في الثاني من يونيو، تعرض بروتوكول فيلوكور على شبكة ايثريوم الطبقة الثانية، لينيا، للاختراق، مما أسفر عن خسائر بقيمة 6.8 مليون دولار من الايثريوم. استغل الهجوم خللاً في تدفق الرسوم، مما دفع لينيا لإيقاف العمليات لمدة ساعة في محاولة للحد من الأضرار، وأدى إلى تدوين تقرير تفصيلي للحادث.
بينما يُعد اختراق فيلوكور أول اختراق كبير في يونيو، لم يكن بالتأكيد الأخير. فقد شهد الشهر حدوث ستة اختراقات أخرى لبروتوكولات، مسجلةً إجمالي خسائر قدرها أكثر من 140 مليون دولار، بينما بلغت خسائر يوليو 277 مليون دولار. وكان مايو أسوأ، حيث جنى المهاجمون 373 مليون دولار باستخدام كل شيء من استغلال قروض الفلاش إلى مفاتيح خاصة مخترقة.
تواصل صناعة العملات الرقمية التعايش مع الاختراقات، التي تسللت إلى بروتوكولات التمويل اللامركزي وقُدرت خسائرها بـ6 مليارات دولار. قد يكون هذا الأمر طبيعياً في العالم الرقمي، لكنه ليس كذلك في المجتمع العام. وطالما استمرت هذه المشكلة دون حلول، ستظل أوهام التبني الشامل للويب 3.0 مجرد حلم بعيد.
الحاجة لإعادة التفكير في الأمان
بينما تختلف تفاصيل كل اختراق، هناك نمط مشترك يجمع الحوادث الكبرى: معظم هذه البروتوكولات كانت تحت التدقيق، وغالباً من قِبَل أطراف متعددة. فعلى سبيل المثال، خضعت فيلوكور لتدقيق من زوكيو، سكالبِت، وهاكين، وكانت تراقب في الوقت الذي حدث فيه الاختراق.
بينما للتدقيق وحلول المراقبة دور هام، فإنها قد تجعل المستخدمين والمشاريع يتوقعون أمناً غير واقعي. إذا كانت عدة تدقيقات ومراقبات لا تكفي لوقف المخترقين المتمرسين، فمن الواضح أن هناك حاجة للتفكير مجدداً.
التعلم من المخترقين
يمكن أن تتعلم مشاريع التمويل اللامركزي الكثير من المخترقين، لاسيما في قدرتهم على التفكير خارج الصندوق وحل المشاكل بطرق غير تقليدية. الخطوة الأولى هي تعلم تكتيكات المهاجمين. واحدة من مشاكل التدقيق هي أنها تميل إلى النظر للداخل، مع التركيز على تأمين الشفرة الداخلية بدلاً من تقييم قدرات العدو. على سبيل المثال، تمثل المفاتيح الخاصة المخترقة 20% من جميع نواقل الهجوم؛ وفي مايو، خسرت أليكس لابز 29 مليون دولار بهذه الطريقة.
التدابير الوقائية
رغم وجود العديد من الشركات الأمنية التي تروّج لأدوات مراقبة العملة الرقمية، فإنها غالباً ما تقتصر على تنبيه مشغلي البروتوكولات عند رصد نشاط مشبوه. إذا تم اختراق البروتوكول، يتم تنبيه الفريق بالأخبار السيئة وهذا كل شيء: لا توجد محاولات للتخفيف من الأضرار، أو تحديد المهاجم، أو استراتيجيات هجومية مضادة. قامت شركات المراقبة بتنبيه فيلوكور فوراً عند حدوث الاختراق، لكن أخذت لينيا وقتاً حتى وقفت العمليات على السلسلة لوقف الهجوم.
يجب ألا تعتمد مشاريع التمويل اللامركزي فقط على الأطراف الثالثة لحل جميع تحديات الأمان الخاصة بها. بدلاً من ذلك، ينبغي عليهم بفعالية تعليم أعضاء الفريق على أساليب التصيّد الشائعة وعلامات النشاط المشبوه. وينبغي أيضاً تعليم الأعضاء التقنيين على أحدث نواقل الهجوم، بما في ذلك استغلالات التحكم في الوصول وأخطاء محقق البراهين.
إعادة كتابة الخطط
هناك أيضاً تدابير عملية يمكن أن تتخذها البروتوكولات لضمان عدم وقوعها ضحية. كما لا يمكن للبشر التحكم في الطقس، بل يمكنهم التعامل معه، ينطبق نفس الشيء على الاختراقات.
- تحتاج الفرق إلى حلول أفضل لمنع التهديدات وتحكم أكثر صرامة في العقود الذكية.
- تفهم حلول الأمان أنه من الأفضل عكس المعاملات الضارة على السلسلة بدلاً من التحذير من هجوم قائم.
- الوقاية هي وسيلة توقف الهجوم قبل أن يتم تأكيد المعاملات على السلسلة، وهذه هي التدابير الوقائية التي نحتاجها في النظام البيئي.
على الرغم من فعل كل شيء بجدية من منظور الأمان، لم يكن أمام لينيا سوى خيار واحد عندما لم تستجب فيلوكور للتنبيهات: وقف العمليات. نحتاج إلى أدوات أفضل لإحباط الاختراقات قبل أن تتفاقم إلى استغلالات تبلغ ملايين الدولارات.
هذا واضح: النهج الحالي لأمان بروتوكولات العملات الرقمية لا يعمل، وهناك حاجة لتفكير جذري جديد. السوق بحاجة لمزيد من حلول الأمان التي تمنع النشاط الضار مع الحفاظ على استمرارية الأعمال، لأنه حان الوقت لأن يكون للبروتوكولات قدرات استباقية أفضل، ومنع التهديدات، واستعداد لتعلم من الخصوم.
كما قال صن تزُو، “إذا كنت تعرف العدو وتعرف نفسك، لا تحتاج أن تخاف من نتيجة مئة معركة.”
تحرير بواسطة أندرو هايوارد
