لماذا يستهدف المخترقون منظومة إيثيريوم باستمرار؟ هل تُعدّ انفتاحية EVM ميزة أم ثغرة أمنية؟
على مرّ السنين، ظلّت إيثيريوم ومنظومة EVM الضخمة التابعة لها من أبرز بؤر هجمات مخترقي البلوك تشين.
والسبب ليس معقدًا.
أولًا، تتمتع الأصول على السلسلة بدرجة عالية من الانفتاح. لا يحتوي ETH الأصلي على مفتاح مركزي لتجميد الحسابات، وبمجرد إتمام المعاملة، يتعذر عادةً التراجع عنها مباشرةً. ورغم إمكانية تتبّع الأموال أو اعتراضها أو استردادها، فإن المعاملات على السلسلة تفتقر بحد ذاتها إلى آلية التراجع المتاحة في الأنظمة المالية التقليدية.
ثانيًا، تنطوي آليات التفويض بطبيعتها على نقاط ضعف قابلة للاستغلال.
بدءًا من approve والتفويض بالتوقيع في ERC-20، مرورًا بـ Permit2، ووصولًا إلى تفويض تنفيذ التعليمات البرمجية للحسابات في EIP-7702، قد يمنح أي تفويض خاطئ أو توقيع ضار من المستخدم المهاجمين منفذًا للتحكم في الأصول.
ثالثًا، تضم منظومة EVM بنية معقدة للغاية من العقود الذكية. تتداخل DeFi والجسور العابرة للسلاسل ومجمعات السيولة والبروتوكولات المختلفة، وكلما زاد حجم الأموال، ازدادت نقاط الهجوم تعقيدًا.
والأمر الأكثر إثارة للقلق هو أن EIP-7702 يوسّع أكثر قدرة الحسابات العادية على تنفيذ التعليمات البرمجية. فإذا فوّض المستخدم حسابه إلى تعليمات برمجية خبيثة، فقد يمتد الخطر ليشمل الحساب بأكمله.
وبالطبع، لا تكمن المشكلة في ETH نفسه، بل في تصميم الصلاحيات ضمن النظام المالي المفتوح، وأمن العقود، وعادات المستخدمين في منح التفويضات.
لقد أسهمت قابلية التركيب في EVM في ازدهار DeFi، لكنها جعلت منه أيضًا مساحة هجوم واسعة يطمع بها المخترقون منذ زمن طويل.
ولعل هذه هي الكلفة الأمنية التي لا بد أن يدفعها التمويل اللامركزي. $ETH
على مرّ السنين، ظلّت إيثيريوم ومنظومة EVM الضخمة التابعة لها من أبرز بؤر هجمات مخترقي البلوك تشين.
والسبب ليس معقدًا.
أولًا، تتمتع الأصول على السلسلة بدرجة عالية من الانفتاح. لا يحتوي ETH الأصلي على مفتاح مركزي لتجميد الحسابات، وبمجرد إتمام المعاملة، يتعذر عادةً التراجع عنها مباشرةً. ورغم إمكانية تتبّع الأموال أو اعتراضها أو استردادها، فإن المعاملات على السلسلة تفتقر بحد ذاتها إلى آلية التراجع المتاحة في الأنظمة المالية التقليدية.
ثانيًا، تنطوي آليات التفويض بطبيعتها على نقاط ضعف قابلة للاستغلال.
بدءًا من approve والتفويض بالتوقيع في ERC-20، مرورًا بـ Permit2، ووصولًا إلى تفويض تنفيذ التعليمات البرمجية للحسابات في EIP-7702، قد يمنح أي تفويض خاطئ أو توقيع ضار من المستخدم المهاجمين منفذًا للتحكم في الأصول.
ثالثًا، تضم منظومة EVM بنية معقدة للغاية من العقود الذكية. تتداخل DeFi والجسور العابرة للسلاسل ومجمعات السيولة والبروتوكولات المختلفة، وكلما زاد حجم الأموال، ازدادت نقاط الهجوم تعقيدًا.
والأمر الأكثر إثارة للقلق هو أن EIP-7702 يوسّع أكثر قدرة الحسابات العادية على تنفيذ التعليمات البرمجية. فإذا فوّض المستخدم حسابه إلى تعليمات برمجية خبيثة، فقد يمتد الخطر ليشمل الحساب بأكمله.
وبالطبع، لا تكمن المشكلة في ETH نفسه، بل في تصميم الصلاحيات ضمن النظام المالي المفتوح، وأمن العقود، وعادات المستخدمين في منح التفويضات.
لقد أسهمت قابلية التركيب في EVM في ازدهار DeFi، لكنها جعلت منه أيضًا مساحة هجوم واسعة يطمع بها المخترقون منذ زمن طويل.
ولعل هذه هي الكلفة الأمنية التي لا بد أن يدفعها التمويل اللامركزي. $ETH
