شارة التدقيق، ربما أغلى دواء وهمي في عالم العملات المشفرة.
وضعت شركة أمن البلوك تشين Hacken الأرقام على الطاولة في تقريرها للربع الثالث، الذي نشرته هذا الأسبوع: سرق القراصنة 1.18 مليار دولار من مشاريع العملات المشفرة في الربع الثالث، عبر 107 حوادث، بزيادة 55% عن الربع السابق.
لكن اللافت ليس إجمالي المبلغ، بل تركيبة الخسائر — إذ وقعت نحو 906.8 مليون دولار (77%) خارج نطاق التدقيق: اختراق مورّدين، وتلويث أدوات التطوير، وعدم تثبيت ترقيعات معلنة منذ وقت طويل، ومكوّنات استُبعدت من التدقيق.
لخّص Andrii Matiukhin، الشريك المؤسس لـ Hacken، الأمر بجملة واحدة: «المشكلة دائمًا في النطاق». عادةً ما يقتصر التدقيق على بضعة عقود ذكية محددة، بينما تظل المحافظ وأنظمة التوقيع والبرمجيات التابعة لأطراف ثالثة خارج نطاقه. يرى المستخدمون شارة «مدقَّق» ويفترضون أن المنصة بأكملها مشمولة، لكن الأموال تُسرق في الواقع عبر مفاتيح ومورّدين وإعدادات لم يختبرها أحد.
ومن أبرز الحوادث هذا الربع: سرقة نحو 387 مليون دولار من Bitget في سبتمبر (بحسب التقارير، بسبب ثغرة في منتج أمني تابع لطرف ثالث امتد أثرها إلى نظام السحب)، ونحو 320 مليون دولار من Liquid Network، ونحو 120 مليون دولار من Tectonic، ونحو 115 مليون دولار بسبب ثغرة في برنامج Coldcard الثابت. أما ثغرات العقود الذكية، فكانت الأكثر عددًا، لكنها الأقل قيمة لكل حادثة — 71 حادثة، بنحو 228 مليون دولار.
والجانب الإيجابي أن آليات الاسترداد تؤتي ثمارها: استُرد أو أُعيد نحو 387 مليون دولار (أعاد مخترقو القبعة البيضاء 272 مليونًا في حادثة Liquid، وأعاد مُدقّقو Cronos المعاملات المرتبطة بـ Tectonic)، كما تكفّل المشغّلون بتغطية نحو 410 ملايين دولار. أما المبلغ الذي لم يُسترد فيبلغ نحو 384 مليون دولار فقط، أي ما يزيد قليلًا على 30%.
في رأيي، التدقيق ليس بلا فائدة؛ فهو يحمي «منطق الشيفرة»، لكن القراصنة يستهدفون الآن «الأشخاص وسلسلة التوريد والمفاتيح». وهناك معيار واحد يمكن للمستثمرين الأفراد الاستناد إليه: لا تتعاملوا بعد الآن مع عبارة «مدقَّق» كأنها حصانة من الخسائر، وانتبهوا أكثر إلى ما إذا كان الفريق يواصل تثبيت الترقيعات، ويوفر مكافآت للإبلاغ عن الثغرات، ويستخدم التوقيع المتعدد ومفاتيح الأجهزة، وغيرها من ممارسات التشغيل والصيانة.
في المرة القادمة التي ترى فيها لافتة كبيرة تقول «خضع للتدقيق»، تذكّر أن تسأل: ما الجزء الذي خضع للتدقيق تحديدًا؟
هل ستطّلع على تقرير تدقيق المشروع، أم ستكتفي بالنظر إلى العائد؟
#黑客 #安全审计 #الأمان
ما سبق لا يشكّل نصيحة استثمارية. أجرِ بحثك بنفسك (DYOR)، فالتداول ينطوي على مخاطر.
وضعت شركة أمن البلوك تشين Hacken الأرقام على الطاولة في تقريرها للربع الثالث، الذي نشرته هذا الأسبوع: سرق القراصنة 1.18 مليار دولار من مشاريع العملات المشفرة في الربع الثالث، عبر 107 حوادث، بزيادة 55% عن الربع السابق.
لكن اللافت ليس إجمالي المبلغ، بل تركيبة الخسائر — إذ وقعت نحو 906.8 مليون دولار (77%) خارج نطاق التدقيق: اختراق مورّدين، وتلويث أدوات التطوير، وعدم تثبيت ترقيعات معلنة منذ وقت طويل، ومكوّنات استُبعدت من التدقيق.
لخّص Andrii Matiukhin، الشريك المؤسس لـ Hacken، الأمر بجملة واحدة: «المشكلة دائمًا في النطاق». عادةً ما يقتصر التدقيق على بضعة عقود ذكية محددة، بينما تظل المحافظ وأنظمة التوقيع والبرمجيات التابعة لأطراف ثالثة خارج نطاقه. يرى المستخدمون شارة «مدقَّق» ويفترضون أن المنصة بأكملها مشمولة، لكن الأموال تُسرق في الواقع عبر مفاتيح ومورّدين وإعدادات لم يختبرها أحد.
ومن أبرز الحوادث هذا الربع: سرقة نحو 387 مليون دولار من Bitget في سبتمبر (بحسب التقارير، بسبب ثغرة في منتج أمني تابع لطرف ثالث امتد أثرها إلى نظام السحب)، ونحو 320 مليون دولار من Liquid Network، ونحو 120 مليون دولار من Tectonic، ونحو 115 مليون دولار بسبب ثغرة في برنامج Coldcard الثابت. أما ثغرات العقود الذكية، فكانت الأكثر عددًا، لكنها الأقل قيمة لكل حادثة — 71 حادثة، بنحو 228 مليون دولار.
والجانب الإيجابي أن آليات الاسترداد تؤتي ثمارها: استُرد أو أُعيد نحو 387 مليون دولار (أعاد مخترقو القبعة البيضاء 272 مليونًا في حادثة Liquid، وأعاد مُدقّقو Cronos المعاملات المرتبطة بـ Tectonic)، كما تكفّل المشغّلون بتغطية نحو 410 ملايين دولار. أما المبلغ الذي لم يُسترد فيبلغ نحو 384 مليون دولار فقط، أي ما يزيد قليلًا على 30%.
في رأيي، التدقيق ليس بلا فائدة؛ فهو يحمي «منطق الشيفرة»، لكن القراصنة يستهدفون الآن «الأشخاص وسلسلة التوريد والمفاتيح». وهناك معيار واحد يمكن للمستثمرين الأفراد الاستناد إليه: لا تتعاملوا بعد الآن مع عبارة «مدقَّق» كأنها حصانة من الخسائر، وانتبهوا أكثر إلى ما إذا كان الفريق يواصل تثبيت الترقيعات، ويوفر مكافآت للإبلاغ عن الثغرات، ويستخدم التوقيع المتعدد ومفاتيح الأجهزة، وغيرها من ممارسات التشغيل والصيانة.
في المرة القادمة التي ترى فيها لافتة كبيرة تقول «خضع للتدقيق»، تذكّر أن تسأل: ما الجزء الذي خضع للتدقيق تحديدًا؟
هل ستطّلع على تقرير تدقيق المشروع، أم ستكتفي بالنظر إلى العائد؟
#黑客 #安全审计 #الأمان
ما سبق لا يشكّل نصيحة استثمارية. أجرِ بحثك بنفسك (DYOR)، فالتداول ينطوي على مخاطر.