تتعرض DeFi للسرقة بشكل متكرر، فكيف يمكن في عصر الذكاء الاصطناعي التصدي لهجمات القراصنة؟

مقالة: systs

مقدمة OpenBuild:

في أبريل 2026، شهدت DeFi أظلم لحظة لها، حيث تجاوزت قيمة الأموال المسروقة في شهر واحد 625 مليون دولار، مسجلة رقمًا قياسيًا تاريخيًا، فقط هجومان من Drift و KelpDAO استهلكا ما يقرب من 580 مليون دولار. أدى انفجار الذكاء الاصطناعي إلى قلب موازين الهجوم والدفاع رأسًا على عقب، فبعد أن كانت فحوصات الثغرات في البروتوكولات تتطلب أسابيع من العمل اليدوي، أصبح النموذج الضخم قادرًا على إنجازها خلال ساعات قليلة، مما أدى إلى انخفاض تكاليف الهجوم وزيادة سطح الهجوم، وازدياد عدد البروتوكولات المستهدفة.

المهاجمون المحترفون ذوو الموارد الكبيرة والمتخصصون في التخطيط طويل الأمد يراقبون كل ثغرة في البروتوكولات، بينما الفرق العادية مشتتة الجهود، والدفاعات غير فعالة وضعيفة، فقط من خلال التمسك بالتشدد المفرط، وبناء دفاع شامل مسبقًا، والسيطرة الصارمة على الخسائر، والاستعداد المسبق، يمكن للبقاء في هذه الحرب التي يقودها الذكاء الاصطناعي. فيما يلي محتوى النص الأصلي، من إعداد OpenBuild.

بعد تطوير مشروع @openforage، ودراسة العديد من حوادث الهجوم على بروتوكولات DeFi عبر التاريخ، بدأت أتحسس من الجهات ذات النفوذ على المستوى الوطني. هؤلاء الخصوم ماهرون، وذوو موارد وفيرة، ويتقنون التخطيط طويل الأمد؛ كالأشرار من الطراز الرفيع، يفحصون كل ثغرة في البروتوكول والبنية التحتية للبحث عن ثغرات يمكن استغلالها. أما الفرق العادية، فهي مشتتة، تدير أعمالها وتعتني بالأمان في آن واحد، ولا يمكنها الدفاع بشكل كامل. لست خبيرًا أمنيًا، لكنني قمت بقيادة فرق في بيئات عالية المخاطر (لدي خبرة عسكرية، وأدرت أموالًا كبيرة في مؤسسات مالية كبرى)، ولدي خبرة عملية ناضجة في خطط الطوارئ وإدارة المخاطر. أؤمن دائمًا: فقط المتشددون ينجون. لا يوجد فريق يبدأ وهو يعتقد أن “الأمان كافٍ”، ومع ذلك تتكرر الهجمات. علينا أن نكون أفضل.

/ 01 عصر الذكاء الاصطناعي: كل شيء قد تغير

الهجمات الإلكترونية ليست جديدة، لكنها ارتفعت بشكل ملحوظ مؤخرًا. سجل الربع الأول من 2026 أعلى عدد من هجمات الاختراق في تاريخ DeFi، ومع بداية الربع الثاني، هناك توقعات بكسر الرقم القياسي السابق.

رأيي الأساسي هو: أن الذكاء الاصطناعي خفض بشكل كبير تكاليف فحص واستكشاف الثغرات، ووسع بشكل هائل من سطح الهجوم. فحص تكوينات البروتوكولات يدويًا يستغرق أسابيع، بينما النموذج الضخم الجديد يمكنه إنجازه خلال ساعات. هذا يغير تمامًا منطق الدفاع والاستجابة للطوارئ في أمان البروتوكولات. البروتوكولات القديمة التي نشأت قبل ظهور الذكاء الاصطناعي، والتي تعتمد على الأساليب التقليدية، تواجه الآن خطر الاختراق الدقيق.

