ثغرات العقود الذكية: DAO، DeFi، وهجوم إعادة الدخول

أظهر قطاع التمويل اللامركزي نموًا هائلًا خلال العام الماضي، إذ ارتفع من إجمالي 540 مليون دولار سُجِّلت في مارس من العام الماضي إلى أكثر من 47.6 مليار دولار عند نشر هذا المقال.

لقد فتح نمو مجال DeFi آفاقًا جديدة للمستخدمين والمطورين والصناعة ككل، لكنه جلب أيضًا مخاطر جديدة قد لا يكون المستثمرون على دراية بها، ومع ذلك يتعين عليهم التعامل معها.

تعتمد معظم بروتوكولات DeFi على سلسلة كتل Ethereum. وتُعد Ethereum ثاني أكبر عملة مشفرة من حيث القيمة السوقية، ولا تتفوق عليها سوى Bitcoin نفسها. وبفضل Ethereum، ولا سيما استخدام العقود الذكية المكتملة تورينغًا، أصبحت مشاريع البلوك تشين أكثر قابلية للبرمجة.

العقود الذكية هي في الواقع عقود ذاتية التنفيذ. يتيح الكود المنصوص عليه في هذه العقود تنفيذ المعاملات والاتفاقيات المحددة مسبقًا تلقائيًا بين أطراف مستعارة الهوية ضمن حدود معينة ومن دون أي مخاطر على الطرف المقابل.

وقد طُرحت هذه العقود ذاتية التنفيذ لأول مرة عام 1994 على يد Nick Szabo، مبتكر Bit Gold، سلف Bitcoin، ومكّنت من إنشاء العديد من التطبيقات اللامركزية التي فتحت فرصًا جديدة لمستخدمي العملات المشفرة، سواء كان ذلك إصدار العملات المستقرة المبنية وفق خوارزمية محددة، أو إصدار قروض العملات المشفرة، أو القروض المضمونة بالعملات المشفرة. وهذا مجرد جزء بسيط.

أصبحت المنصات اللامركزية للتداول ذات نماذج الإدارة اللامركزية ممكنة فقط بفضل هذه العقود الذكية، ونتيجة لذلك ظهر عالم رقمي جديد، نتجت عنه منتجات مثل Binance Smart Chain وPolkadot وAvalanche.

تتيح بروتوكولات مثل Aave وCompound وUniswap و1 Inch.exchange للمستخدمين كسب الفائدة على استثماراتهم وتداول الأصول المشفرة وحتى الأدوات المعقدة مثل المشتقات اللامركزية.

لقد أنشأت كل هذه المنتجات الجديدة والمثيرة قطاع DeFi المذكور أعلاه، الذي يقتحم عالم المال بقوة ويتيح للمؤسسات المالية التقليدية جني الأموال.

هذه الرقعة الجديدة من الاحتمالات، كما ذُكر، تسيطر عليها الشيفرة التي يكتبها مطورو العقود الذكية. معظم مشاريع DeFi مفتوحة المصدر بل وتخضع لمراجعة الأقران والتدقيق، بينما لا يفعل البعض الآخر ذلك. وغالبًا ما يمكن، حتى في الشيفرة المختبرة، العثور على ثغرات تتيح استخدام متجهات هجوم غير معروفة، مما يؤدي إلى خسائر هائلة للشركات والمستخدمين العاديين.

كيف تؤثر ثغرات العقود الذكية على المستخدمين؟

لضمان أمان العقود الذكية، لا يمكنك إلا تحليل جميع خيارات تنفيذها. وعند تنفيذ العقود الذكية بلغات مكتملة تورينغًا، يجب التأكد من أن البرنامج لا يحتوي على أخطاء، وهذا يكاد يكون مستحيلًا. لذلك، عند العمل على العقود الذكية أو إنشائها، سيتعين عليك تدقيقها.

يمكن أن تكون الثغرات في عقود Ethereum الذكية ذات عواقب كارثية. وعلى الرغم من أن بروتوكولات مثل Aave تُدار من قبل محترفين وتُفحص بانتظام، فإن الثغرات الأمنية لا تزال تشكل خطر هجومٍ اختراقي يؤدي إلى خسارة أصول مشفرة بمبالغ ضخمة، مما يؤثر سلبًا في ثقة المستثمرين بالبروتوكول، ثم يتسبب لاحقًا في خسائر مالية للمستخدمين/الشركات وتقلبات في الأسعار.

تنشأ هذه الثغرات من تعقيد لغة العقود الذكية الأصلية في Ethereum ونظام المحاسبة الخاص بها، والذي، بخلاف نظام UTXO في Bitcoin، أكثر مرونة بكثير، وبالتالي أكثر عرضة لثغرات إضافية ومتجهات هجوم.

وبما أن Solidity وغيرها من لغات العقود الذكية جديدة ومعقدة للغاية، فسيكون من غير الصحيح إلقاء اللوم على المطورين في هذه الثغرات.

يوجد أكثر من 80 منصة DeFi مبنية على Ethereum، مع إطلاق مشاريع جديدة كل أسبوع. ومن المؤكد أن العقود الذكية التي تستخدمها ستحتوي على ثغرات، خاصة إذا لم تكن مكتوبة ومختبرة بشكل صحيح.

كشفت تحقيقات أجرتها CyberNews أن ما يقرب من 3,800 عقد ذكي على Ethereum كانت تحتوي على ثغرات تتيح للمهاجمين سرقة أصول مشفرة بقيمة لا تقل عن مليون دولار. وأظهرت الدراسة أيضًا أن هناك 13 نوعًا مختلفًا من الثغرات، وأربعة منها يُرجح جدًا أن يستغلها المخترقون.

