ملخص سريع
- وتيرة ضرب المخترقين لبروتوكولات العملات المشفرة وDeFi لا تزال في تصاعد.
- فقدان أكثر من 7 مليار دولار بسبب الهجمات على صناعة العملات المشفرة في 2021.
- لماذا يستمر المخترقون في استهداف صناعة العملات المشفرة.
استمرار وتيرة ضرب المخترقين لمساحة DeFi وصناعة العملات المشفرة على التوالي استمرت لتكون مصدراً للقلق للصناعة.
According to reports، وقعت 169 حادثة اختراق للبلوكشين في عام 2021، مع فقدان ما يقرب من 7 مليارات دولار من الأموال للمخترقين. خلال الشهر الماضي، تم الإبلاغ عن لا يقل عن خمس حالات اختراق للعملات المشفرة مع DeFi protocol Cream Finance الأحدث الذي تعرض لهجوم من قبل هؤلاء المخترقين. يُقال إن أكثر من 130 مليون دولار قد سُرقت.
رداً على ذلك، تحدث Cryptopolitan مع دميتري ميشونين، الرئيس التنفيذي والمؤسس في HashEx، وهي شركة بحث وتطوير تركز على دمج البلوكشين في عمليات الأعمال والأمن السيبراني. لدى دميتري خلفية تقنية قوية في الأمن السيبراني والتطبيقات اللامركزية وكذلك خبرة مبهرة في تطوير أنظمة أمن المعلومات.
فيما يلي مقتطفات من المقابلة
س: هل أنت مندهش من عدد عمليات الاختراق والاستغلال التي يواجهها المستخدمون مؤخراً؟
للأسف، لا. نحن نرى أن المزيد والمزيد من الناس يكتبون عقودهم الذكية. لكن غالباً لا يملكون براعة برمجية كافية وفهماً جيداً لـ Solidity - حالياً لغة البرمجة الوحيدة المتوافقة مع Ethereum. امتلاك فهم جيد للغة البرمجة أمر ضروري لإنشاء بروتوكول DeFi موثوق، وعدم معرفة بعض تفاصيلها قد يؤدي بسهولة إلى استغلال وأموال مسروقة.
س: كيف يمكن قبول أو توقيع عقد ذكي يحتوي على كود خبيث أن يؤدي إلى سرقة أصولك؟
يجب على كل مستخدم أن يعرف أن معاملات البلوكشين لا رجعة فيها: بمجرد الموافقة على مبلغ معين من رمز ERC-20 لعقد ذكي ERC-20، سيتم نقله إليه بشكل لا رجعة فيه. قد يكون للعقد كود مصدر موثق دون استغلال، ولكن يمكن أن يحتوي أيضاً على مكتبة غير موثقة كاعتماد. الموافقة على الرموز لعقد كهذا هي مخاطرة كبيرة لأنك لا يمكنك التحقق من كيفية عمل المكتبة.
كان هذا هو الحال في مشروع StableMarket، حيث سُرقت أموال المستخدمين بقيمة لا تقل عن 27 مليون دولار. كان لعقود مشروع StableMarket كود مدقق، ولكن تم نشرها مع مكتبة غير موثقة. كانت هذه المكتبة خبيثة، وسرقت رموز المستخدمين المخزنة في البروتوكول.
مخاطرة أخرى للمستخدمين هي الموافقة على الرموز لعقد ذكي قابل للترقية: مثل هذا العقد قد يتم ترقية تلقائياً بكود خبيث وسرقة الرموز المعتمدة.
غالباً ما توافق تطبيقات الواجهة الأمامية على أقصى مبالغ من الرموز لعقد، وليس فقط مبلغ الرمز الذي سيتم استخدامه. يتم ذلك لدفع رسوم الغاز في معاملة واحدة. إذا أودع المستخدم رموزاً في عقد، فسيحتاج إلى دفع رسوم الغاز إضافية. ولكن إذا تصرف العقد بشكل خبيث، فيمكنه سحب أي مبلغ من الرموز من المحفظة.
لذلك، أفضل ممارسة لأقصى أمان هي دائماً التحقق من مبلغ الموافقة والموافقة فقط على المبلغ المطلوب لعملية العقد.
س: هل المخترقون يصبحون أكثر ذكاءً أم أن مستخدمي العملات المشفرة يصبحون أقل حذراً مع إجراءات الأمن السيبراني الخاصة بهم؟
كلا العبارتين صحيحتان. حقق المخترقون تقدماً جسيماً في استغلال منصات القروض الفلاشية بالتزامن مع بروتوكولات مختلفة لإنشاء واستغلال نقاط الضعف. بحد ذاتها، تلك المنصات الأخرى آمنة في معظم الأوقات، لكن القروض الفلاشية تخلق تعقيداً هيكلياً أكبر، مما يجعل نقاط الضعف أكثر تكراراً.
