العقود الذكية بروتوكول：من保障 الأمان إلى أدوات الاحتيال

تقوم العملات المشفرة وتقنية البلوكشين بإعادة تعريف مفهوم الحرية المالية، لكن هذه الثورة جلبت أيضًا تحديات جديدة. لم يعد المحتالون يعتمدون فقط على ثغرات تقنية، بل قاموا بتحويل بروتوكول العقود الذكية في البلوكشين نفسه إلى أدوات للهجوم. من خلال الفخاخ الهندسية الاجتماعية المصممة بعناية، يستغلون شفافية البلوكشين وعدم قابليته للتغيير، لتحويل ثقة المستخدمين إلى وسائل لسرقة الأصول. من تزوير العقود الذكية إلى التلاعب بالمعاملات عبر السلاسل، هذه الهجمات ليست فقط خفية وصعبة التتبع، بل تزداد خداعًا بسبب مظهرها "المشروع". ستقوم هذه المقالة من خلال تحليل حالات حقيقية، بالكشف عن كيفية تحويل المحتالين للبروتوكول نفسه إلى وسيلة للهجوم، وتقديم مجموعة من الحلول الكاملة من الحماية التقنية إلى الوقاية السلوكية، لمساعدة المستخدمين على السير بأمان في عالم اللامركزية.

1. كيف يمكن أن تتحول البروتوكولات القانونية إلى أدوات احتيال؟

تم تصميم بروتوكول blockchain لضمان الأمان والثقة، ولكن قام المحتالون باستغلال ميزاته، جنبًا إلى جنب مع إهمال المستخدمين، لإنشاء طرق هجوم خفية متعددة. فيما يلي بعض الأساليب مع أمثلة توضيحية على تفاصيلها التقنية:

(1) تفويض العقود الذكية الخبيثة (Approve Scam)

المبادئ التقنية:

على سلاسل الكتل مثل الإيثيريوم، يسمح معيار ERC-20 للعملات بالتوكن للمستخدمين بتفويض طرف ثالث (عادةً ما يكون عقدًا ذكيًا) لسحب كمية محددة من التوكن من محفظتهم من خلال وظيفة "Approve". تُستخدم هذه الوظيفة على نطاق واسع في بروتوكولات DeFi، مثل بعض منصات DEX أو الإقراض، حيث يحتاج المستخدمون إلى تفويض العقود الذكية لإكمال المعاملات أو الرهن أو تعدين السيولة. ومع ذلك، يستغل المحتالون هذه الآلية لتصميم عقود خبيثة.

طريقة التشغيل:

يخلق المحتالون DApp يتنكر كمشروع قانوني، وغالبًا ما يروجون له من خلال مواقع التصيد أو وسائل التواصل الاجتماعي. يقوم المستخدمون بربط المحفظة ويتم إغراؤهم بالنقر على "Approve"، ويبدو أنه تفويض لمبلغ صغير من الرموز، ولكن في الواقع قد يكون بمبلغ غير محدود (قيمة uint256.max). بمجرد اكتمال التفويض، يحصل عنوان عقد المحتال على الإذن، ويمكنه استدعاء دالة "TransferFrom" في أي وقت، لسحب جميع الرموز المقابلة من محفظة المستخدم.

حالات واقعية:

في بداية عام 2023، أدى موقع تصيد احتيالي متنكّر في شكل ترقية لبعض منصات التداول اللامركزية إلى خسارة مئات المستخدمين لملايين الدولارات من USDT و ETH. تُظهر البيانات على السلسلة أن هذه المعاملات تتوافق تمامًا مع معيار ERC-20، وحتى الضحايا لم يتمكنوا من استرداد أموالهم من خلال الوسائل القانونية، لأن التفويض كان موقعًا طوعًا.

(2) توقيع التصيد (Phishing Signature)

المبادئ التقنية:

تتطلب معاملات البلوكشين من المستخدمين إنشاء توقيع باستخدام المفتاح الخاص لإثبات شرعية المعاملة. عادةً ما تظهر محفظة طلب توقيع، وبعد تأكيد المستخدم، يتم بث المعاملة إلى الشبكة. يستفيد المحتالون من هذه العملية لتزوير طلبات التوقيع وسرقة الأصول.

