درجة ثقة المجتمعموثّق
سرق القراصنة 1.18 مليار دولار في 107 حوادث خلال الربع الثالث. وتمثل هذه الأرقام زيادة بنسبة 55% مقارنة بالربع السابق، فيما جاء الجزء الأكبر منها — 906.8 مليون دولار — من جوانب في البنية التحتية للعملات المشفرة لا تشملها عمليات التدقيق عادة.
وقالت Hacken، شركة أمن بلوكتشين التي أعدت التقرير، إن الرقم ليس كبيرا فحسب، بل يشير أيضا إلى ثغرة خطيرة في ثقافة التدقيق بالقطاع. تخضع المنصات للمراجعة، وتحصل على علامة اعتماد، ويفترض العملاء أن العملية بأكملها خضعت للتدقيق. لكن عمليات التدقيق تشمل عادة عقودا ذكية مختارة. أما المحافظ وأنظمة التوقيع والمفاتيح الإدارية والبرمجيات التابعة لجهات خارجية، فكثيرا ما تُستثنى من نطاقها. وهذا تحديدا هو المكان الذي يواصل المهاجمون إيجاد سبل للتسلل منه. وربطت Hacken مبلغ 906.8 مليون دولار مباشرة بهذه الثغرات: اختراق موردين أو أدوات للمطورين، وعدم تثبيت إصلاحات أمنية كانت متاحة، ومكونات لم تشملها ببساطة أحدث مراجعة.
مشكلة النطاق ليست جديدة، لكنها تزداد كلفة باستمرار.
قال أندري ماتيوخين، الشريك المؤسس وعضو مجلس الإدارة في Hacken: «المشكلة دائما هي نطاق التدقيق». وأضاف أن إجراء مراجعات شاملة تشمل كل مكون متصل بالأموال أو باقتصاديات المشروع قد يكون مكلفا، ولذلك تميل الفرق إلى حصر التدقيق في ما تعتبره الأجزاء الحيوية من الخدمة. وهذا منطق مفهوم، لكنه يترك أموالا حقيقية عرضة للخطر.
Bitget وبائع منتجات Ledger بين أكبر الخسائر
كانت أكبر حادثة رصدتها Hacken الهجوم الذي استهدف منصة تداول العملات المشفرة Bitget في سبتمبر. استغل القراصنة ثغرة في منتج أمني تابع لجهة خارجية، وتمكنوا من اختراق البنية التحتية لعمليات السحب. وخسرت Bitget ما لا يقل عن 352 مليون دولار. لم يكن السبب خللا في عقد ذكي، بل الأنظمة المحيطة بالعقود — أي الأدوات والبنية التحتية الخارجية التي نادرا ما تفحصها عمليات التدقيق.
وسلطت حالة منفصلة الضوء على مخاطر الموردين. وقالت Ledger إنها عثرت على غرسة تجسس غير مصرح بها في جهاز باعته CryptoBilis، وهي شركة إعادة بيع في جنوب شرق آسيا. وبلغت الخسائر الناجمة عن الحادثة نحو 93 مليون دولار. لم تكن الغرسة في أجهزة Ledger نفسها، بل في سلسلة التوريد — وهذا يكاد يكون التعريف الدقيق لمشكلة نطاق التدقيق.
وتعرضت الجسور وبروتوكولات الربط بين الشبكات لهجمات أيضا. فقدت ثلاثة منها أكثر من 35 مليون دولار خلال هجوم استغلال استمر ست ساعات في يوليو. وخسرت AFX Trade مبلغ 24 مليون دولار بعدما استولى المهاجمون على مفاتيح المدققين لديها. وسجلت Liquid Network خسائر بلغت 319 مليون دولار. وخسرت Tectonic ما لا يقل عن 75 مليون دولار. أما برمجيات محفظة Coldcard، فتكبدت خسائر بنحو 114 مليون دولار. أنظمة مختلفة ونقاط تعرض مختلفة للهجمات، لكن القاسم المشترك بينها هو ضوابط الوصول والبنية التحتية الداعمة، لا الشيفرات المحددة للعقود التي راجعها المدققون.
