من يجب أن يدفع ثمن «الإعداد الافتراضي»؟ بعد نصف شهر من سرقة rsETH، الرئيس التنفيذي لـ LayerZero «يتحمل المسؤولية بشكل استباقي»

مقالة: يانغز، تيكاب نيوز

في عالم الويب3 الذي لا ينام أبدًا، كان يوم 18 أبريل يومًا عاديًا في البداية. ومع ذلك، بالنسبة لمسار إعادة الرهن السيولة وبيئة التمويل اللامركزي بأكملها، كانت زلزالًا كافيًا ليُدرج في التاريخ، حيث حدث بشكل سري على السلسلة. في أقل من ساعة، استخدم هاكر (يُقال إنه مجموعة لازاروس) جسر كيلب داو عبر السلسلة لخلق 116,500 rsETH بقيمة حوالي 292 مليون دولار. وبما أن rsETH يُستخدم على نطاق واسع كضمان، لم يسرع الهاكر لبيع الأصول، بل حول هذه الشهادات الهوائية التي لا قيمة لها إلى بروتوكولات اقتراض رئيسية مثل أيف، واستولى على حوالي 236 مليون دولار من ETH، مما دفع بروتوكولات مثل أيف مباشرة إلى هاوية الديون المعدومة.

هذه ليست المرة الأولى التي يتعرض فيها جسر عبر السلسلة للهجوم، لكن هذه المرة كشفت عن جرح قديم في صناعة الويب3: عندما يحدث فراغ بين البنية التحتية الأساسية (طبقة البروتوكول) والبنية العليا (طبقة التطبيقات)، فمن الذي يجب أن يدفع ثمن الأصول المفقودة التي تقدر بملايين الدولارات؟

على مدى أكثر من نصف شهر، تحولت هذه الأزمة إلى معركة علنية حول التقنية والمسؤولية والسلطة. من البداية التي كانت تتسم بالتراشق باللوم، إلى اليوم الذي أعلن فيه الرئيس التنفيذي لـ LayerZero عن تحمله المسؤولية بشكل استباقي، انتهت هذه المرحلة من النقاش حول حدود المسؤولية.

الـ"1/1 DVN" القاتل

لفهم هذا النقاش، يجب تفكيك أساليب هجوم الهاكر. المثير للاهتمام أن الهجوم لم يكن نتيجة لثغرة معقدة في العقود الذكية، بل كان مرتبطًا بمعامل تكوين: 1-of-1 DVN.

ما يُعرف بـ DVN، وهو شبكة المدققين اللامركزية، هو مكون مسؤول عن التحقق من رسائل العبور بين السلاسل في بنية LayerZero V2. تكوين 1-of-1 يعني: أن توقيع مدقق واحد يكفي لاعتبار رسالة العبور قانونية وتنفيذها. والأسوأ من ذلك، أن صلاحية هذه “المفتاح” ليست بيد Kelp بشكل كامل، بل تعتمد على عقد RPC الأساسية. من خلال تسميم عقد RPC وهجوم DDoS، استولى الهاكر على عقدة المدقق الوحيدة، وأرسل لها سجلات تدمير مصدر كاذبة. صدق المدقق ووقع، وبهذا وُجدت أصول ضخمة من العدم.

إذن، من يتحمل المسؤولية عن هذا الخطأ، وهو الـ"1/1 DVN"؟

تبادل اللوم: تصادم منطقين

في البداية بعد الهجوم، كانت الرأي العام يميل إلى لوم LayerZero. كانت وسائل التواصل الاجتماعي مليئة بالسخرية من Kelp DAO: كبرى البروتوكولات التي تدير مئات الملايين من الدولارات، تستخدم “قفل باب ورقي” من نوع 1/1، وهو أمر لا يُغتفر تقريبًا.

لكن، عندما أصدر Kelp بيانًا رسميًا في 21 أبريل، حدث انقلاب درامي في الرأي العام. كانت الحجة الأساسية لـKelp جملة واحدة: إذا كانت الوثائق الرسمية والتكوين الافتراضي نفسه خطيرًا، فالمسؤولية تقع على عاتق من أعدوا الوثائق وضبطوا الإعدادات الافتراضية. ليست مشكلة في تكوين المستخدم، بل خلل في “إرشاد المنتج”. على الرغم من أن الرئيس التنفيذي لـ LayerZero، برايان بيلغرينو، أكد مرارًا أن الأمر يتعلق باختيارات طبقة التطبيق وليس ثغرة في البروتوكول، إلا أن التركيز بدأ يتحول من “عجز التنفيذ” لدى Kelp إلى “تعجرف نظامي” لدى LayerZero — مع علمهم أن التكوين الافتراضي يحمل مخاطر، ومع ذلك جعلوه مثالًا قياسيًا للمبتدئين.

بالإضافة إلى ذلك، زاد صوت المطورين من الطرف الثالث من حدة الجدل. اكتشف مطور Yearn الرئيسي، banteg، من خلال مراجعة تقنية أن دليل البدء السريع لـLayerZero V2 على إيثريوم، BNB Chain، Polygon، Arbitrum، وOptimism يستخدم هذا التكوين الخطير كإعداد افتراضي. وانتقد زاك رينس، مسؤول مجتمع Chainlink، بشكل أكثر حدة: متهمًا LayerZero بأنها تجعل المستخدمين الذين يتبعون إرشاداتها “كبش فداء”، وتخفي ضعف بنيتها التحتية أمام هجمات القراصنة الكبرى.