طريقة التشغيل:

يتلقى المستخدم بريدًا إلكترونيًا أو رسالة فورية تتنكر في شكل إشعار رسمي، مثل "توزيع NFT الخاص بك في انتظار الاستلام، يرجى التحقق من المحفظة". بعد النقر على الرابط، يتم توجيه المستخدم إلى موقع ويب ضار، يطلب منه ربط المحفظة وتوقيع "معاملة التحقق". قد تكون هذه المعاملة في الواقع استدعاء لدالة "Transfer"، تنقل مباشرة ETH أو الرموز من المحفظة إلى عنوان المحتال؛ أو عملية "SetApprovalForAll"، تفوض المحتال بالتحكم في مجموعة NFTs الخاصة بالمستخدم.

حالات حقيقية:

تعرض مجتمع مشروع NFT معروف لهجوم تصيد توقيع، حيث فقد العديد من المستخدمين NFTs بقيمة عدة ملايين دولار بسبب توقيعهم على معاملات "استلام التوزيع المجاني" المزورة. استغل المهاجمون معيار توقيع EIP-712، وقاموا بتزوير طلبات تبدو آمنة.

(3) الرموز الوهمية و"هجوم الغبار" (Dust Attack)

المبادئ التقنية:

تسمح شفافية البلوكشين لأي شخص بإرسال رموز إلى أي عنوان، حتى لو لم يطلب المستلم ذلك بشكل نشط. يستغل المحتالون هذه النقطة عن طريق إرسال كميات صغيرة من العملات المشفرة إلى عدة عناوين محفظة، لتتبع نشاط المحفظة وربطها بالأفراد أو الشركات المالكة للمحفظة. يبدأ المهاجمون بإرسال ما يسمى بـ "غبار العملات"، ثم يحاولون اكتشاف أيها ينتمي إلى نفس المحفظة. أخيرًا، يستخدم المهاجمون هذه المعلومات لشن هجمات تصيد أو تهديدات ضد الضحايا.

آلية العمل:

في معظم الحالات، يتم توزيع "الغبار" المستخدم في هجمات الغبار على شكل توزيع جوي إلى محافظ المستخدمين، وقد تحمل هذه الرموز أسماء أو بيانات وصفية (مثل "FREE_AIRDROP")، مما يعزز رغبة المستخدمين في زيارة موقع معين للاستفسار عن التفاصيل. عادة ما يكون المستخدمون سعداء جداً في محاولة تحويل هذه الرموز، ومن ثم يمكن للمهاجمين الوصول إلى محفظة المستخدم من خلال عنوان العقد المرفق بالرموز. بشكل خفي، تقوم هجمات الغبار باستخدام الهندسة الاجتماعية، وتحليل المعاملات اللاحقة للمستخدم، لتحديد عنوان المحفظة النشطة للمستخدم بدقة أكبر، وبالتالي تنفيذ عمليات احتيال أكثر دقة.

حالات واقعية:

في الماضي، أثرت هجمات غبار العملات التي ظهرت على شبكة إيثيريوم على آلاف المحافظ. فقد بعض المستخدمين أموالهم من ETH و ERC-20 بسبب الفضول والتفاعل.

اثنان، لماذا يصعب اكتشاف هذه الاحتيالات؟

هذه الاحتيالات نجحت إلى حد كبير لأنها مختبئة في الآليات الشرعية للبلوكشين، مما يجعل من الصعب على المستخدمين العاديين تمييز طبيعتها الخبيثة. فيما يلي بعض الأسباب الرئيسية:

• تعقيد التكنولوجيا:

العقود الذكية كود وطلب التوقيع يمكن أن يكون غامضًا وصعب الفهم للمستخدمين غير التقنيين. على سبيل المثال، قد يظهر طلب "Approve" على شكل بيانات سداسية عشرية مثل "0x095ea7b3..."، مما يجعل من الصعب على المستخدمين فهم معناه بشكل مباشر.

• الشرعية على السلسلة:

تُسجل جميع المعاملات على البلوكشين، لذا تبدو شفافة، ولكن الضحايا غالبًا ما يدركون عواقب التفويض أو التوقيع بعد فوات الأوان، وعندها لا يمكن استعادة الأصول.

• هندسة اجتماعية:

يستغل المحتالون نقاط ضعف الإنسان، مثل الجشع ("احصل على 1000 دولار من الرموز مجانًا")، والخوف ("حساب غير طبيعي يحتاج إلى تحقق")، أو الثقة (يتنكر كخدمة العملاء).

• تمويه متقن:

قد تستخدم مواقع التصيد URLs مشابهة لأسماء النطاقات الرسمية (مثل إضافة أحرف إضافية إلى أسماء النطاقات العادية)، وحتى تعزز من مصداقيتها من خلال شهادات HTTPS.

