تمكن قراصنة أخلاقيون من اختراق سلسلة كتل بقيمة 70 مليار دولار بميزانية قدرها 3,000 دولار فقط...
اتضح أنك لست بحاجة إلى ميزانية دولة لتهديد تقنية بلوك تشين بمليارات الدولارات. كل ما تحتاجه هو حوالي 3,000 دولار وعطلة نهاية أسبوع رائعة.
هذا هو الدرس المزعج المستفاد من الكشف الذي نُشر في 4 يوليو، عندما كشفت شركة الأمن السيبراني "هيكسينز" عن ثغرة خطيرة اكتشفتها في "أبتوس" في فبراير الماضي. كانت الثغرة موجودة داخل الآلة الافتراضية "موف"، وهي المحرك الذي يُشغّل جميع العقود الذكية على الشبكة، وكانت خطيرة لدرجة أن "هيكسينز" قدّرت المخاطر النظامية من الدرجة الأولى بنحو 70 مليار دولار. بالنسبة لشبكة تُسوّق لنفسها على أساس السرعة والأمان، فهذا ليس رقمًا يرغب أي شخص في ربطه باسمه. الخبر السار، الذي سنتناوله لاحقًا، هو أنه لم تُفقد أي أموال. أما الخبر السيئ فهو مدى سهولة تغيير ذلك.
تكمن أهمية هذه القصة في أن أبتوس ليست مجرد شبكة اختبار مهجورة، بل هي شبكة من الطبقة الأولى من الطراز الأول، تضم عملات مستقرة حقيقية، وجسورًا فعّالة، وأموالًا حقيقية مُودعة في نظامها البيئي. عندما يُخبرك باحثٌ أن ثغرةً أمنيةً ما قد تصل قيمتها إلى هذا الحد، فهو لا يتحدث فقط عن رموزٍ موجودة في محافظ العملات الرقمية، بل يتحدث عن البنية التحتية التي تربط أبتوس ببقية عالم العملات الرقمية. وقد أنجز من اكتشفوا هذه الثغرة ذلك بميزانيةٍ لا تكفي حتى لشراء جهاز كمبيوتر مخصص للألعاب.
ما وجدوه بالفعل
وصفت شركة هيكسينز المشكلة بأنها "خلل في ذاكرة التخزين المؤقت القديمة" أدى إلى ثغرة أمنية ناتجة عن خلط أنواع البيانات. بعبارة أخرى، يمكن خداع البرنامج ليتعامل مع نوع معين من موارد سلسلة الكتل كما لو كان نوعًا مختلفًا تمامًا. إذا سبق لك أن أعطيت شخصًا مفتاحًا خاطئًا وشاهدته يفتح بابًا لم يكن من المفترض أن يلمسه، فستفهم الفكرة العامة. وفقًا للشركة، يسمح هذا الخلل للمهاجم بالسيطرة على هياكل البيانات وموارد الصلاحيات على سلسلة الكتل، وهي هياكل البيانات الأساسية التي تحدد ملكية البيانات وصلاحياتها. التلاعب بهذه الهياكل يُفقد قواعد الملكية المعتادة معناها.
يُعدّ الالتباس في أنواع البيانات أحد أنواع الأخطاء التي تبدو نظريةً بحتةً حتى تُطبّق على موارد مالية حقيقية. لطالما عانى منها البرمجيات التقليدية لعقود، وقد صُمّمت لغة Move خصيصًا لجعل هذا النوع من الأخطاء صعبًا للغاية. وهذا جزء من سبب كون هذا الكشف مُزعجًا بعض الشيء. تكمن الميزة الأساسية للغة Move في أنها تُعامل الأصول الرقمية كمورد خاص يحميه المُصرّف بعناية، لذا فإنّ ظهور خلل الالتباس في أنواع البيانات في Aptos يُشبه إلى حدٍ ما اكتشاف ثقب في القارب الذي وعد الجميع بأنه لا يغرق.
