العقود الذكية بروتوكول: المخاطر الخفية وسبل الوقاية

تقوم العملات المشفرة وتقنية البلوك تشين بإعادة تشكيل مفهوم الحرية المالية، لكن هذه الثورة جلبت أيضًا تحديات جديدة. لم يعد المحتالون مقتصرين على استغلال الثغرات التقنية، بل حولوا بروتوكول العقود الذكية للبلوك تشين نفسه إلى أداة هجوم. لقد صمموا بمهارة فخاخ الهندسة الاجتماعية، مستفيدين من شفافية البلوك تشين وعدم قابليته للتغيير، وحولوا ثقة المستخدمين إلى وسيلة لسرقة الأصول. من العقود الذكية المصممة بعناية إلى التلاعب بالمعاملات عبر السلاسل، لا تقتصر هذه الهجمات على كونها خفية وصعبة الكشف، بل تصبح أكثر خداعًا بسبب مظهرها "الشرعي". ستقوم هذه المقالة من خلال تحليل حالات عملية بكشف كيف يحول المحتالون البروتوكولات إلى أدوات هجوم، وتقديم حلول شاملة من الحماية التقنية إلى الوقاية السلوكية، لمساعدتك على الإبحار بأمان في عالم لامركزي.

أ. كيف أصبحت البروتوكولات أدوات احتيال؟

كان الهدف من بروتوكول blockchain هو ضمان الأمان والثقة، ولكن المحتالين استغلوا خصائصه، جنبًا إلى جنب مع إهمال المستخدمين، لخلق طرق هجوم خفية متعددة. فيما يلي بعض الأساليب وتفاصيلها التقنية:

(1) تفويض العقود الذكية الخبيثة

المبادئ التقنية: في بعض سلاسل الكتل، تسمح معايير الرموز المحددة للمستخدمين بتفويض طرف ثالث (عادةً ما يكون عقدًا ذكيًا) لسحب كمية محددة من الرموز من محفظتهم من خلال دالة "Approve". تُستخدم هذه الوظيفة على نطاق واسع في بروتوكولات التمويل اللامركزي، حيث يحتاج المستخدمون إلى تفويض العقود الذكية لإتمام المعاملات أو الرهان أو تعدين السيولة. ومع ذلك، يستغل المحتالون هذه الآلية لتصميم عقود خبيثة.

طريقة العمل: يُنشئ المحتالون تطبيقًا لامركزيًا يتنكر كمشروع قانوني، وعادةً ما يتم الترويج له من خلال مواقع التصيد أو وسائل التواصل الاجتماعي. يقوم المستخدمون بربط محفظتهم ويتم إغواؤهم بالنقر على "Approve"، والذي يبدو للوهلة الأولى أنه يتيح القليل من الرموز، ولكنه قد يكون في الواقع غير محدود. بمجرد الانتهاء من التفويض، يحصل عنوان عقد المحتال على الإذن، ويمكنه استدعاء وظيفة "TransferFrom" في أي وقت، لسحب جميع الرموز المقابلة من محفظة المستخدم.

حالات حقيقية: في أوائل عام 2023، أدت مواقع التصيد التي تتنكر في شكل ترقية لأحد البورصات اللامركزية الشهيرة إلى تكبد مئات المستخدمين خسائر بملايين الدولارات من العملات المستقرة والرموز الأصلية. تُظهر بيانات سلسلة الكتل أن هذه المعاملات تتوافق تمامًا مع معايير الرموز، ولم يتمكن الضحايا حتى من استرداد أموالهم من خلال الوسائل القانونية، لأن التفويض تم توقيعه طواعية.

(2) توقيع الصيد

المبادئ التقنية: تتطلب معاملات blockchain من المستخدمين إنشاء توقيع باستخدام المفتاح الخاص لإثبات صحة المعاملة. عادة ما تظهر المحفظة طلب التوقيع، وبعد تأكيد المستخدم، يتم بث المعاملة إلى الشبكة. يستغل المحتالون هذه العملية لتزوير طلبات التوقيع وسرقة الأصول.