تعتبر هذه الهجمات معقدة للغاية. حتى تحليلها يستغرق وقتاً طويلاً. كما أن هناك العديد من اختراقات المشاريع التي تحتوي ببساطة على كود ضعيف يحتوي على أخطاء برمجية بسيطة، كان من المرجح جداً أن يتم القضاء عليها لو تم إجراء اختبارات أو تدقيق للكود بشكل صحيح.
جزء من اللوم يقع أيضاً على عاتق المستخدمين، لأن الكثير منهم يعرفون الممارسات الآمنة التي تقلل من المخاطر، مثل التخزين البارد على سبيل المثال. لكنهم غالباً ما يتجاهلونها، فيفقدون صوابهم أمام فرصة يمكن أن تجلب لهم عائد استثمار مضاعف. وأحياناً، ينتهي بهم الأمر ببساطة إلى خسارة أموالهم.
س: كيف يمكن للمستخدمين حماية أصولهم بشكل أفضل على ميتاماسك والتطبيقات اللامركزية المرتبطة بها مثل أوبن سي وديفي؟
أفضل حماية هي عدم تخزين جميع الأصول في المحافظ الساخنة، بل إرسالها إلى المحافظ الباردة: الأخيرة لا تملك وصولاً إلى الإنترنت. من الأفضل تخزين كمية صغيرة فقط من الأصول اللازمة للعمليات في المحافظ الساخنة والاحتفاظ بالباقي في التخزين البارد.
إضافة إلى ذلك، يجب على المستخدمين اتباع قواعد الأمان القياسية: استخدام برامج مكافحة الفيروسات، وتجنب فتح الروابط المشبوهة في رسائل البريد الإلكتروني، واستخدام المصادقة الثنائية عند الإمكان.
س: هل تعتقد أن الاختراقات والاستغلال سيصبحان أكثر شيوعاً مع نمو الصناعة؟
مع نمو الصناعة وإطلاق المزيد من المشاريع، ستواجه المزيد منها خطر الاختراق. لا يمكنك القضاء على جميع الأخطاء في جميع المشاريع، لكن شركات أمن البلوكشين تعمل باستمرار على تقليلها. لا يشمل ذلك فقط تدقيق أكواد المشاريع المصدرية، بل أيضاً تطوير أدوات تحليلية ستساعد في منع ظهور الأخطاء من الأساس، أو على الأقل اكتشافها في المراحل المبكرة من التطوير.
س: ما هو دور هاش إكس في توسع صناعة العملات المشفرة؟
نحن نوضح للناس شفافية وأمان استخدام التطبيقات اللامركزية. منطق عملها معقد وغير واضح بالنسبة للمستخدم العادي لفهمه. أيضاً، لن يثق أي شخص عاقل بماله في شيء لا يفهمه، مثل بينوكيو في حقل المعجزات. نحن نشرح المفاهيم المعقدة بلغة بسيطة ونكشف عن الفخاخ التي يجب على الناس أن يكونوا على دراية بها ويحاولون تجنبها، ونساعد أيضاً المستثمرين المحتملين على اتخاذ قرار مستنير بشأن أموالهم.
ولكن في المقام الأول، نحن شركة تدقيق تركز على التمويل اللامركزي والعملات المشفرة. هذا يعني أننا نقوم بالعديد من عمليات تدقيق العقود الذكية، وبالتالي نساعد مشاريع العملات المشفرة على كسب ثقة المستثمرين، حيث يثق المستثمرون أكثر في المشاريع المحمية جيداً من الأخطاء المكلفة التي قد تضرب مستثمريهم مالياً.
س: ما هي آراؤكم بشأن تحركات مجموعة السبع والرئيس الأمريكي جو بايدن لإنهاء فدية البرمجيات الخبيثة وأمن السيبرانا والاختراقات المتكررة للعملات المشفرة؟
التحسين المستمر لمعايير الأمان هو جزء من روتيننا وأيديولوجيتنا المؤسسية. نسعى لإثارة الثقة في مساحة التمويل اللامركزي التي تفتقر إليها الثقة. وهذه القضية حاسمة في أي مجال تقني، وليس فقط في التمويل اللامركزي. مع الظهور السريع لمنتجات برمجية جديدة، للأسف لا يتم دفع الاهتمام الكافي للجانب الأمني، مما يخلق فرصاً للمخترقين للاستغلال. هناك سببان رئيسيان لهذا: 'البرمجة بالنقر' وقوة عاملة منخفضة الجودة يتم تقديمها بأجور كبيرة بشكل غير ضروري.
هذا جانب سلبي للشركات التقنية سريعة النمو. في هذا البيئة التنافسية الشرسة، تحاول الشركات التفوق على بعضها البعض، وعرض منتجات جديدة وغالباً ما تتغاضى عن قضايا الأمان رغم أهميتها. ونتيجة لذلك، نحصل أحياناً على أنظمة كبيرة، يستخدمها عدد كبير من العملاء، ومع ذلك لا تزال تحتوي على أخطاء برمجية يمكن أن تؤدي إلى فقدان أموال المستخدمين. وأحياناً، يمكن أن تكون عواقب هذه الأخطاء على مستوى قاري.
