استعراض ثغرة سيتوس يكشف عن نقاط الضعف النظامية في أمان صناعة التمويل اللامركزي 

أصدر بروتوكول سيتوس مؤخرًا تقريرًا عن مراجعة أمان الهجمات هاكر، مما أثار تفكيرًا عميقًا في صناعة التمويل اللامركزي حول مسائل الأمان. يكشف التقرير بالتفصيل عن التفاصيل الفنية وعملية الاستجابة الطارئة، لكنه كان غامضًا بعض الشيء عند تفسير جذور الهجوم.

تتركز التقارير على فحص الأخطاء في دالة checked_shlw لمكتبة integer-mate، وتعتبرها مشكلة "سوء فهم دلالي". ومع ذلك، يبدو أن هذا التفسير يبسط للغاية طبيعة الحدث.

عند تحليل مسار هجمات الهاكر بعناية، نجد أن المهاجمين يحتاجون إلى الاستفادة من أربعة شروط في نفس الوقت لتحقيق النجاح: فحص تدفق خاطئ، عمليات إزاحة كبيرة، قواعد التقريب للأعلى، ونقص في التحقق من الجدوى الاقتصادية. من المدهش أن Cetus تحتوي على ثغرات واضحة في كل مرحلة من هذه المراحل.

هذه الحادثة كشفت عن وجود نقص خطير لدى فريق Cetus في الجوانب التالية:

1. ضعف الوعي بأمان سلسلة التوريد. على الرغم من استخدام مكتبات مفتوحة المصدر وشائعة الاستخدام، إلا أنه لم يتم فهم حدود أمان هذه المكتبات والمخاطر المحتملة بشكل كافٍ أثناء إدارة الأصول الضخمة.

2. نقص في قيود الإدخال المعقولة. يسمح بإدخال أرقام فلكية غير تقليدية، دون وضع شروط حدودية مناسبة، مما يظهر غياب الوعي بإدارة المخاطر.

3. مفاهيم خاطئة حول تدقيق الأمان. الاعتماد المفرط على تدقيق الأمان من طرف ثالث، مع تجاهل المسؤولية الذاتية عن أمان النظام.

هذه الحادثة ليست مجرد مشكلة في Cetus، بل تعكس نقاط الضعف الأمنية النظامية التي يعاني منها قطاع التمويل اللامركزي بشكل عام. يعتمد العديد من الفرق بشكل مفرط على التفكير الفني البحت، ويعانون من نقص الوعي بالمخاطر المالية اللازمة.

من أجل تحسين الأمان العام لمشاريع التمويل اللامركزي ، يُنصح باتخاذ التدابير التالية:

1. استقطاب خبراء في إدارة المخاطر المالية لسد الفجوات المعرفية لدى الفريق التقني في المجال المالي.
2. إنشاء آلية تدقيق متعددة الأطراف، لا تركز فقط على تدقيق الكود، بل يجب أيضًا إيلاء أهمية لتدقيق النموذج الاقتصادي.
3. تطوير "حاسة المالية" للفريق، ومحاكاة سيناريوهات الهجوم المختلفة ووضع تدابير للتعامل معها.
4. كن دائمًا يقظًا تجاه العمليات غير العادية، وأنشئ آلية فعالة للتحذير من المخاطر.

مع التطور المستمر لصناعة التمويل اللامركزي، قد تتناقص الأخطاء التقنية البحتة تدريجياً، لكن "أخطاء الوعي" في المنطق التجاري ستصبح تحدياً أكبر. ستحتاج مشاريع التمويل اللامركزي المستقبلية ليس فقط إلى قوة تقنية قوية، ولكن أيضاً إلى فريق لديه فهم عميق لطبيعة العمل وقدرة دقيقة على التحكم. فقط من خلال الدمج العميق بين التقنية والأعمال يمكن الحفاظ على المنافسة والأمان في هذا المجال سريع التطور.