في التمويل اللامركزي (DeFi)، تُنفَّذ عمليات الإيداع والاقتراض والتبادل تلقائيًا بواسطة العقود الذكية، من دون مراجعة بشرية أو خدمة عملاء تستطيع استرداد الأموال التي حُوِّلت إلى وجهة خاطئة. إذا كُتب العقد على نحو صحيح، فهو أكثر القواعد موثوقية؛ أما إذا كُتب على نحو خاطئ، فستُنفَّذ ثغراته أيضًا بكل دقة.

$ETH إيثيريوم هي إحدى أقدم سلاسل الكتل العامة التي تدعم العقود الذكية متعددة الأغراض. السعر حاليًا 2449.49 (24h +2.02%).

▍الشفرة هي القواعد، والثغرات جزء منها أيضًا

بعد نشر العقد الذكي على السلسلة، يُنفَّذ تلقائيًا وفقًا للشفرة. وهذا يوفّر الشفافية وإمكانية التنبؤ: يستطيع الجميع قراءة الشفرة، والعقود غير القابلة للترقية لا تتغير قواعدها لمجرد أن شخصًا ما غيّر رأيه.

على العكس، إذا اكتشف أحدهم ثغرة في الشيفرة واستغلها، فقد تُحوَّل الأموال في بضع معاملات، ويصعب جدًا استردادها. ومن الأمثلة على ذلك The DAO في عام 2016: فقد تعرّض العقد لهجوم بسبب ثغرة إعادة الدخول، ثم عولج الأمر عبر انقسام صلب في إيثيريوم، بينما استمرت السلسلة الأصلية التي لم تشهد الانقسام باسم إيثيريوم كلاسيك (ETC).

▍ما الذي يشمله التدقيق تحديدًا؟

التدقيق الأمني هو فحص يجريه فريق أمني مستقل لنسخة محددة من الشيفرة في وقت معين. ويعرض تقرير التدقيق عادةً المشكلات التي تم اكتشافها، ودرجة خطورة كل منها، وما إذا كان المشروع قد عالجها.

تشمل الأمور التي يجري فحصها عادةً ثغرات إعادة الدخول، وأخطاء التحكم في الصلاحيات، ومشكلات دقة الحسابات، واحتمال التلاعب بالأوراكل، وغيرها. يساعد التدقيق على اكتشاف هذا النوع من الثغرات الشائعة والحد منها، لكنه يظل مقيدًا بالوقت والموارد البشرية ونطاق التدقيق.

▍لماذا تحدث المشكلات رغم إجراء التدقيق؟

أولًا، لا يشمل التدقيق سوى الشيفرة المحددة ضمن نطاقه؛ لذا لا يشمل العقود الخارجة عن هذا النطاق ولا الميزات التي تُضاف لاحقًا. وإذا عُدّلت الشيفرة بعد التدقيق، أو اختلف الإصدار المنشور فعليًا عن الإصدار الذي خضع للتدقيق، فلا يمكن تطبيق نتائج التدقيق عليه مباشرةً.

ثانيًا، لا تنبع بعض المخاطر من الشيفرة نفسها: فقد يتعطل الأوراكل أو بروتوكول آخر يعتمد عليه البروتوكول، أو تُسرق مفاتيح المسؤول الذي يملك صلاحية الترقية، أو تُعدّل الواجهة الأمامية للموقع لتوجيه المستخدمين إلى توقيع معاملات ضارة؛ وكل ذلك قد يؤدي إلى خسائر.

▍ما الذي يمكن للمستخدم العادي فعله؟

عند قراءة تقرير التدقيق، انتبه إلى تاريخه ونطاقه والمشكلات التي لم تُعالج بعد، ولا تكتفِ بعبارة «خضع للتدقيق». ويمكنك أيضًا التحقق مما إذا كان من الممكن ترقية العقد من طرف واحد، وما إذا كانت صلاحيات الترقية خاضعة لتوقيع متعدد وقفل زمني.

تُعد البروتوكولات التي تعمل منذ فترة طويلة واجتازت اختبار التعامل مع مبالغ كبيرة أكثر موثوقية عادةً، لكن هذا لا يعني أنها خالية من الثغرات. لذلك، لا تودع في DeFi إلا أموالًا تستطيع تحمل خسارتها، ووزّع المبالغ الكبيرة على بروتوكولات مختلفة، وتذكّر إلغاء الموافقات في البروتوكولات التي لم تعد تستخدمها.

▍كلمة أخيرة

التدقيق نقطة بداية للأمان، لا نهايته. ومن الأجدى اعتبار مخاطر العقود الذكية تكلفةً لا بد من مواجهتها عند المشاركة في DeFi، بدلًا من الوثوق بعبارة «خضع للتدقيق». فكل عائد يقترن بمخاطر مقابلة، لذا فكّر أولًا في أقصى خسارة يمكنك تحملها.

هل سبق لكم أن أسأتم فهم هذه النقطة أيضًا؟