استيقظت فوجدت أن وقف الخسارة قد فُعّل على UNI، فظننت أن إشارة متطرفة ما قد صدرت عن بيانات PCE الأمريكية الليلة الماضية. لكن عندما تحققت، يا له من أمر! يبدو أن أكتوبر حافل بالأحداث حقًا. وبصفتي باحثًا مستقلًا، لم يكن أول ما فكرت فيه هو الشراء عند القاع، بل بادرت إلى تفكيك حادثة الأمن هذه وشرحها لكم:
تُقدّر باينانس حاليًا حجم التأثير المحتمل بنحو 6.3 مليارات دولار (وقد جُمّدت أصول بقيمة نحو 3 مليارات دولار)، وهو حجم لا يمكن تفسيره على أنه مجرد هجوم اختراق عادي. وتشير التحقيقات الأولية إلى أن الهجوم ربما ارتبط باختراق حاسوب محمول لمهندس DevOps، وأن المشكلة تكمن أساسًا في التوقيعات، إذ لم يُعثر حتى الآن على دليل يثبت تسريب المفاتيح الخاصة للمحافظ. وقد صرّح كل من cz@CZ و«الأخت الأولى» @Yi He بوضوح على X بأنهما سيتكفلان بكامل الخسائر عبر صندوق SAFU وأموال الشركة، وأكدا أن أموال المستخدمين آمنة. أنا شخصيًا أثق تمامًا بمسؤولية باينانس وقدرتها على الاستجابة للطوارئ، لكن لا بد من التوقف عند الأمر والتحدث عنه بالتفصيل.
أولًا، يجب التأكيد على أن مبلغ 6.3 مليارات دولار هو التقدير الرسمي الحالي للتأثير المحتمل، وأن التحقيق لا يزال جاريًا؛ لذا لا ينبغي اعتباره مباشرةً المبلغ النهائي المؤكد للأموال المسروقة. أما الجانب الذي يستدعي الحذر فعلًا في هذه الحادثة، فهو أن موضع الهجوم المحتمل قد لا يكون المفاتيح الخاصة بالمعنى التقليدي، بل بيئة التطوير والعمليات الداخلية للشركة. وقد أشار كل منّي ومن العاملين في القطاع إلى هذه المشكلة مرارًا، لكن يبدو أن قطاع العملات المشفرة لا يزال يعاني من ثغرات كثيرة في حماية سلسلة توريد البرمجيات بأكملها ونظام الصلاحيات الداخلية.
وإذا أخذنا في الحسبان أيضًا التسارع الكبير في تطور الذكاء الاصطناعي، فحدود أمان منصات التداول أكثر تعقيدًا بكثير من عنوان محفظة واحد. إذ يشمل نظام التداول الواحد، على الأقل، أجهزة المطورين الطرفية، والنشر الآلي عبر CI/CD، والحاويات والخدمات السحابية، والمصادقة الداخلية وإدارة الصلاحيات، فضلًا عن أنظمة الموافقة على السحب وإدارة المخاطر. وأي خلل في التحكم بالصلاحيات في أي من هذه المراحل قد يتحول إلى مدخل للهجوم.
لذلك أرى أن منظومة الأمان الحقيقية والناضجة لمنصة تداول لا ينبغي أن تقتصر على التشديد على نسبة المحافظ الباردة وعزل المفاتيح الخاصة، بل يجب أن تشمل أيضًا مبدأ الحد الأدنى من الصلاحيات، وأمن الأجهزة، ورصد العمليات غير الاعتيادية، وعزل إجراءات السحب. وبالطبع، لا يزال هذا هو الاتجاه الأولي لتحقيقات باينانس، ولا يمكن بناءً عليه الجزم بأن سلسلة الهجوم كاملة قد كُشفت. كما لا أنصحكم بمساواة مخاطر الثقة في المنصة مباشرةً بالمخاطر التقنية لسلسلة الكتل الأساسية.
هذا كل شيء، DYOR
تُقدّر باينانس حاليًا حجم التأثير المحتمل بنحو 6.3 مليارات دولار (وقد جُمّدت أصول بقيمة نحو 3 مليارات دولار)، وهو حجم لا يمكن تفسيره على أنه مجرد هجوم اختراق عادي. وتشير التحقيقات الأولية إلى أن الهجوم ربما ارتبط باختراق حاسوب محمول لمهندس DevOps، وأن المشكلة تكمن أساسًا في التوقيعات، إذ لم يُعثر حتى الآن على دليل يثبت تسريب المفاتيح الخاصة للمحافظ. وقد صرّح كل من cz@CZ و«الأخت الأولى» @Yi He بوضوح على X بأنهما سيتكفلان بكامل الخسائر عبر صندوق SAFU وأموال الشركة، وأكدا أن أموال المستخدمين آمنة. أنا شخصيًا أثق تمامًا بمسؤولية باينانس وقدرتها على الاستجابة للطوارئ، لكن لا بد من التوقف عند الأمر والتحدث عنه بالتفصيل.
أولًا، يجب التأكيد على أن مبلغ 6.3 مليارات دولار هو التقدير الرسمي الحالي للتأثير المحتمل، وأن التحقيق لا يزال جاريًا؛ لذا لا ينبغي اعتباره مباشرةً المبلغ النهائي المؤكد للأموال المسروقة. أما الجانب الذي يستدعي الحذر فعلًا في هذه الحادثة، فهو أن موضع الهجوم المحتمل قد لا يكون المفاتيح الخاصة بالمعنى التقليدي، بل بيئة التطوير والعمليات الداخلية للشركة. وقد أشار كل منّي ومن العاملين في القطاع إلى هذه المشكلة مرارًا، لكن يبدو أن قطاع العملات المشفرة لا يزال يعاني من ثغرات كثيرة في حماية سلسلة توريد البرمجيات بأكملها ونظام الصلاحيات الداخلية.
وإذا أخذنا في الحسبان أيضًا التسارع الكبير في تطور الذكاء الاصطناعي، فحدود أمان منصات التداول أكثر تعقيدًا بكثير من عنوان محفظة واحد. إذ يشمل نظام التداول الواحد، على الأقل، أجهزة المطورين الطرفية، والنشر الآلي عبر CI/CD، والحاويات والخدمات السحابية، والمصادقة الداخلية وإدارة الصلاحيات، فضلًا عن أنظمة الموافقة على السحب وإدارة المخاطر. وأي خلل في التحكم بالصلاحيات في أي من هذه المراحل قد يتحول إلى مدخل للهجوم.
لذلك أرى أن منظومة الأمان الحقيقية والناضجة لمنصة تداول لا ينبغي أن تقتصر على التشديد على نسبة المحافظ الباردة وعزل المفاتيح الخاصة، بل يجب أن تشمل أيضًا مبدأ الحد الأدنى من الصلاحيات، وأمن الأجهزة، ورصد العمليات غير الاعتيادية، وعزل إجراءات السحب. وبالطبع، لا يزال هذا هو الاتجاه الأولي لتحقيقات باينانس، ولا يمكن بناءً عليه الجزم بأن سلسلة الهجوم كاملة قد كُشفت. كما لا أنصحكم بمساواة مخاطر الثقة في المنصة مباشرةً بالمخاطر التقنية لسلسلة الكتل الأساسية.
هذا كل شيء، DYOR