التحول بقيمة 763.9 مليون دولار: لماذا لم تتمكن عمليات تدقيق العقود الذكية من وقف أسوأ ربع سنوي في تاريخ الويب 3

تحليل الحوادث الأمنية في الربع الثاني من عام 2026

كان الربع الثاني من عام 2026 هو الفترة الأكثر خطورة على أمن Web3 منذ الربع الثاني من عام 2025، حيث استولى الجهات التهديدية على 763.9 مليون دولار في 67 حادثة أمنية. كان التحول البارز في هذا الربع هو التغيير الجوهري في ملامح الثغرات الأمنية: لم يعد الكود هو السطح الرئيسي للهجوم؛ بل أصبحت الضوابط التشغيلية وإدارة المفاتيح هي السطح الرئيسي.

أكثر من 88% من إجمالي الخسائر نجمت عن اختراقات تشغيلية وليس عن عيوب في منطق العقود الذكية. وقد بدأ رأس المال المؤسسي بالفعل في التكيف، حيث يحوّل أولويات العناية الواجبة بعيدًا عن عمليات التدقيق في أوقات محددة ونحو المراقبة المستمرة، وحوكمة الوصول المتميز، وأطر التفويض متعددة المشاركين.

وفقًا لتقرير Hacken الفصلي للأمن والامتثال، شكلت الاختراقات المتعلقة بالمفاتيح والبنية التحتية 88.3% من إجمالي الأموال المسروقة، أي حوالي 674.5 مليون دولار. وظلت أخطاء العقود الذكية هي أكثر أنواع الهجمات شيوعًا — 44 حادثة من أصل 67 — لكنها لم تمثل سوى حوالي 11% من إجمالي الخسائر. جاء حوالي 75.5% من إجمالي الخسائر من حادثتين فقط نُسبتا إلى جهات تهديد كورية شمالية، في حين أن 9% فقط من المشاريع التي تم تتبعها تطبق المراقبة المستمرة، و4% تجمع بين عمليات التدقيق ومكافآت اكتشاف الأخطاء والمراقبة المباشرة.

ومن النتائج الأساسية للربع الثاني أن 14 بروتوكولًا خضع للتدقيق تعرض للاختراق — وهو مؤشر صارخ على اتساع الفجوة بين ما يقيّمه تدقيق العقود الذكية فعليًّا والمكان الذي يهاجمه الجهات التهديدية فعليًّا. وبالنسبة لخبراء الأمن، تكشف هذه الاختراقات عن الخلل الفادح المتمثل في التعامل مع مراجعة الكود في لحظة زمنية محددة على أنها درع أمني شامل.

قال ليو فان، مؤسس شركة Cysic: «أكبر مفهوم خاطئ هو أن التدقيق يمثل شهادة أمان. إنه في الواقع تقييم محدد النطاق لقاعدة برمجية معينة في لحظة زمنية محددة. ولا تغطي عملية التدقيق تلقائيًا أجهزة الموقّعين، أو البنية التحتية السحابية، أو الأذونات التشغيلية، أو البايت كود المنشور، أو التحديثات اللاحقة، أو التبعيات الخارجية، أو العقود القديمة التي لا تزال قابلة للتنفيذ."

وكرر إريك سوارتز، الشريك المؤسس والمستشار القانوني العام لشركة Panther Hollow Ventures، أن اعتبار عمليات التدقيق بمثابة خط النهاية يترك البروتوكولات عرضة للخطر. وقال سوارتز: «يخبرك التدقيق كيف كان شكل النظام في لحظة زمنية معينة. وهو لا يضمن أن التحديثات المستقبلية أو التغييرات التشغيلية أو أساليب الهجوم الجديدة لن تشكل مخاطر. وتعتبر الفرق الأقوى عمليات التدقيق جزءًا واحدًا من برنامج أمني أوسع نطاقًا بكثير».

وأشار صامويل فيدو، المدير التقني في Genius، إلى أن قسم «نطاق المراجعة» في تقرير المراجعة غالبًا ما يكشف عما لم يتم تقييمه. وقال فيدو: «جاء ما يقرب من 90% من الخسائر في الربع الثاني من المفاتيح والموقعين والبنية التحتية، وكلها خارج نطاق ذلك القسم، ومع ذلك تعرض 14 مشروعًا خضع للمراجعة للاستنزاف». "تقرير التقييم ليس هو برنامج الأمان نفسه."