/ 02 من خلال التفكير في سطح الهجوم والدفاع متعدد الطبقات

على مستوى التنفيذ، هناك ثلاثة أنواع رئيسية من الثغرات التي يمكن أن يستغلها قراصنة DeFi:

فريق تشغيل البروتوكول
العقود الذكية والبنية التحتية الأساسية
حدود ثقة المستخدم (مثل النطاقات، وسائل التواصل الاجتماعي، وغيرها)

بعد تحديد سطح الهجوم، يتم بناء نظام دفاع متعدد الطبقات يتكون من خمس طبقات:

الوقاية المسبقة: وضع إجراءات قياسية صارمة، وتنفيذها بدقة لتقليل احتمالية الاختراق إلى الحد الأدنى.
تخفيف الخسائر: عند فشل الوقاية، السيطرة على حجم الخسائر فورًا.
الإيقاف الطارئ: في ظل ضغط عالٍ، لا أحد يستطيع اتخاذ القرار الأمثل. عند اكتشاف هجوم، يتم تفعيل زر الإيقاف الطارئ فورًا، وتجميد الأصول لمنع توسع الخسائر، ومنح الفريق وقتًا للتقييم الهادئ.
استعادة السيطرة: إذا خرجت مكونات خبيثة أو مخترقة عن السيطرة، يتم فصلها واستبدالها مباشرة.
الاسترداد بعد الحادث: استرجاع الأصول المسروقة، والتعاون مع الجهات المعنية مسبقًا، لتجميد الأموال، وإلغاء المعاملات، والمساعدة في التحقيقات.

/ 03 المبادئ الأساسية

هذه المبادئ توجه تنفيذ نظام الدفاع متعدد الطبقات.

التمكين من خلال الذكاء الاصطناعي المتقدم

الاستفادة الكاملة من النماذج الضخمة، لفحص الثغرات في قواعد البيانات والتكوينات، وإجراء اختبارات الاختراق التفاعلية بين الفرق الحمراء والزرقاء: استكشاف الثغرات في الواجهة الأمامية، والتحقق من إمكانية التسلل إلى الخلفية. المهاجمون سيفعلون ذلك؛ والدفاعات يمكنها اكتشاف الثغرات عبر الفحص. يمكن استخدام أدوات مثل pashov، nemesis، بالإضافة إلى منصات الأمان الذكية مثل Cantina (Apex)، Zellic (V12)، لإجراء فحوصات سريعة قبل التدقيق الرسمي.

الزمن والعمليات: مقاومة ذاتية

جميع العمليات ذات المخاطر المحتملة يجب أن تتبع إجراءات متعددة مع قفل زمني. عند اكتشاف أي استثناء، يجب أن يكون هناك وقت كافٍ للتدخل البشري وتجميد الأصول. كانت مقاومة الزمن والإجراءات المعقدة سابقًا سببًا في مقاومة تنفيذ قفل الوقت، لكن الآن، يمكن للذكاء الاصطناعي أن يتجاوز هذه العمليات يدويًا، لذا فإن البساطة في العمليات لم تعد ذات معنى.

تصميم الثوابت غير القابلة للتغيير

يمكن للعقود الذكية تحديد ثوابت غير قابلة للانتهاك كوسيلة دفاعية: إذا تم كسرها، فإن منطق البروتوكول يتوقف عن العمل. @openforage يركز على الثوابت المتعلقة بالقدرة على الدفع: أصول الخزنة + الأصول المودعة ≥ الديون غير المسددة. يجب تحديد عدد قليل من الثوابت الأساسية، وتجنب التحقق المكرر في كل وظيفة، لتفادي تعقيد الكود.

توازن السلطات

الكثير من الهجمات تأتي من تسرب مفاتيح المحافظ الخاصة أو اختراق التوقيعات المتعددة. يجب أن تكون صلاحيات التحكم مصممة بحيث، حتى لو تم فقدان التوقيعات المتعددة، يمكن وقف الخسائر بسرعة وتحويل البروتوكول إلى وضع مستقر يمكن إدارته. ويشمل ذلك:

صلاحيات الحوكمة: السيطرة على القرارات الأساسية للبروتوكول
صلاحيات الطوارئ: استعادة النظام المستقر، دون إلغاء أو استبدال الحوكمة الأصلية

الاعتراف بالحتمية

يجب أن نضع في الاعتبار أن الهجمات ستحدث حتمًا، بغض النظر عن مدى احترافية الفريق. قد تتعطل مكونات العقود الذكية، أو يتعرض الفريق لهجمات اجتماعية، أو قد تتسبب التحديثات في ثغرات غير معروفة. لذلك، فإن أدوات الحد من الخسائر، والتوقف الطارئ، ضرورية: السيطرة على الخسائر ضمن 5-10%، وتجميد الأصول، قبل وضع خطة استجابة. في حالات الطوارئ، تجنب القرارات المتسرعة.