طريقة العمل: يتلقى المستخدم رسالة بريد إلكتروني أو رسالة على منصة التواصل الاجتماعي متنكرة في شكل إشعار رسمي، مثل "عليك استلام إيردروب NFT الخاص بك، يرجى التحقق من المحفظة". بعد النقر على الرابط، يتم توجيه المستخدم إلى موقع ضار، يطلب منه ربط المحفظة وتوقيع "معاملة التحقق". هذه المعاملة قد تكون في الواقع استدعاء لوظيفة "Transfer"، تنقل الأصول الموجودة في المحفظة مباشرة إلى عنوان المحتال؛ أو عملية "SetApprovalForAll"، التي تفوض المحتال بالتحكم في مجموعة NFTs الخاصة بالمستخدم.

حالات حقيقية: تعرض مجتمع مشروع NFT معروف لهجوم تصيد توقيع، حيث فقد العديد من المستخدمين NFTs بقيمة ملايين الدولارات بسبب توقيعهم على معاملات "استلام الإيردروب" المزورة. استغل المهاجمون معيار توقيع محدد لتزوير طلبات تبدو آمنة.

(3) الرموز المزيفة و"هجوم الغبار"

المبادئ التقنية: تسمح شفافية blockchain لأي شخص بإرسال الرموز إلى أي عنوان، حتى لو لم يطلب المستلم ذلك بشكل نشط. يستغل المحتالون ذلك من خلال إرسال كميات صغيرة من العملات المشفرة إلى العديد من عناوين المحفظة لتتبع نشاط المحفظة وربطها بالأفراد أو الشركات التي تمتلك المحفظة. يبدأ الهجوم بإرسال غبار، حيث يتم إرسال كميات صغيرة من العملات المشفرة إلى عناوين مختلفة، ثم يحاول المهاجم معرفة أيها ينتمي إلى نفس المحفظة. بعد ذلك، يستغل المهاجم هذه المعلومات لشن هجمات تصيد أو تهديدات على الضحية.

طريقة التشغيل: عادةً ما يتم توزيع "الغبار" المستخدم في هجمات الغبار على شكل إيردروب إلى محافظ المستخدمين، وقد تحمل هذه الرموز أسماء معينة أو بيانات وصفية، مما يحفز المستخدمين على زيارة موقع ويب للاستفسار عن التفاصيل. قد يرغب المستخدمون في تحويل هذه الرموز إلى نقد، ويمكن للمهاجمين الوصول إلى محفظة المستخدم من خلال عنوان العقد المرفق بالرموز. والأكثر خفية، أن هجمات الغبار يمكن أن تستخدم الهندسة الاجتماعية، حيث تقوم بتحليل معاملات المستخدم اللاحقة، لتحديد عنوان المحفظة النشطة للمستخدم، وبالتالي تنفيذ احتيال أكثر دقة.

حالات حقيقية: ظهرت هجمات "غبار GAS" على شبكة بلوكتشين معينة، مما أثر على آلاف المحفظات. فقد بعض المستخدمين من جراء فضولهم في التفاعل، العملات الأصلية وعملات أخرى.

٢. لماذا يصعب اكتشاف هذه الاحتيالات؟

هذه الاحتيالات ناجحة إلى حد كبير لأنها مخفية ضمن الآليات القانونية للبلوكشين، مما يجعل من الصعب على المستخدمين العاديين التمييز بين طبيعتها الخبيثة. فيما يلي بعض الأسباب الرئيسية:

• التعقيد الفني: كود العقود الذكية وطلب التوقيع غير مفهومين للمستخدمين غير التقنيين. على سبيل المثال، قد يظهر طلب "Approve" كسلسلة من البيانات الست عشرية، ولا يمكن للمستخدمين تقييم معناه بشكل مباشر.

• الشرعية على السلسلة: تُسجَّل جميع المعاملات على البلوك تشين، وتبدو شفافة، لكن الضحايا غالبًا ما يدركون عواقب التفويض أو التوقيع فقط بعد فوات الأوان، وعندها لا يمكن استرداد الأصول.

• الهندسة الاجتماعية： يستغل المحتالون نقاط ضعف الطبيعة البشرية، مثل الجشع ("الحصول على رموز كبيرة مجانًا")، والخوف ("يجب التحقق من الحساب غير الطبيعي")، أو الثقة (التظاهر بأنهم خدمة العملاء).

• التمويه البارع: قد تستخدم مواقع التصيد URLs مشابهة للاسم الرسمي، وحتى تزيد من الثقة من خلال شهادة HTTPS.

