في التمويل اللامركزي (DeFi)، تُنفَّذ عمليات الإيداع والاقتراض والتبادل تلقائيًا بواسطة العقود الذكية، دون مراجعة بشرية، ولا توجد خدمة عملاء يمكنها استرداد الأموال التي حُوّلت بالخطأ. إذا كُتب العقد على نحو صحيح، فهو القاعدة الأوثق؛ أما إذا كُتب على نحو خاطئ، فستُنفَّذ ثغراته أيضًا بكل دقة.

$ETH تعمل على إيثيريوم، إحدى أقدم سلاسل الكتل العامة التي تدعم العقود الذكية العامة. السعر الحالي 2128.02 (خلال 24 ساعة -0.12%).

【الكود هو القانون، وكذلك الثغرات】

بعد نشر العقد الذكي على البلوك تشين، يُنفَّذ تلقائيًا وفقًا للكود. وهذا يوفّر الشفافية وإمكانية التنبؤ: يمكن لأي شخص قراءة الكود، كما أن قواعد العقود غير القابلة للترقية لا تتغير لمجرد أن شخصًا ما غيّر رأيه.

على العكس، إذا اكتشف أحدهم ثغرة في الشيفرة واستغلها، فقد تُحوَّل الأموال خلال بضع معاملات، ويصعب استردادها. ومن الأمثلة على ذلك The DAO في عام 2016: فقد تعرّض العقد لهجوم بسبب ثغرة إعادة الدخول، ثم عالجت إيثيريوم المشكلة عبر انقسام صلب، بينما استمرت السلسلة الأصلية التي لم تنقسم باسم إيثيريوم كلاسيك (ETC).

【ما الذي يشمله التدقيق بالضبط؟】

التدقيق الأمني هو فحص يجريه فريق أمني مستقل لشيفرة إصدار معيّن في وقت محدد. ويعرض تقرير التدقيق عادةً المشكلات المكتشفة، ودرجة خطورة كل منها، وما إذا كان فريق المشروع قد عالجها.

تشمل الأمور الشائعة التي يجري فحصها ثغرات إعادة الدخول، وأخطاء التحكم في الصلاحيات، ومشكلات دقة الحسابات، وإمكانية التلاعب بالأوراكل. يساعد التدقيق على اكتشاف هذه الثغرات الشائعة والحد منها، لكنه يظل مقيدًا بالوقت والموارد البشرية ونطاق التدقيق.

【لماذا تحدث المشكلات رغم إجراء التدقيق؟】

أولًا، لا يشمل التدقيق سوى الشيفرة الواقعة ضمن النطاق المحدد؛ أما العقود خارج هذا النطاق والميزات المضافة لاحقًا فلا يشملها. وإذا عُدّلت الشيفرة بعد التدقيق، أو اختلف الإصدار المنشور فعليًا عن الإصدار الذي خضع للتدقيق، فلا يمكن تطبيق نتائج التدقيق عليه مباشرةً.

ثانيًا، بعض المخاطر لا تكمن في الشيفرة نفسها: فقد يتعطل الأوراكل الذي يعتمد عليه البروتوكول أو بروتوكول آخر، أو تُسرق مفاتيح المسؤولين الذين يملكون صلاحية الترقية، أو تُعدّل الواجهة الأمامية للموقع لتوجيه المستخدمين إلى توقيع معاملات ضارة؛ وكل ذلك قد يؤدي إلى خسائر.

【ما الذي يمكن للمستخدم العادي فعله؟】

عند قراءة تقرير التدقيق، انتبه إلى تاريخه ونطاقه والمشكلات التي لم تُعالج بعد، ولا تكتفِ بعبارة «خضع للتدقيق». ويمكنك أيضًا التحقق مما إذا كان من الممكن ترقية العقد من طرف واحد، وما إذا كانت صلاحيات الترقية خاضعة لتوقيع متعدد وقفل زمني.

غالبًا ما تُعد البروتوكولات التي تعمل منذ مدة طويلة واجتازت اختبار التعامل مع مبالغ كبيرة أكثر موثوقية، لكن هذا لا يعني خلوها من الثغرات. لذلك، لا تضع في DeFi إلا أموالًا تستطيع تحمّل خسارتها، ووزّع المبالغ الكبيرة على بروتوكولات مختلفة، وتذكّر إلغاء الأذونات للبروتوكولات التي لم تعد تستخدمها.

【الخلاصة في جملة واحدة】

التدقيق نقطة انطلاق للأمان، لا نهايته. ومن الواقعي أكثر اعتبار مخاطر العقود الذكية تكلفةً لا بد من تقبّلها عند المشاركة في DeFi، بدلًا من الوثوق بعبارة «خضع للتدقيق». ولا تراهن بكل مدخراتك على مشروع واحد.

ما الموضوع الآخر الذي تودّ الاطلاع عليه؟ أخبرنا في التعليقات.