وضع خطط الطوارئ مسبقًا

أفضل وقت للاستعداد هو قبل وقوع الحادث. يجب أن تكون خطط الطوارئ موثقة، ومُتدربة بشكل متكرر، لتجنب الفوضى عند وقوع الهجوم. في عصر الذكاء الاصطناعي، من الضروري وجود أدوات وخوارزميات تجمع المعلومات بسرعة، وتولّد ملخصات دقيقة وتفاصيل كاملة، وتشاركها مع صانعي القرار.

البقاء على قيد الحياة هو الهدف النهائي

لا حاجة للسعي وراء الكمال المطلق، لكن الأهم هو البقاء على قيد الحياة. لا يوجد نظام آمن تمامًا منذ إطلاقه؛ فقط من خلال المراجعة المستمرة، والتعلم من الأخطاء، يمكن بناء بنية مقاومة للصدمات. عدم التعرض للهجمات لا يعني الأمان الطبيعي؛ وأوقات الهدوء المفرط غالبًا ما تكون أعلى المخاطر.

/ 04 نظام الوقاية المسبق

تصميم العقود الذكية

بعد تحديد الثوابت الأساسية، يتم إدراجها في منطق التشغيل، مع اختيار القواعد الضرورية فقط. يُنصح باتباع نمط تصميم FREI-PI (وظيفة - تأثير التنفيذ - التفاعل الخارجي - الثوابت غير القابلة للكسر): كل وظيفة تتعامل مع الأصول يجب أن تعيد التحقق من الثوابت الأساسية قبل الانتهاء. العديد من الهجمات التي تعتمد على التلاعب عبر عمليات مثل المقايضة عبر القروض السريعة، أو التلاعب بأسعار أوامر التنبؤ، يمكن اعتراضها عبر التحقق من الثوابت في نهاية الوظيفة.

نظام اختبار متكامل

اختبار التعتيم الحي: توليد تسلسلات استدعاء عشوائية لجميع واجهات البروتوكول، والتحقق من الثوابت في كل خطوة. معظم هجمات السلسلة على البلوكتشين تعتمد على هجمات متعددة المعاملات، واختبار التعتيم هو الوسيلة الوحيدة تقريبًا لاكتشاف الثغرات قبل المهاجمين. كتابة اختبارات الثوابت، والتأكد من أن القواعد ثابتة في جميع التسلسلات، مع التحقق الرسمي لضمان فعاليتها في جميع الحالات.

الاعتماد على التنبؤات الخارجية

كل طبقة إضافية من الاعتمادية الخارجية تزيد من سطح الهجوم. عند تطوير مكونات أساسية، يجب أن يختار المستخدمون مصادر الثقة؛ وإذا لم يكن بالإمكان إزالة الاعتمادية، فيجب تنفيذ التكرار اللامركزي متعدد المصادر لتجنب نقطة فشل واحدة. يجب أن تغطي عمليات التدقيق سيناريوهات فشل التنبؤات، مع تحديد حدود للحد من الخسائر، بحيث يمكن السيطرة على الأضرار حتى في حالة الطوارئ. مثال على ذلك، هجوم KelpDAO الأخير، الذي استُخدم فيه إعداد LayerZero الافتراضي requiredDVNCount=1، والذي لم يُدرج في نطاق التدقيق، وأدى إلى الاختراق عبر البنية التحتية غير المدققة.

تحليل شامل لسطح الهجوم

قوائم الثغرات المعروفة في DeFi مكتملة، ويجب مراجعتها مقابل بروتوكولك، وتطبيق التدابير المناسبة. بناء قدرات اختبار الاختراق الداخلي والخارجي، وتفعيل أدوات الذكاء الاصطناعي لاكتشاف الثغرات بشكل استباقي، وهو الحد الأدنى المطلوب في الصناعة اليوم.