أكد هيمانشو ساهاي، المدير التقني والمؤسس المشارك لشركة Arch، أن عمليات التدقيق لا يمكن أن تقف بمفردها. وقال ساهاي: «تعد عملية التدقيق تقييمًا مهمًا في لحظة معينة للكود والبنية التي تمت مراجعتها، لكنها لا يمكن أن تأخذ في الحسبان كل المخاطر التشغيلية أو التغييرات المستقبلية التي قد تطرأ على النظام». «يجب التعامل مع الأمن كعملية مستمرة».

تجاوز الكود: نقطة الضعف في البنية التحتية خارج السلسلة

في غضون ذلك، ومع نضوج دفاعات العقود الذكية وزيادة صعوبة اختراق المنطق داخل السلسلة، غير المهاجمون استراتيجياتهم بشكل حاسم. فبدلاً من اختراق الأبواب الأمامية المحصنة بشدة، يتجاوز المهاجمون الكود بشكل منهجي تمامًا لاستغلال نقطة الضعف في البنية التحتية خارج السلسلة.

"السطح الأكثر استخفافًا به هو مستوى التحكم خارج السلسلة: أجهزة الموقّعين، وإجراءات إنشاء المفاتيح وتناوبها، والهويات السحابية، وخطوط أنابيب CI/CD، والخدمات الخلفية، وأدوات التحقق من صحة الجسور، ومسارات الإدارة في حالات الطوارئ"، قال فان. "غالبًا ما تقوم الفرق بتأمين تخزين المفاتيح ولكنها تولي اهتمامًا أقل لكيفية استخدام المفاتيح فعليًّا… وعندما يتم اختراقها، يمكن للمهاجمين إنشاء معاملات صالحة تقنيًّا على السلسلة، مما يجعل الوقاية والكشف أصعب بكثير."

يمنح محيط السحابة نفسه شعورًا زائفًا بالأمان للعديد من مطوري Web3.

"الافتراض الأكبر هو أن استخدام مزود سحابي كبير يجعل التطبيق آمنًا بشكل افتراضي"، قال جيرالد ديفيد، الرئيس التنفيذي لشركة Lynq. "يقوم مزودو الخدمات السحابية بتأمين البنية التحتية الأساسية، لكن الفرق لا تزال مسؤولة عن كيفية تكوين الأنظمة، وكيفية إدارة بيانات الاعتماد، ومن لديه حق الوصول."

من ناحية أخرى، حذر فيديو من أن البنية غير السليمة يمكن أن تبطل حماية التوقيع المتعدد. قال فيديو: «تعمل العملية برمتها على أدوار خدمة ذات أذونات مفرطة وخطوط إنتاج CI/CD يمكنها الوصول إلى مفاتيح الإنتاج، وإذا تمكن حساب خدمة واحد من قراءة مفتاح التوقيع الخاص بك، فإن التوقيع المتعدد الخاص بك يصبح مجرد تمثيل مسرحي». «تُعد العقود التي تم إيقاف استخدامها والتي لا تزال تحتفظ بحقوق الإدارة ناقلًا آخر للهجمات: فالكود الذي قمت بنشره منذ عامين يمثل بابًا مفتوحًا، ولا يهتم المهاجمون بما تعتبره ضمن نطاق الحماية».

مع قيام الجهات المؤسسية المخصصة للأموال بإعادة ضبط نماذج المخاطر الخاصة بها، ارتفع مستوى متطلبات توظيف رأس المال بشكل كبير. لم يعد مصطلح «جاهز للمؤسسات» يُعرَّف بتقرير تدقيق خالٍ من العيوب، بل بإثبات النضج التشغيلي، والحوكمة على مستوى المؤسسات، وضوابط إدارة المفاتيح المرنة.

قال ديفيد: «أنا أنظر أولاً إلى النضج التشغيلي. هل يستطيع الفريق أن يشرح بوضوح كيف يتحرك رأس المال عبر النظام، وأين توجد نقاط المراقبة الرئيسية، وكيف تتم مراقبة المخاطر؟ المؤسسات تحتاج إلى القدرة على التنبؤ والشفافية».

