال من غير الممكن تعميم وقف المبيعات والقول إن جميع منتجات الأجهزة قد اختُرقت.
أما الجديد هذه المرة فهو الأرقام المتعلقة بالتجميد، كما وردت في تحقيق Bitquery الأصلي على السلسلة. يذكر التقرير أن Tether فرضت قيودًا على 37 عنوانًا مرتبطًا بين 9 أكتوبر، الساعة 12:09 و14:10 بالتوقيت العالمي المنسق (UTC)، أي بين 20:09 و22:10 بتوقيت بكين، وأن 20 عنوانًا منها كانت تحتوي على نحو 10 ملايين USDT إجمالًا. يشير الرقم 37 إلى عدد العناوين التي خضعت للإجراء، بينما يشير الرقم 20 إلى عدد العناوين التي كان لديها رصيد من USDT في ذلك الوقت؛ ولا ينبغي اعتبارهما عددًا لمجموعة واحدة من الضحايا.
ويسجل التقرير أيضًا أنه عند الساعة 15:30 UTC، أي 23:30 بتوقيت بكين، رُفعت القيود عن أربع محافظ صُنّفت على أنها جزء من حلقات الوساطة في التداول خارج المنصات. وهذا تذكير بأن مرور الأموال عبر عنوان ما لا يثبت تلقائيًا أن مالك ذلك العنوان هو المهاجم؛ فقد يتولى العنوان أيضًا التعامل بأصول تخص أشخاصًا آخرين. وينبغي الاستدلال على حركة الأموال على السلسلة، وملكية العناوين، وتحديد المسؤولية، كلٌّ بأدلته الخاصة؛ فلا يصح الحكم على أحد اعتمادًا على سهم تحويل واحد.
يعود مخطط حالة الأموال في التقرير إلى 9 أكتوبر، الساعة 16:45 UTC، أي 10 أكتوبر، الساعة 00:45 بتوقيت بكين. وما قرأته عند الساعة 12:41 هذه المرة هو لقطة تاريخية لتلك الحالة، وليس أرصدة السلسلة في هذه اللحظة. أما ما إذا كانت الأموال قد واصلت التحرك لاحقًا، أو توسع نطاق التجميد أو رُفعت القيود، أو جرت إعادة إصدار الرموز وردّ الأموال، فيجب التحقق منه عبر سجلات جديدة على السلسلة وإعلانات عن الإجراءات؛ فلا يمكن تحويل مخطط ثابت من الليلة الماضية إلى استنتاج آني.
قد يقلل التجميد مبدئيًا من مخاطر مواصلة تحريك رموز محددة، لكنه لا يعني أن جميع الأصول التي كانت بحوزة الطرف الآخر خضعت للقيود نفسها. فإمكانيات التصرف تختلف باختلاف الأصول وآليات إصدارها؛ وحتى إذا أمكن تتبع الأموال، فهذا لا يعني أن السيطرة عليها عادت إلى أصحابها الأصليين. «يمكن العثور عليها» و«لا يمكن تحريكها» و«أُعيدت بالفعل» ثلاث حالات ينبغي التحقق من كل منها على حدة.
لن أتعامل مع التفسير الوارد في هذا التحقيق بشأن أنشطة السلسلة على أنه الاستنتاج النهائي الذي أصدرته Ledger بشأن الحادثة. فلدى الإحصاءات والتحليلات التي تقدمها جهة التحقيق نطاق رصدها الخاص، بينما يجيب تحقيق الشركة الرسمي في الأجهزة عن أسئلة أخرى: في أي مرحلة تسرّبت المفاتيح، ومن هم المشترون المتضررون، وكيف يمكن اتخاذ إجراءات تستهدفهم. وإذا خلطنا بين هذين النوعين من الأدلة، فقد تبدو الأرقام أكثر اكتمالًا، لكننا نعرّض أنفسنا للمبالغة في الجزم بالأسباب.
وبالمقارنة مع نطاق إيقاف المبيعات الوارد في الجزء السابق، تضيف هذه المرة بيانات عن العناوين المجمدة والأرصدة، ومحطات التغير اللاحق في القيود، والحد الزمني للّقطة الواردة في التقرير. والخطوة التالية التي من شأنها أن تغيّر التقييم هي ظهور سجلات جديدة قابلة للتحقق بشأن فرض القيود أو رفعها، وتفاصيل ملموسة عن إعادة الأموال، وتحديد رسمي للمرحلة التي وقع فيها الخلل. وإلى أن تظهر هذه الأدلة، يظل التجميد تقدمًا في الإجراءات، أما عودة الأموال إلى حسابات الضحايا فتحتاج إلى إثبات مستقل.