في التمويل اللامركزي (DeFi)، تُنفَّذ عمليات الإيداع والاقتراض والتبادل تلقائيًا بواسطة العقود الذكية، من دون مراجعة بشرية، ولا توجد خدمة عملاء تستطيع استرداد الأموال التي أُرسلت إلى عنوان خاطئ. إذا كُتب العقد على نحو صحيح، فهو القواعد الأكثر موثوقية؛ وإذا كُتب على نحو خاطئ، فستُنفَّذ الثغرات فيه أيضًا بكل دقة.

$ETH إيثيريوم هي إحدى أقدم سلاسل الكتل العامة التي تدعم العقود الذكية العامة. السعر الحالي 2533.06 (خلال 24 ساعة +1%).

【الكود هو القواعد، والثغرات أيضًا】

بعد نشر العقد الذكي على البلوكشين، يُنفَّذ تلقائيًا وفقًا للكود. وهذا يوفّر الشفافية وإمكانية التوقّع: يمكن لأي شخص قراءة الكود، والعقود غير القابلة للترقية لا تتغيّر قواعدها لمجرد أن شخصًا ما غيّر رأيه.

وعلى العكس، إذا اكتشف أحدهم ثغرة في الشيفرة واستغلها، فقد تُحوَّل الأموال خلال بضع معاملات فقط، ويصعب استردادها. ويُعدّ مشروع The DAO في عام 2016 مثالًا على ذلك: فقد تعرّض العقد لهجوم بسبب ثغرة إعادة الدخول، ثم عالجت إيثيريوم الأمر عبر انقسام صلب، بينما استمرّت السلسلة الأصلية التي لم تنقسم باسم إيثيريوم كلاسيك (ETC).

【ما الذي يشمله التدقيق تحديدًا؟】

التدقيق الأمني هو فحص يجريه فريق أمني من جهة خارجية لنسخة محددة من الشيفرة في وقت معين. ويُدرج تقرير التدقيق عادةً المشكلات التي عُثر عليها، ودرجة خطورة كل منها، وما إذا كان المشروع قد عالجها بالفعل.

تشمل الأمور الشائعة التي يجري فحصها ثغرات إعادة الدخول، وأخطاء التحكم في الصلاحيات، ومشكلات دقة الحسابات، واحتمال التلاعب بالأوراكل. يساعد التدقيق في اكتشاف هذه الثغرات الشائعة والحد منها، لكنه يظل مقيدًا بالوقت والموارد البشرية ونطاق التدقيق.

【لماذا قد تحدث مشكلات رغم إجراء التدقيق؟】

أولًا، لا يشمل التدقيق إلا الشيفرة الواقعة ضمن نطاق محدد؛ فالعقود الخارجة عن هذا النطاق والميزات التي تُضاف لاحقًا لا تكون مشمولة. وإذا عُدّلت الشيفرة بعد التدقيق، أو اختلفت النسخة المنشورة فعليًا عن النسخة التي خضعت للتدقيق، فلا يمكن تطبيق نتائج التدقيق عليها مباشرةً.

ثانيًا، لا تكمن بعض المخاطر في الشيفرة نفسها: فقد تتسبب مشكلات في الأوراكل أو في بروتوكولات أخرى يعتمد عليها البروتوكول، أو سرقة مفتاح المسؤول الذي يملك صلاحية الترقية، أو التلاعب بواجهة الموقع وتوجيه المستخدمين إلى توقيع معاملات خبيثة، في خسائر.

【ما الذي يمكن للمستخدم العادي فعله؟】

عند الاطلاع على تقرير التدقيق، انتبه إلى تاريخه ونطاقه والمشكلات التي لم تُعالج بعد، ولا تكتفِ بعبارة «خضع للتدقيق». ويمكنك أيضًا التحقق مما إذا كان من الممكن ترقية العقد من طرف واحد، وما إذا كانت صلاحية الترقية خاضعة لتوقيع متعدد وقفل زمني.

غالبًا ما تُعدّ البروتوكولات التي تعمل منذ مدة طويلة واجتازت اختبارات التعامل مع مبالغ كبيرة أكثر موثوقية، لكن هذا لا يعني خلوّها من الثغرات. لذلك، لا تودع في التمويل اللامركزي (DeFi) إلا أموالًا يمكنك تحمّل خسارتها، ووزّع المبالغ الكبيرة على بروتوكولات مختلفة، وتذكّر إلغاء الأذونات للبروتوكولات التي لم تعد تستخدمها.

【كلمة أخيرة】

التدقيق بداية الطريق إلى الأمان، وليس نهايته. ومن العملي أكثر أن تتعامل مع مخاطر العقود الذكية على أنها تكلفة لا بد من مواجهتها عند المشاركة في التمويل اللامركزي، بدلًا من الوثوق بعبارة «خضع للتدقيق». أنا في الماضي: أندفع أولًا ثم أرى. أنا الآن: أقرأ التعليمات أولًا. تحقّق من المعلومات من مصادر متعددة قبل أن تتصرف، ولا تعتمد على كلام شخص واحد فقط.

ما الموضوع الذي تودّ معرفة المزيد عنه؟ اترك تعليقًا.