الجزء المخيف: لقد تطلب الأمر 3,000 دولار لتحقيق ذلك
تتطلب العديد من ثغرات تقنية البلوك تشين موارد مالية ضخمة، أو وصولاً داخلياً، أو سيطرة على جزء كبير من الشبكة. أما هذه الثغرة، كما يُزعم، فلم تتطلب ذلك. تقول شركة هيكسينز إنها حاكت الهجوم في ظروف شبكة حقيقية بنسبة نجاح تتجاوز 90%، باستخدام خادم تكلف حوالي 3,000 دولار أمريكي، ومثّل ما يقارب ثلث مجموعة المدققين. لم تكن هناك أي أذونات خاصة، ولا مساعدة من الداخل، ولا تعاون من أي شخص موجود بالفعل داخل النظام. هذا المزيج هو ما يحوّل فضولاً تقنياً إلى حالة طوارئ حقيقية، لأنه يعني أن عائق الدخول كان شبه معدوم. عندما تُقاس تكلفة اختراق شيء ما بمئات أو آلاف الدولارات، وتُقاس الجائزة بمليارات الدولارات، فإنك تعتمد كلياً على عدم ملاحظة أي شخص آخر للأمر أولاً.
من أين جاء رقم 70 مليار دولار؟
يبدو مبلغ 70 مليار دولار مبالغًا فيه للغاية بالنسبة لسلسلة لا تتجاوز قيمتها السوقية جزءًا صغيرًا من ذلك، لذا يجدر التوضيح. لم يدّعِ هيكسنز أن 70 مليار دولار تتركز مباشرةً على أبتوس. يشمل هذا التقدير كل ما يمكن أن يصل إليه هذا الخلل عبر الروابط التي بنتها العملات الرقمية بهدوء على مدار السنوات القليلة الماضية. يتضمن ذلك القيمة المتداولة عبر الجسور، وأنظمة المراسلة بين السلاسل، وتدفقات إدارة العملات المستقرة، والأصول التي تحتفظ بها منصات التداول المركزية المتصلة بالشبكة. إن عالم العملات الرقمية الحديث مترابط، وأي ثغرة في سلسلة مهمة لا تبقى محصورة داخلها. هذا هو التحذير الحقيقي هنا، وهو ينطبق على نطاق أوسع بكثير من أبتوس وحدها.
الحل الهادئ الذي لم يسمع به أحد حتى الآن
هذا هو الجانب الذي يمنع تحول الأمر إلى كارثة. أبلغت شركة Hexens عن الثغرة الأمنية من خلال برنامج مكافآت اكتشاف الثغرات التابع لشركة Aptos Labs في 25 فبراير، ويقول الفريق إنه تم تطوير حلٍّ لها، واختباره، ونشره على الشبكة الرئيسية في غضون ساعات من اكتشافه. صرّح متحدث باسم Aptos بذلك. CoinDesk لم يتأثر أي مستخدمين أو أموال في أي مرحلة، ولم تُنشر التفاصيل إلا بعد أشهر، وهذا هو بالضبط ما يُفترض أن يكون عليه الإفصاح المسؤول. تقاضى الباحثون أجورهم، وسُدّت الثغرة قبل أن يكتشفها أي شخص ذي نوايا سيئة، واطلع العالم على الأمر عندما أصبح الحديث عنه آمناً.
مع ذلك، يجدر بنا التفكير مليًا فيما كاد أن يحدث. ثغرةٌ كان من الممكن أن تُلحق أضرارًا جسيمة بقيمة 70 مليار دولار من القيمة المرتبطة بالعملات الرقمية، تم سدّها بفضل مكافأة اكتشاف الثغرات واستجابة هندسية سريعة، وليس بفضل الحظ لحظة الهجوم. لو لم يسبق باحثو القراصنة الأخلاقيون اكتشافها، لكانت الأمور مختلفة تمامًا. الدرس المستفاد لكل من يمتلك عملات رقمية هو عدم الذعر بشأن ثغرة Aptos تحديدًا، التي تم إصلاحها الآن، بل إدراك مدى اعتماد أمان هذه الصناعة على مجموعة صغيرة من المخترقين الأخلاقيين الذين يختارون إرسال بريد إلكتروني بدلًا من استنزاف محفظة. إنه خط رفيع، ويجب تذكره في المرة القادمة التي تُخبرك فيها سلسلة الكتل بأنها غير قابلة للاختراق.
---------------
كاتب: دوريان فينيوك
سيلicoن وادي الأخبار
كسر أخبار التشفير
