إليكم خطأً وقعتُ فيه بنفسي: لم أفهم هذا الأمر منذ البداية.

في التمويل اللامركزي (DeFi)، تُنفَّذ عمليات الإيداع والإقراض والتبادل تلقائيًا بواسطة العقود الذكية، من دون مراجعة بشرية أو خدمة عملاء تستطيع استرداد الأموال التي أُرسلت بالخطأ. إذا كُتب العقد على نحو صحيح، فهو القواعد الأكثر موثوقية؛ أما إذا كُتب على نحو خاطئ، فستُنفَّذ ثغراته هي الأخرى بكل دقة.

تُعدّ إيثيريوم، حيث يوجد $ETH ، واحدة من أوائل سلاسل الكتل العامة التي تدعم العقود الذكية متعددة الأغراض. السعر الحالي 2347.97 (24 ساعة: +0.86%).

▍الكود هو القانون، والثغرات أيضًا

بعد نشر العقد الذكي على السلسلة، يُنفَّذ تلقائيًا وفقًا للكود. وهذا يوفّر الشفافية وإمكانية التنبؤ: يمكن لأي شخص قراءة الكود، وفي العقود غير القابلة للترقية، لا تتغير القواعد لمجرد أن شخصًا ما غيّر رأيه.

وعلى العكس، إذا اكتشف أحدهم ثغرة في الشيفرة واستغلها، فقد تُنقل الأموال خلال بضع معاملات، ويصعب استردادها. ومن الأمثلة على ذلك مشروع The DAO عام 2016: إذ تعرّض العقد لهجوم بسبب ثغرة إعادة الدخول، ثم عالجت إيثيريوم المشكلة عبر انقسام صلب، بينما استمرت السلسلة الأصلية التي لم تنقسم باسم إيثيريوم كلاسيك (ETC).

▍ما الذي يشمله التدقيق بالضبط؟

التدقيق الأمني هو فحص يجريه فريق أمني مستقل لنسخة معينة من الشيفرة في وقت محدد. ويعرض تقرير التدقيق عادةً المشكلات التي عُثر عليها، ودرجة خطورة كل منها، وما إذا كان المشروع قد أصلحها.

تشمل الأمور التي يُتحقق منها عادةً ثغرات إعادة الدخول، وأخطاء التحكم في الصلاحيات، ومشكلات دقة الحسابات، واحتمال التلاعب بالأوراكل وغيرها. يساعد التدقيق على اكتشاف هذه الثغرات الشائعة والحد منها، لكنه يظل مقيدًا بالوقت والموارد البشرية ونطاق التدقيق.

▍لماذا تقع مشكلات رغم إجراء التدقيق؟

أولًا، لا يغطي التدقيق سوى الشيفرة المحددة ضمن نطاقه؛ أما العقود الخارجة عن هذا النطاق والميزات التي تُضاف لاحقًا فلا يشملها. وإذا عُدّلت الشيفرة بعد التدقيق، أو اختلفت النسخة المنشورة فعليًا عن النسخة التي خضعت للتدقيق، فلا يمكن تطبيق النتائج عليها مباشرةً.

ثانيًا، بعض المخاطر لا تكمن في الشيفرة نفسها: فقد يتعطل الأوراكل الذي يعتمد عليه البروتوكول أو بروتوكول آخر، أو تُسرق مفاتيح المسؤول المخوّل بتحديث البروتوكول، أو تُحرّف واجهة الموقع الأمامية وتوجّه المستخدمين إلى توقيع معاملات خبيثة. وكل ذلك قد يؤدي إلى خسائر.

▍ما الذي يمكن للمستخدم العادي فعله؟

عند قراءة تقرير التدقيق، انتبه إلى تاريخه ونطاقه والمشكلات التي لم تُصلح بعد، ولا تكتفِ بعبارة «خضع للتدقيق». ويمكنك أيضًا التحقق مما إذا كان بالإمكان ترقية العقد من طرف واحد، وما إذا كانت صلاحيات الترقية خاضعة لمحفظة متعددة التوقيعات وقفل زمني.

عادةً ما يُنظر إلى البروتوكولات التي تعمل منذ مدة طويلة واجتازت اختبارات استخدام مبالغ كبيرة على أنها أكثر موثوقية، لكن هذا لا يعني أنها خالية من الثغرات. لذلك، لا تودع في منصات التمويل اللامركزي (DeFi) سوى أموال يمكنك تحمل خسارتها، ووزّع المبالغ الكبيرة على بروتوكولات مختلفة، واحرص على إلغاء أذونات البروتوكولات التي لم تعد تستخدمها.

▍كلمتان أخيرتان

التدقيق نقطة انطلاق للأمان، لا خط النهاية. والتعامل مع مخاطر العقود الذكية على أنها تكلفة لا بد من مواجهتها عند المشاركة في التمويل اللامركزي أكثر واقعية من الوثوق بكلمتي «خضع للتدقيق». فالمعرفة قد تساعدك على تجنب الأخطاء، لكنها لا تغني عن إدارة المخاطر.

ما الموضوعات الأخرى التي تود معرفة المزيد عنها؟ أخبرني في التعليقات.