من هذا المنظور، فإن التدخل الحكومي مبرر تماماً. لو لم تتدخل الحكومات الوطنية في هذه القضايا، فمن سيقوم بالضغط على رجال الأعمال الطامعين وإقناعهم بتكريس الجهود لتدابير الأمان وتطوير البرمجيات بطريقة معقولة؟
إذا بدأ الناس في الإبلاغ عن الاختراقات إلى الوكالات الحكومية، فسيكون لذلك تأثير إيجابي. يمكن للمعلومات في الوقت المناسب أن تساعد في تقليل عواقب الانهيار المحتمل من خلال السماح بتفعيل قنوات احتياطية (يمكن النظر إلى حالة إمدادات النفط للساحل الشرقي للولايات المتحدة كمثال جيد على هذا الممارسة).
المعايير الأمنية الموحدة عبر الصناعة ستفيد أيضاً، إذا تم تطويرها بواسطة خبراء، وليس من قبل أشخاص خارجين عن المجال. حتى في المرحلة المبكرة الحالية من تطوير التطبيقات اللامركزية، نرى مثل هذه المعايير يتم تنفيذها من قبل المدققين الرائد. سيساعد دمج هذه البروتوكولات الجميع: سيجعل البرمجة أسهل، والأكواد أكثر أماناً، وستحمي أيضاً أموال المستخدمين.
س: تحدث عن تأثير هذه الاختراقات على صناعة العملات المشفرة
التغذية الراجعة لصناعة العملات المشفرة هي محاولة للسيطرة على الأموال المسروقة. أعتقد أن هذا أمر جيد. حالياً، لا يمكنك الحصول على جميع وسائل الراحة في العالم الحقيقي عبر العملات المشفرة. هذه الحالة تتغير يوماً بعد يوم، لكنها بعيدة كل البعد عن الكمال. لذلك، لا يزال المخترقون بحاجة إلى جسر بين العملات المشفرة والعملات الورقية لسحب الأموال المكتسبة بشكل غير قانوني.
هذه هي المرحلة التي يمكن فيها تحديد هوية المجرمين. كلما تم العثور على المزيد منهم، قل عدد الراغبين في محاولة القيام بذلك مرة أخرى. يمكن للمرء أن يتذكر كيف كانوا يقطعون أجزاء من الجسم للسرقة في الثقافات الشرقية. مثل هذه التدخلات من وكالات إنفاذ القانون لها تأثير إيجابي تماماً على صناعة العملات المشفرة وسمعتها. هذه الإجراءات تجعل الناس يشعرون بالأمان.
س: الفاعلون السيئون/اللاعبون وراء العديد من هذه الاختراقات في العملات المشفرة، ما هي العقوبات التي توصي بها لردع الآخرين؟
كما قلت من قبل، أنا مؤيد تماماً لعقاب مثل هؤلاء الأفراد. سأعتبر مثل هذه العمليات احتيالاً مالياً بدرجات متفاوتة من الخطورة، وسأطبق عليها إجراءات قانونية مناسبة. لن أحاول وضع قوانين جديدة في هذا الوقت.
س: عالم العملات المشفرة بدون اختراقات شبه مستحيل التحقيق، كيف يمكن لأصحاب المصلحة وصانعي السياسات وكل من له صلة تقليل الهجمات إلى الحد الأدنى؟
لا يمكن تصور أي مجال تقني بدون تهديدات سيبرانية. ولكن عندما نتحدث عن الأعمال التجارية العادية، نرى فقط قمة الجبل الجليدي، وليس الصورة الكاملة. هناك المزيد من الاختراقات التي تحدث دون أن تراها العين لأن الشركات قد تقوض سمعتها إذا أصبح مثل هذا المعرفة علنية. مع العملات المشفرة، كل شيء شفاف ومعروف للعامة، لذا فإن وسائل الإعلام تكتب عن هذه الأشياء بشكل متكرر.
أمن السيبرانا ممارسة متعددة الأبعاد، تشمل الأطر التنظيمية عند نقاط الدخول والخروج من وإلى العملات المشفرة، وتثقيف المستخدمين، وفرق أمن السيبرانا التي تتحقق من الكود، وما إلى ذلك. هذه الصناعة لا تزال صغيرة، مما يوفر فرصة ممتازة لتوجيهها نحو المتجهات الصحيحة للتطوير. بهذه الطريقة، يمكننا الاستفادة من الممارسات الأكثر أماناً منذ البداية، بدلاً من محاولة سد الثغرات في مكان ما على طول الطريق.
لا تكتفِ بقراءة أخبار العملات الرقمية فحسب، بل افهمها. اشترك في نشرتنا الإخبارية. مجانية.
محمود أولوبوروكو
محي الدين يحب الكتابة عن أخبار العملات الرقمية بالإضافة إلى كونه شغوفاً بالعملات المشفرة. لديه مهارة في تحليل القضايا وتحديث الناس بما يحدث حول العالم. وهو يعتقد أن البلوكشين والعملات الرقمية هي أكثر أنظمة الثقة المتبادلة فائدة تم ابتكارها على الإطلاق.
