درجة ثقة المجتمعموثّق
خرجت ما يقرب من 4,000 بيتكوين (BTC) في 6 سبتمبر. لم تُسرق بالمعنى التقليدي – بقيت المفاتيح الخاصة آمنة طوال الوقت. وجد المهاجمون شيئًا أسوأ: خلل في البرنامج سمح لهم بصك رموز L-BTC دون وضع أي بيتكوين حقيقي كضمان، ثم استبدال هذه الرموز ببيتكوين حقيقي. وافقت الشبكة على كل سحب. كانت المفاتيح بخير. الأموال اختفت.
كيف عمل الاستغلال بالفعل
تعمل ليكويد على بلوكتشين منفصل عن بيتكوين نفسها. الفكرة كلها هي السرعة والخصوصية – يودع المستخدمون بيتكوين، يحصلون على رموز L-BTC في المقابل، ويتعاملون على شبكة ليكويد الأسرع. من المفترض أن يكون الربط واحد لواحد. لكن الخلل كسر هذا الافتراض على مستوى البرنامج. كانت موافقات السحب تعتمد على أرصدة حسابات غير صحيحة، لذا وقّعت النظام على عمليات استرداد لم يكن وراءها بيتكوين حقيقي. لم يكن المهاجمون بحاجة إلى كسر أي مفاتيح تشفير. كانوا بحاجة فقط إلى إيجاد الفجوة بين ما يعتقد البرنامج أنه موجود وما هو موجود بالفعل – ثم استنزافها.
إنها فئة مزعجة من الثغرات. يعتمد نموذج الأمان لمعظم منصات العملات الرقمية بشكل كبير على إدارة المفاتيح. حافظ على سلامة المفاتيح، حافظ على سلامة الأموال. لم يصمد هذا المنطق هنا، وربما لن يصمد في كل حالة مستقبلية أيضًا. يمكن أن تخلق الأخطاء البرمجية مسارات سحب تتجاوز إطار أمان المفاتيح بالكامل.
في 7 سبتمبر – بعد يوم واحد – أعاد المهاجمون 3,400 بيتكوين. رفضت Blockstream، التي تدير ليكويد، طلب مكافأة مرتبط بالحادث. لذا بقي حوالي 600 بيتكوين من التعرض غير المحلول، على الأقل. لا توجد تفاصيل حول ما كانت عليه المفاوضات. غير واضح ما إذا كان قد حدث أي استرداد إضافي بعد تلك النقطة.
التأمين لا يعني ما يعتقده المستخدمون
هنا يصبح الأمر معقدًا للمستخدمين العاديين. يوجد تأمين على العملات الرقمية، لكنه ليس دعامة بسيطة. تميل السياسات إلى تغطية الشركة ضد فئات معينة من الخسائر – وليس مطالبات العملاء الفردية، وليس الكتاب الكامل للأصول المفقودة. على سبيل المثال، يغطي تأمين الجريمة الخاص بـ Coinbase جزءًا من الأصول الرقمية ضد السرقة، لكنه يحتوي على حدود ولا يغطي كل سيناريوهات الخسارة المحتملة.
لذلك حتى لو كان لدى ليكويد تغطية تأمينية قوية، فهذا لا يعني أن كل مستخدم متأثر سيسترد كامل أمواله. قد يدفع التأمين للشركة. ثم يتعين على الشركة أن تقرر كيفية توزيع ذلك. وقد لا يغطي إجمالي المدفوعات كل شيء.
تلك الفجوة – بين ما يدفعه التأمين وما فقده العملاء – هي المكان الذي يحدث فيه الصراع الحقيقي.
حساب التعويض يصبح معقدًا بسرعة
قل إن شركة توافق على تعويض العملاء. السؤال التالي: تعويض بماذا؟ إذا اتفقوا على مبلغ ثابت بالدولار، وتحرك سعر بيتكوين قبل خروج الأموال، قد ينتهي الأمر بالعملاء بأقل من البيتكوين الذي كانوا يملكونه في الأصل. إذا ارتفع السعر بشكل كبير بين الحادثة وتاريخ الدفع، فإن تسوية بالدولار تعاقب الأشخاص فعليًا على الاحتفاظ ببيتكوين.
يحتاج المزودون إلى أن يكونوا واضحين بشأن هذا من البداية. هل السداد بالعملة الورقية؟ في بيتكوين؟ بأي سعر، في أي تاريخ؟ هذه ليست تفاصيل صغيرة. إنها الفرق بين أن يستعيد العميل موقفه الفعلي وأن يستعيد جزءًا منه.
وهذا منفصل تمامًا عن سؤال المسؤولية. إعادة المهاجمين لـ 3,400 بيتكوين قللت من الضرر الفوري، لكنها لم تجب على من يغطي الباقي. رفض Blockstream لطلب المكافأة ترك هذا السؤال مفتوحًا. تظهر سجلات المعاملات ما تحرك ومتى – لكنها لا تحدد المسؤولية عن سد النقص.
معظم المستخدمين ليسوا في وضع يسمح لهم بتدقيق برنامج المنصة للثغرات. هذه هي الحقيقة. لكن يمكنهم طرح أسئلة مباشرة قبل الإيداع: ما هي سياسة التأمين الخاصة بك؟ هل تغطي خسائر العملاء الفردية أم فقط خسائر الشركة؟ كيف تحسب التعويض إذا حدث خطأ – بالعملة الورقية أم بالعملات الرقمية، وبأي سعر؟ ما هي عمليتك عندما يعيد المهاجمون جزءًا فقط مما أخذوه؟
المنصات التي لا تستطيع الإجابة على هذه الأسئلة بوضوح هي على الأرجح منصات حيث الإجابات ليست جيدة.
لم تتطلب حادثة ليكويد سرقة مفاتيح معقدة. تطلبت العثور على خلل في المنطق الذي يربط إصدار الرموز باحتياطيات بيتكوين الفعلية. هذا نموذج تهديد مختلف عما يتصوره معظم المستخدمين عندما يفكرون في أمان العملات الرقمية – وهو نموذج لا يمكن للأوراق التأمينية ومفاوضات الاسترداد إصلاحه بالكامل بعد وقوع الحدث.
رفضت Blockstream طلب المكافأة. أعاد المهاجمون 3,400 بيتكوين. بقيت الفجوة المتبقية غير محلولة.
الأسئلة الشائعة
ما الذي تسبب في خسارة ليكويد لما يقرب من 4,000 بيتكوين؟
سمح خلل برمجي للمهاجمين بإنشاء رموز L-BTC دون دعمها ببيتكوين حقيقي، ثم استبدال تلك الرموز ببيتكوين فعلي من خلال عمليات سحب معتمدة من الشبكة – بينما بقيت المفاتيح الخاصة آمنة.
هل استردت ليكويد أيًا من البيتكوين المسروق؟
أعاد المهاجمون 3,400 بيتكوين في 7 سبتمبر، بعد يوم واحد من الاستغلال. رفضت Blockstream طلب مكافأة مرتبط بالحادث، مما ترك النقص المتبقي غير محلول.