ثلاثة، كيف تحمي محفظة العملات المشفرة الخاصة بك؟

في مواجهة هذه الخدع التي تتواجد فيها الحروب النفسية والتقنية، تحتاج حماية الأصول إلى استراتيجيات متعددة الطبقات. فيما يلي تدابير الوقاية التفصيلية:

• تحقق من وإدارة أذونات التفويض

الأدوات: استخدم مدقق التفويض من متصفح البلوكشين أو أدوات الإلغاء المتخصصة للتحقق من سجلات تفويض المحفظة.

إجراء: قم بإلغاء التفويضات غير الضرورية بانتظام، خاصة تلك الممنوحة لعناوين غير معروفة بدون حدود. قبل كل تفويض، تأكد من أن التطبيق اللامركزي يأتي من مصدر موثوق.

تفاصيل تقنية: تحقق من قيمة "Allowance"، إذا كانت "غير محدودة" (مثل 2^256-1)، يجب إلغاؤها على الفور.

• تحقق من الروابط والمصادر

الطريقة: أدخل عنوان URL الرسمي يدويًا، وتجنب النقر على الروابط في وسائل التواصل الاجتماعي أو البريد الإلكتروني.

تحقق: تأكد من أن الموقع يستخدم اسم النطاق وشهادة SSL الصحيحة (رمز القفل الأخضر). كن حذرًا من الأخطاء الإملائية أو الأحرف الزائدة.

• استخدام المحفظة الباردة والتوقيع المتعدد

محفظة باردة: تخزين معظم الأصول في محفظة أجهزة، والاتصال بالشبكة فقط عند الضرورة.

توقيع متعدد: بالنسبة للأصول ذات القيمة الكبيرة، استخدم أداة التوقيع المتعدد، التي تتطلب تأكيد المعاملات من عدة مفاتيح، مما يقلل من مخاطر الخطأ في نقطة واحدة.

• تعامل بحذر مع طلبات التوقيع

الخطوات: في كل مرة تقوم فيها بالتوقيع، اقرأ بعناية تفاصيل المعاملة في نافذة المحفظة. ستظهر بعض المحافظ حقل "البيانات"، وإذا كان يحتوي على دالة غير معروفة (مثل "TransferFrom")، فرفض التوقيع.

الأدوات: استخدام وظيفة فك التشفير في متصفح البلوكشين لتحليل محتوى التوقيع، أو استشارة خبير تقني.

اقتراح: إنشاء محفظة مستقلة للعمليات عالية المخاطر، وتخزين كمية صغيرة من الأصول.

• التعامل مع هجمات الغبار

استراتيجية: عند تلقي رموز غير معروفة، لا تتفاعل معها. قم بتمييزها كـ"نفايات" أو إخفائها.

تحقق: من خلال مستعرض blockchain، تأكد من مصدر الرمز المميز، وإذا كان إرسالاً جماعياً، كن حذراً للغاية.

الوقاية: تجنب الكشف عن عنوان المحفظة، أو استخدام عنوان جديد للعمليات الحساسة.

الخاتمة

من خلال تنفيذ التدابير الأمنية المذكورة أعلاه، يمكن للمستخدمين تقليل مخاطر أن يصبحوا ضحايا لخطط الاحتيال المتقدمة بشكل كبير، لكن الأمن الحقيقي ليس انتصارًا تقنيًا من جانب واحد. عندما تبني المحافظ الصلبة خط دفاع مادي، وتوزع التوقيعات المتعددة مخاطر التعرض، فإن فهم المستخدم لمنطق التفويض وحرصه على السلوك على السلسلة، هو آخر حصن ضد الهجمات. كل تحليل للبيانات قبل التوقيع، وكل مراجعة للصلاحيات بعد التفويض، هي عبارة عن قسم على سيادته الرقمية.

في المستقبل، بغض النظر عن كيفية تكرار التقنية، ستظل الخط الدفاعي الأكثر أهمية يتمثل في: دمج الوعي بالأمان في الذاكرة العضلية، وإقامة توازن دائم بين الثقة والتحقق. فبعد كل شيء، في عالم blockchain حيث الكود هو القانون، يتم تسجيل كل نقرة، وكل معاملة بشكل دائم على السلسلة، ولا يمكن تغييرها.