اكتشفت منصة Avalanche الشهيرة ثغرة في وقت سابق من هذا العام. فخلال إطلاق منصة وتطبيق التداول اللامركزي الجديد Pangolin ومع ازدحام الشبكة، وقع خطأ أدى إلى فشل في الإصدار، ما تسبب في حالة من الذعر الواسع. كما اتضح لاحقًا أن منصات أخرى معروفة، بما في ذلك Solana وFlow وZilliqa وFantom، كانت لديها أيضًا أخطاء في عقودها.

DAO وهجوم Re-Entry

يُعد Re-entry ثغرة شائعة في العقود الذكية. وعلى الرغم من أنها قد توجد في العقود الذكية على منصات بلوك تشين مختلفة، فإنها ترتبط غالبًا بسلسلة Ethereum.

اشتهرت هجمات Re-entry على نطاق واسع بسبب الاختراق الشهير لـ DAO في عام 2016 على سلسلة Ethereum.

وقع أول وأكثر خطأ كارثي في عقد ذكي عام 2016. فقد كانت المنظمة اللامركزية المستقلة (DAO) تعمل على العقود الذكية وجمعت أكثر من 150 مليون دولار في ذلك الوقت.

تمكن مهاجم مجهول من سحب الإيثر (ETH) الذي جُمِع عبر التمويل الجماعي. وبلغ حجم الضرر أكثر من 150 مليون دولار.

وتُعد هذه الحادثة المثال الأشهر لهجوم Re-entry. ويعني الهجوم المتكرر أن المهاجم يرسل معاملة، ونتيجة لذلك يُنفذ العقد مرارًا وتكرارًا حتى تُستنزف موارد حساب العقد.

إذا كان المشروع الذي طلب التمويل قد حصل على دعم كافٍ من مجتمع DAO، فقد كان بإمكان عنوان Ethereum الخاص بهذا المشروع سحب الإيثر من DAO. لكن لسوء حظ DAO، نقلت آلية التحويل الإيثر إلى عنوان خارجي قبل تحديث حالته الداخلية وقبل ملاحظة أن الرصيد قد جرى تحويله بالفعل. وقد سمح ذلك للمهاجمين بسحب المزيد من الإيثر.

وبالمجمل، جرى سحب 3.6 مليون ETH من محافظ DAO. والآن، تبلغ قيمة هذه الرموز أكثر من 6.4 مليار دولار. وأدى هذا الاختراق إلى fork صلب قسّم الشبكة إلى قسمين: Ethereum وEthereum Classic.

بينما اتفق البعض على أن الأفضل هو تخفيف الضرر ونقل الأموال إلى عناوين يمكن لمالكيها الأصليين الوصول إليها، جادل آخرون بأن عدم قابلية البلوك تشين للتغيير لا ينبغي انتهاكه، وإلا فسيؤدي ذلك إلى انقسام تقني وأيديولوجي داخل المجتمع.

أما سلسلة Ethereum الأصلية، المعروفة الآن باسم Ethereum Classic، فقد تركت الرموز المسروقة من DAO في يد المخترق، مفضلةً عدم القابلية للتغيير، بينما سمحت Ethereum للمجتمع بالتصويت وأعادت الأموال إلى مالكيها الأصليين، واضعةً إجماع البلوك تشين في المقام الأول.

أمثلة أخرى على هجمات Re-entry بخلاف DAO

ومع ذلك، فقد تم العثور على هذه الثغرات أيضًا في العديد من اختراقات العقود الذكية، بما في ذلك عدة بروتوكولات DeFi.

تشمل بعض الأمثلة على اختراقات DeFi الأخيرة التي تضمنت ثغرات Re-entry ما يلي:

• Fei Protocol: في أبريل 2022، وقع بروتوكول Fei ضحية لاختراق بقيمة تقارب 80 مليون دولار، وهو اختراق تمكّن بسبب استخدام شيفرة طرف ثالث تحتوي على ثغرات Re-entry.
• Paraluni: استخدم اختراق عقد Paraluni الذكي في مارس 2022 ثغرة Re-entry وضعف التحقق من بيانات المستخدم غير الموثوقة لسرقة رموز بقيمة تقارب 1.7 مليون دولار.
• Grim Finance: في ديسمبر 2021، استُغلت ثغرة إعادة الدخول إلى دالة safeTransferFrom في Grim Finance للحصول على رموز بقيمة تقارب 30 مليون دولار.
• The SIREN Protocol: استُغلت ثغرة إعادة الدخول في العقود الذكية لمجمّع AMM الخاص ببروتوكول SIREN في سبتمبر 2021 للحصول على رموز بقيمة تقارب 3.5 مليون دولار.
• CREAM Finance: في أغسطس 2021، استخدم مهاجم ثغرة استغلال إعادة تسجيل للوصول إلى نظام تكامل رمز AMP في CREAM Finance لسرقة رموز بقيمة نحو 18.8 مليون دولار.

وهذه ليست سوى أمثلة قليلة على اختراقات DeFi التي استغلت ثغرات أثناء إعادة الدخول. وعلى الرغم من أن هذا خطر قديم ومعلن عنه على نطاق واسع، فإن ثغرات Re-entry لا تزال تظهر حتى اليوم في عقود ذكية جديدة.

لنلخص

ستعتمد ثقة المستخدمين العاديين والمستثمرين الكبار في مفهوم DeFi نفسه على كيفية تعامل صناعة العملات المشفرة مع تحديات من هذا النوع.

ما يحدث الآن أمر طبيعي، وسيؤدي قريبًا إلى رفع مستوى أمان مشاريع البلوك تشين، لكننا سنظل نرى دوريًا أخبارًا عن هجمات اختراق ناجحة.