صلاحيات الطوارئ المدمجة

في نماذج الحوكمة عبر التصويت، تترك السلطة مركزة في البداية مع الفريق متعدد التوقيعات، ثم تتوزع تدريجيًا. حتى مع توزيع الرموز، غالبًا ما تترك الصلاحيات في يد عدد قليل من المحافظ، وأحيانًا عنوان واحد فقط. إذا تم اختراق هذا العنوان، فإن البروتوكول ينهار مباشرة. يُنصح بنشر محافظ الحماية، وتقييد الصلاحيات بشكل صارم: يمكن فقط إيقاف البروتوكول، وإذا لزم الأمر، يتم استبدال صلاحيات التفويض المخترقة عبر حد أدنى من 4 من 7 محافظ. المحافظ الحامية لا يحق لها إصدار أو تمرير مقترحات الحوكمة.

بهذا الشكل، يمتلك البروتوكول طبقة طوارئ مستقلة، قادرة على استعادة الحالة المستقرة القابلة للحكم، دون إلغاء أو استبدال الحوكمة الأصلية. احتمالية أن تتعرض أكثر من 4 من 7 محافظ للحماية للخطر في آن واحد منخفضة جدًا، خاصة مع توزيع عناوين الحيازات. مع نضوج نظام الحوكمة، وتقليل المركزية، يمكن إلغاء هذه الطبقة تدريجيًا.

هيكل المحافظ والمفاتيح

المحافظ متعددة التوقيعات هي المعيار، ويجب أن يكون الحد الأدنى 4 من 7 توقيعات، ولا يمكن لأي شخص السيطرة على جميع المفاتيح السبعة بمفرده. يُنصح بتغيير عناوين الموقعين بشكل دوري وخفي. يجب أن تكون مفاتيح التوقيع غير مستخدمة بشكل مشترك في الأجهزة اليومية؛ إذا كانت تستخدم في تصفح الإنترنت أو البريد الإلكتروني، فهي معرضة للاختراق. يُنصح باستخدام محافظ متعددة التوقيعات، وكل واحد يؤدي وظيفة محددة. يُفترض أن يتم اختراق واحدة على الأقل، لذا يجب تصميم خطط استجابة على أساس ذلك. حتى في حالات التهديد أو الابتزاز، لا يملك أي فرد القدرة على اختراق البروتوكول بمفرده.

برمجة مكافآت الثغرات

أتفق مع رأي Nascent حول مكافآت الثغرات. البروتوكولات ذات الموارد المالية الكبيرة يجب أن تضع مكافآت عالية نسبة إلى إجمالي القيمة المقفلة (TVL)، حتى لو كانت صغيرة، يجب أن تكون المكافآت مغرية (مبدئيًا بمبالغ من سبعة أرقام). في مواجهة مهاجمين من المستوى الوطني، غالبًا لا يكون التفاوض على المكافآت فعالًا، لكن يمكن إطلاق برامج حماية بيضاء: تفويض خبراء الأمن البيض لحماية الأموال المسروقة، مع أخذ نسبة من المكافأة، بحيث يتحمل المودعون جزءًا من التكاليف.

اختيار شركات التدقيق عالية الجودة

كنت أعتقد سابقًا أن قدرات النماذج الضخمة تقلل من قيمة التدقيق التقليدي، لكنني عدلت رأيي:

الشركات التدقيقية الرائدة دائمًا في الطليعة. إذا كان البروتوكول يعتمد تصميمًا مبتكرًا، فإن الكود والثغرات المحتملة لا تكون ضمن بيانات تدريب النموذج، وأن الاعتماد على القوة الحاسوبية وحده غير مثبت أنه يكشف عن الثغرات المنطقية الجديدة. لا أحد يرغب أن يكون الضحية الأولى لأساليب هجوم جديدة.

نقطة مهمة غالبًا ما تُغفل: أن شركات التدقيق تعتمد على سمعتها في الصناعة. بعد إصدار تقرير التدقيق، إذا تعرض البروتوكول للسرقة، يكون لدى الشركة دافع قوي للمساعدة في استرجاع الأموال وتحليل الحادث. التعاون مع فرق الأمان الاحترافية هو أصل ثمين.