وأشار ساهاي إلى أنه لا توجد ضوابط فردية تضمن الدعم المؤسسي بمفردها. قال ساهاي: «تريد المؤسسات فهم كيفية الوصول إلى الأنظمة الحيوية، وكيفية إدارة الأذونات، وكيفية مراقبة الأنشطة، وما هي الإجراءات المتبعة في حالة حدوث خطأ ما. إن الجمع بين الضوابط القوية والشفافية والانضباط التشغيلي هو ما يبني الثقة في نهاية المطاف».

عند تقييم البروتوكولات، يركز فان على خريطة الامتيازات: من يمكنه نقل الأصول، أو استبدال الموقعين، أو تعديل إجراءات الحماية. وقال فان: «لو اضطررت إلى تحديد إجراء رقابي واحد يرتبط بشكل أكبر بثقة المؤسسات، لكان ذلك هو التفويض متعدد الأطراف عبر كل مسار لنقل الأصول أو الترقية». «تريد المؤسسات دليلاً على أن اتخاذ إجراء من جانب واحد أمر مستحيل».

وأضاف سوارتز أن المؤسسات تعطي الأولوية لكيفية تعامل الفرق مع المحن. وقال سوارتز: «تدرك المؤسسات أنه لا يوجد بروتوكول خالٍ تمامًا من المخاطر. ما يهم هو ما إذا كان الفريق يتمتع بحوكمة جيدة، وضوابط داخلية قوية، وشفافية بشأن المخاطر، وخطة واضحة للاستجابة عندما يحدث خطأ ما».

يتفق الخبراء الخمسة على أن Web3 يجب أن تعتمد أنظمة دفاع متعددة الطبقات تتضمن المراقبة في الوقت الفعلي، وإدارة منضبطة للمفاتيح، وبرامج مكافآت سريعة الاستجابة لاكتشاف الأخطاء البرمجية، وذلك للحماية من التهديدات المتطورة.

وأشار ديفيد إلى أن «الأصول الرقمية تعمل على مدار الساعة، لكن أجزاء من البنية التحتية التي تدعمها لا تزال تعمل وفقًا للجداول الزمنية المالية التقليدية. ومع تزايد الطابع المؤسسي للسوق، يجب أن تصبح البنية التحتية التي تدعم حركة رأس المال وتسويته أكثر مرونة أيضًا».

التطلع إلى النصف الثاني من عام 2026: إعادة تنظيم أنظمة الدفاع

في غضون ذلك، يحذر الخبراء من أن النصف الثاني من عام 2026 سيشهد المزيد من نفس النمط. فبدلاً من إهدار الوقت في محاولة إجراء هندسة عكسية للعقود الذكية التي خضعت للتدقيق، من المتوقع أن يواصل الجهات التهديدية التركيز على المسار الأقل مقاومة: الضوابط التشغيلية، والأهداف البشرية، والبنية التحتية الرئيسية.

وتوقع فان قائلاً: «أتوقع أن تستمر هجمات التحكم في الوصول التشغيلي في السيطرة على الخسائر: الهندسة الاجتماعية، وسرقة بيانات الاعتماد، واختراق الموقّعين، والتسلل إلى السحابة أو أنظمة التكامل المستمر/التسليم المستمر (CI/CD)، والهجمات على البنية التحتية للمصدّقين خارج السلسلة». «ستستمر الأخطاء الفردية في العقود الذكية، لكن المهاجمين سيواصلون استهداف أقصر طريق للوصول إلى الصلاحيات».

واختتم فيديو حديثه بدعوة إلى إعادة مواءمة الإنفاق الأمني مع المخاطر الفعلية: «أنفقوا حيثما توجد الخسائر. فقد تم تحويل ما يقرب من 90% من الأموال المسروقة عبر المفاتيح والموقعين والبنية التحتية، ومع ذلك لا تزال الميزانيات تُنفق بكثافة على تدقيق العقود. وستكون أسوأ الهجمات هي تلك التي لم يتنبأ بها أحد، لذا قوموا ببناء أنظمتكم كما لو أن حدودكم الأمنية قد سقطت بالفعل».