كيف يكتشف المدققون عملية احتيال DeFi Rug pull: هل يمكنك القيام بذلك بنفسك؟

سرق المتسللون المزيد من العملات المشفرة من منصات التمويل اللامركزي (DeFi) أكثر من أي وقت مضى في عام 2022. تم تحديد ما يقرب من 98 ٪ من جميع الرموز التي تم إطلاقها على DEX Uniswap من DeFi على أنها عمليات سحب البساط.

الأحدث ، Defrost Finance ، أتى ككابوس عيد الميلاد بالنسبة لمستثمري العملات المشفرة ، حيث قضوا على 12 مليون دولار من أموالهم. 

تحدث معظم الاختراقات على منصات DeFi من خلال الاختراقات الأمنية واستغلال التعليمات البرمجية. تحتوي المشاريع التي ينتهي بها الأمر إلى عمليات احتيال لسحب البساط على مشكلات أمنية خطيرة تم السماح لها بالانزلاق، أو ربما لم يتم اكتشافها عن قصد. لمنع مخاطر مماثلة، تعد عمليات تدقيق أمان DeFi أمرًا بالغ الأهمية.

سنكتشف هنا المزيد حول عمليات التدقيق هذه، وكيفية إجرائها، وما إذا كان من الممكن إجراء تدقيق DeFi بنفسك. 

يتم تنفيذ مشاريع DeFi كعقود ذكية معقدة ذاتية التنفيذ، وغالبًا ما تكون شفافة ومفتوحة المصدر. أنها بمثابة اتفاقيات قانونية بين طرفين. وبما أنه لا يوجد كيان مركزي يقف وراءها، فإن أي خطأ صغير في العقود الذكية قد يؤدي إلى عواقب لا رجعة فيها.

هذا يعني أنه يجب ألا يكون هناك مجال للأخطاء في العقود الذكية. تهدف عمليات تدقيق أمان العقد الذكي من DeFi إلى ضمان ذلك.

تقوم عمليات التدقيق الأمني ​​بفحص مدونة العقود الذكية وكيفية تأسيس شروط وأحكام العقود. يبحث التحليل التفصيلي عن العيوب الأمنية والانتهاكات وأخطاء النظام المحتملة في التعليمات البرمجية، لذلك لا يمكن استغلالها. 

تعد عمليات التدقيق الأمني، التي تجريها عادةً أطراف ثالثة، أمرًا حيويًا لضمان أمان ومصداقية المشاريع والحفاظ على نظام بيئي صحي للتمويل اللامركزي.

سحب السجادة هو نوع من عمليات احتيال الخروج التي تعمل في نموذج بسيط: يقوم المطورون بإنشاء بروتوكول DeFi ذو مظهر شرعي، وتشغيله والترويج له حتى يجذب المشروع سيولة كافية، ثم يسحبون الأموال ويختفيون. 

حسنا، ليس دائما. في بعض الأحيان، يلقي المحتالون اللوم على المتسللين لسرقة السيولة ويبقون في العمل حتى المرة القادمة.

لتنفيذ هجوم ، يقوم المحتالون بتضمين تعليمات برمجية ضارة في العقود الذكية. قاموا بتعديلها لمنع المستثمرين من البيع: تعيين الحد الأقصى لرسوم البيع (100٪) ، ومالكي الرموز في القائمة السوداء ، وقفل أموال المستخدمين في عقد.

تتضمن بعض العقود الذكية تشفير "باب خلفي" خبيث فيها ، مما يسمح للمطورين بسحب السيولة.  

في معظم الأحيان ، لا يتم التحقق من العقود الذكية المعدلة من قبل مدققي الأمن ويتم إخفاؤها عن أعين الجمهور. نظرًا لأن معظم العقود على السلسلة متاحة للجمهور ، فإن هناك نقصًا في الشفافية بشأن GitHub جيثب: قد تكون علامة حمراء. 

لا تزال صناعة blockchain والعقود الذكية حديثة العهد نسبيًا ، وكذلك قطاع تدقيق العقود الذكية. تتخصص العديد من الشركات في عمليات تدقيق أمن العقود الذكية ، وتقوم بتطوير أدواتها وتشكيل معرفتها. 

تتطور معايير صناعة أمن العقود الذكية وأفضل الممارسات. على الرغم من ذلك ، يتم استخدام بعض أساليب التدقيق القياسية من قبل مشغلي صناعة التدقيق في DeFi.

عادةً ما تبدأ تحقيقاتهم بتقييم العقد الذكي. يقوم المدقق بتحليل الورقة البيضاء ومنطق العمل والمواصفات الفنية لبروتوكول DeFi لتقدير المخاطر المحتملة وميزات الأمان.

ثم يوجهون انتباههم إلى رمز العقد الذكي. هذا هو الوقت الذي تبدأ فيه مراجعة الكود وتحليله. 

يقوم المدققون بفحص التعليمات البرمجية سطرًا تلو الآخر، بحثًا عن نقاط الضعف على مستويات مختلفة: تلك الحرجة التي يمكن أن تؤدي إلى تسرب السيولة؛ المستوى المتوسط، والذي قد يلحق الضرر جزئيًا بالعقد الذكي؛ والقضايا ذات المستوى المنخفض، والتي تؤثر على أمان العقد بشكل أقل.