تطبيقات التشغيل الآمن

يجب أن يُدرج الأمان التشغيلي ضمن معايير الأداء الأساسية. إجراء تدريبات على التصيد الاحتيالي بشكل دوري؛ توظيف فرق أمن خارجية موثوقة لاختبار هجمات اجتماعية على الفريق. الاحتفاظ بمحافظ أجهزة غير مستخدمة وأجهزة احتياطية، بحيث يمكن استبدال كامل إعدادات التوقيع بسرعة، لتجنب الارتباك عند وقوع الحادث.

/ 05 تخفيف الخسائر

حدود خروج الأموال والخسائر

يجب تحديد حد أقصى لكل قناة خروج للأصول، بحيث يتم قفل أقصى خسارة محتملة من خلال استغلال الثغرات. ببساطة: وظيفة إصدار العملات بدون حد على بلوك واحد، تعادل إعطاء شيك على بياض لثغرة إصدار غير محدود؛ ووظيفة السحب بدون حد أسبوعي، تعادل السماح بثغرة تعديل الرصيد. يجب تحديد حدود صارمة لكل قناة خروج، لتحقيق توازن بين الحد الأقصى للخسائر الممكنة وتجربة المستخدم المثلى. عند اختراق الدفاعات، تمنع هذه الحدود أن تتسبب في انهيار البروتوكول بالكامل.

القوائم البيضاء والسوداء

معظم البروتوكولات لديها قوائم سرية للواجهات القابلة للاستدعاء، والأصول القابلة للتداول، والعناوين المصرح لها، بالإضافة إلى قواعد واضحة لحدود العمليات الممنوعة. حتى لو كانت القواعد غير معلنة، يجب توثيقها رسميًا. بعد تحديد القوائم البيضاء والسوداء، يمكن تنفيذ آليات تغيير صلاحيات ثنائية الخطوة، لزيادة مقاومة الهجمات. يجب أن يمر أي تعديل على القوائم عبر مراجعة قبل التنفيذ، بحيث يضطر المهاجم إلى تجاوز حاجزين: أولاً، التحقق من القوائم، ثم تجاوز القيود الأمنية.

/ 06 استعادة السيطرة على الصلاحيات

المراقبة الآلية

وجود زر إيقاف طارئ بدون مراقبة، هو بلا فائدة. يجب بناء نظام مراقبة خارجي، يراقب بشكل مستمر الثوابت الأساسية، ويرفع إنذارات تلقائيًا عند وجود استثناءات. يجب أن تصل الإنذارات إلى فريق الحماية متعدد التوقيعات، مع سياق كامل، لدعم اتخاذ القرارات خلال دقائق.

إيقاف التشغيل أولاً، ثم التقييم

عند التعرض للهجوم، الأولوية لوقف الضرر، وعدم اتخاذ قرارات عشوائية في زمن الأزمات. في البروتوكول، يتم تفعيل زر الإيقاف الطارئ (مع عرض أمامي): يمكن من خلاله إيقاف جميع مسارات تدفق الأصول بمعاملة واحدة. يُنصح بكتابة سكربت “إيقاف الكل بنقرة واحدة”، يقوم تلقائيًا بتعطيل جميع الوحدات القابلة للإيقاف، وتنفيذ الإيقاف بشكل ذري. صلاحيات الحوكمة لا يمكن إيقافها؛ وإذا كانت صلاحيات الحماية قابلة للإيقاف، فإن اختراقها يعني إغلاق عملية الاستعادة بشكل دائم.

تفعيل غرفة العمليات الطارئة

بعد تجميد الأصول، يتم استدعاء فريق موثوق مسبقًا، وتشكيل قناة اتصال خاصة. يجب تقييد الوصول للمعلومات، لمنع تسربها للمهاجمين، أو وسائل الإعلام، أو من يسعى للربح. يتم تحديد الأدوار مسبقًا، والتدريب عليها:

• المسؤول عن اتخاذ القرارات: يوجه الاستراتيجية العامة
• منفذ العمليات: ينفذ إجراءات الدفاع، ويوقف العمليات
• محلل الثغرات: يعيد بناء سلسلة الهجوم، ويحدد السبب الجذري
• منسق التواصل الخارجي: يتواصل مع الشركاء
• مسجل الأحداث: يوثق التطورات، والقرارات، والجدول الزمني

كل الأدوار واضحة، والتدريب المسبق يضمن سير العمل بشكل منظم عند وقوع الحادث.