٣. كيف تحمي محفظة العملات المشفرة الخاصة بك؟

تواجه أمان blockchain هذه الحيل التي تتواجد فيها الجوانب التقنية والنفسية معًا، ويتطلب حماية الأصول استراتيجيات متعددة المستويات. فيما يلي تدابير الوقاية المفصلة:

• تحقق من وإدارة الأذونات المصرح بها

الأدوات: استخدم أداة فحص التفويض من متصفح البلوكشين أو منصة إدارة التفويضات المتخصصة للتحقق من سجلات تفويض المحفظة.

العملية: قم بإلغاء التفويضات غير الضرورية بانتظام، خاصةً التفويضات غير المحدودة للعناوين غير المعروفة. قبل كل تفويض، تأكد من أن DApp يأتي من مصدر موثوق.

تفاصيل التقنية: تحقق من قيمة "Allowance"، إذا كانت "غير محدودة" (مثل 2^256-1)، يجب إلغاؤها على الفور.

• تحقق من الروابط والمصادر

الطريقة: أدخل عنوان URL الرسمي يدويًا، وتجنب النقر على الروابط في وسائل التواصل الاجتماعي أو البريد الإلكتروني.

تحقق: تأكد من أن الموقع يستخدم اسم النطاق وشهادة SSL الصحيحة (رمز القفل الأخضر). كن حذرًا من الأخطاء الإملائية أو الأحرف الزائدة.

مثال: إذا تلقيت نسخة معدلة من الموقع الرسمي (مثل إضافة أحرف إضافية أو نطاقات فرعية)، فاشكك في صحتها على الفور.

• استخدام المحفظة الباردة والتوقيع المتعدد

محفظة باردة: تخزين معظم الأصول في محفظة الأجهزة، والاتصال بالشبكة فقط عند الضرورة.

التوقيع المتعدد: بالنسبة للأصول الكبيرة، استخدم أداة التوقيع المتعدد، واطلب تأكيد المعاملات من مفاتيح متعددة، لتقليل مخاطر الأخطاء الفردية.

الفوائد: حتى إذا تم اختراق المحفظة الساخنة، فإن الأصول المخزنة في البرد تظل آمنة.

• تعامل بحذر مع طلبات التوقيع

الخطوات: في كل مرة تقوم بالتوقيع، اقرأ بعناية تفاصيل المعاملة في نافذة المحفظة المنبثقة. بعض المحافظ ستظهر حقل "البيانات"، إذا كان يحتوي على دالة غير معروفة (مثل "TransferFrom")، قم برفض التوقيع.

الأدوات: استخدم وظيفة "فك تشفير بيانات الإدخال" في متصفح blockchain لتحليل محتوى التوقيع، أو استشر خبيرًا تقنيًا.

اقتراح: إنشاء محفظة مستقلة للعمليات عالية المخاطر، وتخزين كمية صغيرة من الأصول.

• مواجهة هجمات الغبار

استراتيجية: عند تلقي رموز غير معروفة، لا تتفاعل. قم بتصنيفها على أنها "بريد مزعج" أو إخفائها.

تحقق: من خلال مستعرض البلوكشين، تأكد من مصدر الرمز، إذا كان إرسال جماعي، كن حذرًا للغاية.

الوقاية: تجنب نشر عنوان المحفظة، أو استخدام عنوان جديد للقيام بعمليات حساسة.

الخاتمة

من خلال تنفيذ التدابير الأمنية المذكورة أعلاه، يمكن للمستخدمين العاديين تقليل مخاطر أن يصبحوا ضحايا لخطط الاحتيال المتقدمة بشكل ملحوظ، ولكن الأمان الحقيقي ليس انتصارًا تقنيًا من جانب واحد. عندما تبني المحفظة الصلبة دفاعًا ماديًا، وتوزع التوقيعات المتعددة مخاطر التعرض، فإن فهم المستخدم لأسس التفويض، وحرصه على السلوك على السلسلة، هو آخر حصن ضد الهجمات. كل تحليل للبيانات قبل التوقيع، وكل مراجعة للصلاحيات بعد التفويض، هي قسم على السيادة الرقمية الخاصة بهم.

في المستقبل، بغض النظر عن كيفية تطور التكنولوجيا، فإن الخط الدفاعي الأكثر أهمية يكمن دائمًا في: تحويل الوعي بالأمان إلى ذاكرة عضلية، وإقامة توازن أبدي بين الثقة والتحقق. فبعد كل شيء، في عالم blockchain حيث الشيفرة هي القانون، يتم تسجيل كل نقرة وكل معاملة بشكل دائم على السلسلة، ولا يمكن تغييرها.