فمن هو المخطئ حقًا؟ في الواقع، لا أحد كامل، ولا أحد بريء تمامًا. جوهر هذا النقاش هو تصادم منطقين: أحدهما “الأخلاقيات التقنية”: الأدوات محايدة، والمستخدم مسؤول عن خياراته. والآخر “مبدأ الأمان الافتراضي”: أن يكون وضع المنتج الافتراضي في أعلى مستوى من الأمان. يمكن للمستخدمين تقليل الحواجز لسهولة الاستخدام، لكن المنتج لا ينبغي أن يوجه المستخدمين نحو المخاطر.

في هندسة البرمجيات التقليدية، أصبح “الأمان الافتراضي” قاعدة متفق عليها. أنظمة التشغيل تفعيل جدران الحماية بشكل افتراضي، والمتصفحات تمنع النوافذ المنبثقة بشكل افتراضي. هذه الاختيارات ليست بسبب غباء المستخدم، بل لأن المصممين مسؤولون عن توقع “أسوأ سيناريوهات الاستخدام”. لكن في عالم Web3، يعتنق الجميع منطقًا آخر: “أنت مسؤول بنفسك” — مفاتيحك الخاصة، إعداداتك، وخسارتك.

“تحمل المسؤولية” لبريان: انسحاب مدروس

تحت ضغط الرأي العام وسوق رأس المال، أصبح سعر رمز ZRO هو المقياس الحقيقي، حيث انخفض من 1.98 دولار إلى 1.32 دولار. في 5 مايو، اختار برايان بيلغرينو، الذي كان متشددًا سابقًا، أن يرفع الراية البيضاء، قائلاً بصراحة: “كنت مخطئًا”.

هذه المرة، لم يكرر جدل “الحياد التقني”، بل قال إنه وقع في نوع من “اضطراب الإدراك”، ويفترض خطأً أن المستخدمين لديهم الوعي الكافي للتعرف على ضعف تكوين 1/1 وتجنبه. ثم قدم علاجًا لاستعادة السوق: التركيز على دعم الجهات المصدرة للأصول، وتدعيم الأمان بشكل قسري، والانضمام إلى DeFi United للمشاركة بشكل عميق في إعادة بناء rsETH بعد الكارثة.

بالطبع، سر جمال هذا البيان يكمن في “الكلمات غير المكتملة”.

لم يذكر برايان كلمة “تعويض”، ولم يعترف أن Kelp DAO كان بلا خطأ. بل استخدم عبارة ذكية من حيث العلاقات العامة: “لدينا فرصة للتحسن”، محولًا حادثة بقيمة 2.92 مليار دولار إلى مجرد “ندم على عملية السعي نحو التميز”.

من الواضح أن هذا موقف محسوب بدقة. لا تنوي LayerZero — على الأرجح — أن تدفع من جيبها لتعويض الثقب الأسود الذي يقدر بـ3 مليارات دولار، لكنها تتحمل مسؤولية غير مباشرة لوقف الخسائر. تدرك أن كونها زعيمة في مسار العبور بين السلاسل، إذا اكتفت بتقديم الأدوات دون تحمل مسؤولية، فإن حصنها سيكون هشًا. من خلال تحمل المسؤولية بشكل استباقي، فإن LayerZero تبحث عن منصة محترمة لنفسها، وللسعر المتذبذب لرمز ZRO.

الخاتمة

الخسارة التي تبلغ 2.92 مليار دولار ليست مجرد عجز في الحسابات، بل اختبار شامل لثقة صناعة التمويل اللامركزي. والأمر المطمئن هو أن، على الرغم من تبادل اللوم بين البروتوكولات، إلا أن الصناعة أظهرت نوعًا من “المرونة الذاتية” المذهلة.

بصفتها أكثر البروتوكولات تضررًا، لم تبقَ Aave مكتوفة الأيدي. عندما حاولت شركة المحاماة الأمريكية Gerstein Harrow تجميد حوالي 71 مليون دولار من ETH التي استعادتها Arbitrum DAO، قدمت إدارة Aave طلبًا طارئًا للمحكمة لإلغاء إشعار التقييد، بهدف تخفيف أزمة السيولة. وفي الوقت نفسه، تتقدم خطة DeFi United، التي قادتها Aave وشارك فيها العديد من البروتوكولات بشكل تلقائي، بشكل ملحوظ. من خلال استثمارات متعددة وآليات تقاسم الأرباح، جمعت أكثر من 300 مليون دولار، وتعمل على امتصاص الديون المعدومة على منصة Aave بشكل منظم.

هذه الحادثة كانت مكلفة جدًا، لكن إذا أدت إلى احترام البنية التحتية لـ"الحدود الآمنة"، وزيادة وعي المطورين بـ"الإعدادات الافتراضية"، وتعزيز قدرة الصناعة على الإنقاذ الذاتي في الأزمات، فربما تكون هذه الرسوم الدراسية ليست بلا فائدة. عندما خرج برايان بيلغرينو وقال: “لدينا فرصة للتحسن”، وعندما تعاونت DeFi United لملء الثغرات في النظام البيئي، فإنما كانوا يحرسون ليس فقط الديون المعدومة الناتجة عن rsETH، بل آخر أمل للمستخدمين في هذا العالم اللامركزي المليء بالمخاطر.