أكثر من 700 مليون دولار تعتمد على ترتيبات مفاتيح مشكوك فيها
فحصت Hacken أيضا 12 منصة تداول للمشتقات وأسواق تنبؤات. وما وجدته في اثنتين منها لم يكن استغلالا جاريا لثغرة، بل مشكلة في التصميم. إذ اعتمدت أصول للعملاء تتجاوز قيمتها 700 مليون دولار في هاتين المنصتين إما على ترتيب من أربعة مفاتيح يتطلب ثلاثة توقيعات، أو على مفاتيح إدارية يحتفظ بها أشخاص لم تُكشف هوياتهم للعامة.
وحرص ماتيوخين على توضيح الفرق. وقال: «لسنا على علم بوجود خلل نشط في أنظمة أي من المنصات التي راجعناها». لم يكن مصدر القلق أن أحدا تمكن بالفعل من اختراقها، بل أن ترتيبات المفاتيح لم تكن آمنة بما يكفي بالنظر إلى حجم الأصول المعنية. والفرق كبير، لكنه لا يبعث على الاطمئنان بالضرورة.
لم تكشف Hacken عن اسمي المنصتين. وقال ماتيوخين إنه لم يقدم لهما تقييما مفصلا قبل نشر التقرير.
تأخر تثبيت الإصلاحات ومشكلة التتبع المستمرة
إلى جانب ثغرات النطاق، أشارت Hacken إلى التأخر في تثبيت التحديثات بوصفه فئة منفصلة من المخاطر. فمعرفة وجود ثغرة أمر، وإصلاحها فعليا أمر آخر — خصوصا عندما تستخدم سلاسل بلوكتشين متعددة البرنامج نفسه، لكنها تحدّثه وفق جداول زمنية مختلفة. تحصل بعض السلاسل على الإصلاح بسرعة، فيما تظل أخرى مكشوفة لأسابيع أو أشهر إضافية.
وقال ماتيوخين إن الفرق تصنف أحيانا ثغرة حرجة على أنها منخفضة الأولوية، فتؤخر إصلاحها أو تتجاهله تماما. ولا يمكن لتدقيق أُجري قبل عام أن يأخذ في الحسبان ما اكتُشف منذ ذلك الحين. وترى Hacken أن التتبع المستمر للثغرات الأمنية وتثبيت الإصلاحات في الوقت المناسب ليسا أمرين إضافيين اختياريين، بل التزامان أساسيان على كل شركة تحتفظ بأموال العملاء.
بالنسبة إلى المستثمرين، ربما لا تعني علامة التدقيق بقدر ما يبدو. فقد تشمل ثلاثة عقود ذكية ولا شيء غيرها. ويمكن أن تظل المحافظ والبنية التحتية للتوقيع والمفاتيح الإدارية وبرمجيات الموردين خارج المراجعة وخارج نطاق الاعتماد.
ورفض ماتيوخين الكشف عن اسمي المنصتين اللتين تحتفظان بأكثر من 700 مليون دولار وفق الترتيبات التي أشارت إليها Hacken.
الأسئلة الشائعة
كم سرق القراصنة في الربع الثالث وفقا لتقرير Hacken؟
أحصت Hacken خسائر بلغت 1.18 مليار دولار في 107 حوادث، بزيادة 55% عن الربع السابق.
إلى ماذا يشير تحديدا مبلغ 906.8 مليون دولار؟
عزت Hacken مبلغ 906.8 مليون دولار إلى خسائر مرتبطة باختراق موردين أو أدوات للمطورين، أو عدم تثبيت إصلاحات أمنية، أو مكونات لم يشملها نطاق أحدث مراجعة أمنية.
ما الحادثة المنفردة التي تسببت في أكبر خسارة خلال الربع الثالث؟
كان الهجوم الذي استهدف Bitget في سبتمبر الأكبر، إذ خسرت منصة التداول ما لا يقل عن 352 مليون دولار بعدما استغل القراصنة ثغرة في منتج أمني تابع لجهة خارجية للوصول إلى البنية التحتية لعمليات السحب.