التوقع للمخاطر الثانوية

افتراض أن المهاجمين على مستوى عالٍ، وأن الثغرة الأولى قد تكون مجرد تمويه، أو تمهيد لهجمات متتالية. قد تكون الاختراقات عبارة عن فخ، لإجبارنا على اتخاذ إجراءات خاطئة، أو لاستغلال ثغرات أعمق. يجب أن تتوقف عمليات الإيقاف بشكل دقيق، وأن تكون مغلقة بشكل كامل، بحيث لا توجد ثغرات يمكن استغلالها. بعد تحديد السبب، يتم فحص جميع الثغرات المحتملة، وتحليل نقاط الضعف، وإصلاح جميع الثغرات المتصلة بشكل شامل.

تفعيل آلية التناوب المسبقة

تغيير الصلاحيات يجب أن يتم عبر عناوين بديلة مخططة مسبقًا. يُنصح باستخدام سجل عناوين التناوب المسبق، بحيث يصعب على المهاجم استبدال المحافظ الحامية أو محافظ الحوكمة بشكل خفي. تتطابق هذه الآلية مع قواعد القوائم البيضاء والسوداء. يجب تسجيل العناوين البديلة مسبقًا، ويُسمح فقط بتنفيذ عملية استبدال واحدة: استبدال الدور X بعنوان بديل مخطط مسبقًا. خلال فترات السلم، يُنصح باختيار وتدقيق المرشحين بشكل دقيق، لتجنب قرارات متسرعة عند الطوارئ.

اختبار التحديثات قبل الإصدار

بعد تحديد السبب والنطاق، يجب إصدار تحديثات للعقود. غالبًا، تكون هذه أعلى عمليات نشر الكود خطورة، خاصة إذا كانت سريعة، والمهاجمون قد فهموا منطق البروتوكول جيدًا. لا تتجاهل الاختبارات، ولا تنشر مباشرة. إذا لم يكن هناك وقت للتدقيق الرسمي، يمكن الاستعانة بعلاقات مع خبراء بيض، أو إطلاق مسابقة مكافآت ثغرات لمدة 48 ساعة قبل النشر، لإضافة وجهات نظر خارجية.

/ 07 الاسترداد بعد الحادث

التحرك السريع

الأموال المسروقة تمر بفترة نصف عمر غسيل الأموال، وتُقسّم وتُنقل عبر سلاسل متعددة بسرعة. يجب التنسيق مع خدمات التحليل على السلسلة مثل Chainalysis، لمراقبة عناوين المهاجم عبر الشبكات، وإبلاغ منصات التداول، وتتبع مسارات التحويل. إعداد قوائم مسبقة: الإدارات التنظيمية، مشغلو الجسور العابرة، مدراء الحفظ، وأي جهة يمكنها تجميد أو اعتراض الأصول أثناء النقل.

التفاوض والوساطة

رغم عدم الرغبة، يُنصح بالتواصل مع المهاجمين. دائمًا هناك مجال للمفاوضة. إصدار إعلان عن مكافآت بيضاء، والالتزام بإعادة الأموال كاملة مقابل عدم اتخاذ إجراءات قانونية. إذا كان المهاجم من مستوى وطني، فغالبًا لن يكون هناك نتيجة، لكن كثيرًا من المهاجمين يكتشفون الثغرات ويهدفون للربح الهادئ، ويمكن التفاوض معهم. يجب أن يكون هناك فريق قانوني دائمًا.

/ 08 لن تتوقف هجمات القراصنة، ومع تطور قدرات الذكاء الاصطناعي، ستزداد وتيرتها. الدفاع وحده غير كافٍ، ويجب أن نستخدم أدوات الذكاء الاصطناعي نفسها، ونمارس الاختبارات المستمرة، ونحدد حدود خسائر صارمة، لنتمكن من الصمود أمام المخاطر القصوى، والبقاء في السوق.