الرئيس التنفيذي لـOpenZeppelin يؤكد عدم أمان DeFi: نموذج التدقيق مات للتو
قال مانويل أراوز، المؤسس المشارك لـ OpenZeppelin، لجمهوره الأسبوع الماضي إن DeFi لم تعد آمنة لأن الذكاء الاصطناعي بلغ مستوى يتجاوز الإنسان في اكتشاف ثغرات العقود الذكية. الشركة التي أسسها تكتب مكتبات الأمان التي تستوردها شريحة ضخمة من مشاريع إيثيريوم افتراضياً. حين يُعلن الرئيس التنفيذي لـ OpenZeppelin أن DeFi غير آمنة، فإن النقاش حول نموذج التدقيق ينتهي عند هذا الحد.
رصدت تقارير التدقيق طوال أربع سنوات في LCX. الجيدة منها كثيفة ومحددة النطاق وصريحة في حدودها. لكنها مجمّدة في الزمن أيضاً. البروتوكول الذي دقّقته يوم الثلاثاء ليس البروتوكول الذي يعمل يوم الجمعة، بعد أن تُرسل الحوكمة تغيير إعداد، أو تُحدَّث نسخة تبعية، أو يُوصَّل أوراكل جديد. ما يقوله أراوز، بحسب ما نقله CoinDesk، هو أن جانب المهاجم في هذا الاختلال حصل للتو على ترقية بمقياس رتبة كاملة.
في هذه الأثناء، تجاوزت الأصول المسروقة من بروتوكولات DeFi خلال الاثني عشر شهراً الماضية 1.1 مليار دولار. هذا الرقم ليس مشكلة صيد للثغرات. إنه مشكلة في تصميم النظام.
لماذا يهم إعلان الرئيس التنفيذي لـ OpenZeppelin أن DeFi غير آمنة
أراوز ليس دخيلاً يُطلق انتقادات مجانية على الصناعة. لقد ساعد في بناء معاييرها.
أنماط ERC-20 وERC-721 وAccessControl التي يعتمدها كل بروتوكول جاد تقريباً مردّها إلى مكتبات OpenZeppelin. حين يقول ذلك المؤسس إن نموذج الأمان معطوب، فإن كلامه يحمل ثقلاً لا يحمله خيط عشوائي على تويتر. صدى مقولة مانويل أراوز عن اختراق الذكاء الاصطناعي الخارق جاء لأن صاحبها دفع ثمن النموذج القديم بنفسه.
قائمة مختصرة بما يعترف به هذا الإقرار فعلياً:
- عمليات التدقيق اللحظية لم تعد قادرة على مواكبة الوتيرة التي تكتشف بها وكلاء الذكاء الاصطناعي مسارات هجوم جديدة.
- الحوافز الاقتصادية على جانب المهاجمين تتوسع الآن مع قدرة النموذج، لا مع أعداد المدققين البشريين.
- حتى قواعد الشفرة التي دققتها شركات من الصف الأول أطلقت ثغرات قابلة للاستغلال في 2025 و2026.
نموذج تدقيق DeFi أصبح عتيقاً في 2026، لا في 2030
كان نموذج التدقيق القائم على تقرير PDF مجهَداً أصلاً. الذكاء الاصطناعي جعل هذا الإجهاد واضحاً للعيان.
تدقيق Solidity التقليدي يستغرق من أسبوع إلى أربعة أسابيع من المراجعة البشرية، ثم تقرير، وعقد رسوم ثابتة. الناتج لقطة زمنية. أما المهاجم فلديه الآن وكيل لا يكل، يستطيع الاختبار العشوائي وإعادة تشغيل حالة الشبكة الرئيسية ومطابقة الأنماط مع آلاف من عمليات الاستغلال السابقة دون توقف. هذا هو التفاوت الذي يصفه Aráoz حين يقول إن الذكاء الاصطناعي بات يتفوق على البشر في الأمن الهجومي.
مثال حديث وملموس: إساءة تهيئة LayerZero DVN التي كلّفت Kelp DAO 292 مليون دولار لم تكن ثغرة في Solidity، بل كانت انجراف في الإعدادات بين حالة مدققة وحالة شغّالة. لا يرصد أي تدقيق PDF ذلك مساء الجمعة حين تدفع الفرق التشغيلية تغييراً.
أعتقد أن أبسط صياغة لذلك: يُخبرك التدقيق أن الشفرة كانت على الأرجح آمنة يوم مراجعتها. لكنه لا يُخبرك أن النظام آمن الآن.