يقومون بنشر عدد من تقنيات التدقيق ، بما في ذلك التحليل الآلي واليدوي. لكل منهما عيوبه ومميزاته.

ويعني التدقيق الأمني ​​الآلي فحص الكود باستخدام برنامج التحليل الآلي، الذي يبحث عن الأخطاء في قاعدة بيانات الثغرات المعروفة ويحدد موقعها الدقيق في الكود.

عادةً ما يتم إجراء التدقيق القائم على البرامج قبل التحليل اليدوي لاكتشاف الأخطاء التي قد يغفل عنها البشر. إنه أسرع وأقل استهلاكًا للوقت، ولكن في الوقت نفسه، قد لا يكون دائمًا على دراية بالسياق وبالتالي يفتقد بعض نقاط الضعف. 

يعد التحليل اليدوي للكود هو الملك في تدقيق العقود الذكية وهو الجزء الأكثر أهمية في التدقيق الأمني ​​الشامل والدقيق للكود الذكي. يتم إجراؤها بواسطة خبيرين منفصلين على الأقل لفحص الكود سطرًا تلو الآخر.

الهدف هو التحقق من أن كل التفاصيل الواردة في مواصفات المشروع يتم تنفيذها في العقد الذكي وأنه لا يوجد شيء ينتهك السلوك المقصود أصلاً. 

يقوم المدققون بفحص الكود بحثًا عن السلوك غير المقصود وغير المتوقع، والمشكلات الأمنية الحاسمة، ونقاط الضعف مثل إعادة الدخول، ومعالجة البيانات، والقروض السريعة، وغيرها من عمليات التلاعب التي قد يتم تنفيذها أثناء تفاعل العقد الذكي مع الآخرين.

بالإضافة إلى ذلك، تقوم عمليات التدقيق اليدوية بإجراء عمليات محاكاة لتقييم مدى استجابة العقد الذكي لمشروع DeFi للتهديدات غير المحددة ومدى قدرته على الدفاع عن نفسه ضدها. 

في الجزء الأخير من تحليل الكود اليدوي ، يقارن المدقق منطق العقد الذكي مع وصفه في الورقة البيضاء للمشروع. 

بمجرد تحديد جميع الثغرات الأمنية وإصلاحها ، يقوم المدققون بإجراء عملية تحقق مزدوج لضمان تشغيل الكود الذكي كما هو متوقع.

أخيرًا ، بعد اكتمال التدقيق الأمني ​​، يقوم المدققون بإعداد تقرير شامل. هذا هو المكان الذي يقدمون فيه ملاحظات مفصلة حول ما اكتشفوه. عادةً ما يأتي تقريرهم مصحوبًا بتوصيات حول كيفية إصلاح نقاط الضعف في التعليمات البرمجية المكتشفة للتخفيف من أمان المشروع. 

العقود الذكية هي ابتكار جديد نسبيًا. وتتطور معاييرهم الأمنية وفقًا لذلك. وهذا يعني أنه لا توجد قاعدة ذهبية تضمن السلامة الكاملة للعقود الذكية.

علاوة على ذلك ، ليست كل شركات تدقيق العقود الذكية هي نفسها ، ولا تضمن جميع عمليات التدقيق السلامة. قد يكون لدى المدققين مستويات مختلفة من المهارة وأهداف مختلفة وتكاليف مختلفة.

ناهيك عن حقيقة أن السوق مليء بالمطورين غير الواضحين الذين يقومون بعمليات التدقيق وما زالوا يستفيدون من اسم شركة محترمة. هذا ما حدث لشركة Peckshield، وهي شركة متخصصة في أمن البيانات وتحليل البيانات، منذ أكثر من عام.

مثل هذه المواقف شائعة جدًا في مجال العملات المشفرة. يأخذون اسم مدقق شرعي ومحترم ويضعونه في أوراقهم البيضاء ، قائلين إن بروتوكولهم قد تم تدقيقه.

الطريقة الوحيدة لتجنب مثل هذه الحالات هي التحقق من التأكيد على القنوات الأصلية للمدقق. إذا لم يكن هناك أي شيء، فمن المحتمل أن يكون اسم المدقق قد سُرق. 

تحقق دائمًا من محفظة عملائها لتقييم ما إذا كان المدقق قويًا وذو سمعة طيبة. ابحث في Google عن الحالات للتحقق من سجلات تجربتها، وتحقق مما إذا كان أي من المشاريع التي تم تدقيقها قد تعرض لسحب البساط أو هجمات أخرى.

مع وجود الكثير من الاختراقات والخدع في مجال العملات المشفرة، فمن السذاجة أن نتخيل أن مشاريع التمويل اللامركزي DeFi آمنة دون النظر إليها بمزيد من التفصيل. توفر عمليات تدقيق العقود الذكية طبقة مهمة من الأمان. 

ومع ذلك، حتى الأكثر احترافية لا يضمنون أن مشروع DeFi خالي تمامًا من الأخطاء. العقود الذكية معقدة. إنها تتطلب تحليلاً مفصلاً وشاملاً، وخبرة، وأدوات، والأهم من ذلك، أكثر من زوج من العيون.