ما الذي يغيّره فعلاً ماسح ثغرات العقود الذكية بالذكاء الاصطناعي
الجانب الدفاعي تحرّك أيضاً، لكن بوتيرة أبطأ من الجانب الهجومي. هذه الفجوة هي جوهر المشكلة.
النمط المفيد الذي أراه في بيئات الإنتاج لا يشبه "استبدال المدقق" بقدر ما يشبه "منح كل بروتوكول خصماً دائماً":
- وكلاء ذكاء اصطناعي يعيدون اختبار البايت كود المنشور عشوائياً بعد كل إجراء حوكمة، لا عند النشر فحسب.
- مراقبو الثوابت الذين يرصدون الحالة الحية ويفعّلون قواطع دائرة حين تنحرف الأرقام، لا حين ينتبه إليها إنسان على Discord.
- منصات مكافآت اكتشاف الثغرات المرتبطة بوكلاء مستقلين يرسلون النتائج ويصنّفونها على مدار الساعة.
Forta، وCantina التابعة لـ Spearbit، وDefender الخاص بـ OpenZeppelin تسير في هذا الاتجاه منذ سنوات. الإشارة التي يبعثها Aráoz هي أن هذا لم يعد مستوى المميزات. إنه الحد الأدنى.
الأمن المستمر لبروتوكولات DeFi، لا الفحوصات السنوية
القياس الذي يتبادر إلى ذهني باستمرار هو القياس الطبي. مراجعة ما قبل الإدراج تشبه الفحص الطبي الدوري. أما الأمن المستمر فيشبه جهاز مراقبة القلب.
في التمويل المنظّم، يوقّع المدقق مرة واحدة في السنة، لكن نظام SIEM وجدار WAF ونظام مراقبة الصفقات تعمل كل ثانية. اعتمد DeFi الجزء المتعلق بالمراجعة السنوية وتجاهل الجزء المتعلق بالرصد المباشر، ثم أبدى استغرابه حين خرج أكثر من مليار دولار من الباب. الدرس المستخلص من عشرين عاماً في أمن السحابة هو أن المراقبة تتفوق على المراجعة في كل دولار يُنفق بعد الأول.
عدة تحولات ملموسة أراهن عليها:
- إعادة تموضع شركات المراجعة كمزودي خدمات مراقبة مستمرة باتفاقيات مستوى الخدمة، لا متاجر تسليم تقارير.
- تسعير شركات التأمين للبروتوكولات بناءً على بيانات الأمن المباشرة، لا آخر ملف PDF.
- أطر حوكمة تشترط إعادة المراجعة عند أي تغيير في المعاملات يتجاوز حداً معيناً.
لا شيء من هذا استثنائي. حلّت Web2 هذه المشكلة قبل عقد من الزمن. DeFi يواجه النسخة الأصعب فحسب، لأن الكود هو الخزنة بعينها.
ما يجب على البروتوكولات فعله فعلياً هذا الربع
إن كنت تدير بروتوكول DeFi وتقرأ هذا، فالواجب ليس خافياً:
- توقّف عن التعامل مع ملف PDF للمراجعة باعتباره الأثر الأمني. عامله كمدخل واحد ضمن منظومة متكاملة.
- اربط أدوات الرصد بالثوابت التي تعنيك: نسب الضمانات، وانحرافات أوراكل، وتغييرات أدوار المسؤولين، ونسب التدفق الداخل والخارج للجسور.
- أقم مفتاح إيقاف الطوارئ الذي اختبرته فعلاً. وظيفة الإيقاف المؤقت التي لم تُفعَّل قط في تدريب هي مجرد ديكور.
- شغّل اختبارات الفحص العشوائي المدعومة بالذكاء الاصطناعي على عقودك المنشورة بجدول منتظم. ليس مرة واحدة. إلى الأبد.
الشركات التي ستتكيف ستبدو أقرب إلى Datadog منها إلى مراجع حسابات من Big Four. أما تلك التي لن تفعل، فستكون عنوان الـ200 مليون دولار التالي.
القراءة الأعمق لتعليق Aráoz هي أن صناعة الأمن قالت أخيراً ما كان يُكتم: منظومة المهاجمين تتراكم وتتضاعف بوتيرة أسرع من منظومة المدافعين منذ عامين، والفجوة باتت الآن واسعة بما يكفي لأن يُقرّ بها أنفسُ الذين بنوا منظومة الدفاع.