خطأ تقدير Cosmos Labs في ثغرة EVM يستنزف 5.72 مليون دولار من ست شبكات Cosmos (ATOM)

Cosmos Labs تعترف بخطئها في تقييم الثغرة

اعترفت Cosmos Labs بأنها أصنّفت خطأً ثغرة تتعلق بالتعامل مع الأرصدة في وحدة Cosmos EVM المشتركة على أنها غير مؤذية — وهو تقدير خاطئ سبق استغلالاً استنزف نحو 5.72 مليون دولار عبر ست شبكات من بلوكتشين Cosmos (ATOM) في الفترة الممتدة بين 20 و25 أغسطس. ويمتد الخط الزمني للقصة إلى ما قبل ذلك بكثير، إذ تلقّى الفريق أول بلاغ عن الخلل في 25 أبريل. جرى اختبار الثغرة آنذاك، وخلص المهندسون إلى أنها لا يمكن أن تمس سوى الشبكات التي تعتمد رموزاً بست خانات عشرية، في حين أن كل شبكات Cosmos EVM العاملة في الإنتاج تعتمد 18 خانة عشرية؛ وبناءً على هذا الاستدلال صُنّفت جميع الشبكات المنشورة خارج نطاق الخطر.

وبناءً على ذلك الاستنتاج، دمجت Cosmos Labs تصحيحاً في مايو عبر ما يُعرف بالترقيع الصامت — أسلوب إصدار يشحن الكود المصلَح دون إخبار مشغّلي الشبكات بما تغيّر فعلياً. صمد هذا الافتراض حتى مطلع أغسطس، حين أكد باحثون مستقلون أن الثغرة كانت تشمل كل شبكات Cosmos EVM، وهي طبقة التنفيذ المشتركة التي تقوم عليها أيضاً شبكات EVM المبنية على Cosmos-SDK مثل Berachain. غير أن الخلل الحاسم كان في التوقيت. أطلقت Cosmos Labs ترقيعها في 19 أغسطس الساعة 7:01 مساءً بتوقيت شرق الولايات المتحدة، بملاحظات إصدار وصفت التغيير بكونه إصلاحاً أمنياً مهماً فقط، دون أي تفصيل تقني. وانطلقت الموجة الأولى من الهجمات في اليوم التالي الساعة 3:06 مساءً — أي بعد نحو 20 ساعة من صدور الإصلاح. هذه الفجوة هي بمثابة المفارقة القاسية للترقيع الصامت: إخفاء التفاصيل يهدف إلى حرمان المهاجمين من خارطة طريق بينما يُكمل المشغّلون الترقية، لكن حين يمكن هندسة عكسية للترقيع أسرع من قدرة الشبكات على تحديث نفسها، يتحول الفاصل بين الإفصاح والدفاع إلى نافذة المهاجم. ولأن الكود المصاب كان وحدة مشتركة لا منطقاً خاصاً بشبكة بعينها، انتشر خلل واحد في آنٍ واحد عبر ست شبكات. يُظهر الحادث أيضاً حدود الاسترجاع اللاحق على السلاسل الشفافة: الأموال المسروقة تتحرك عبر مسارات قابلة للتتبع في الوقت الحقيقي — وهي رؤية لا وجود لها على أصول الخصوصية مثل Monero حيث تكون التدفقات محجوبة بطبيعتها.

دفتر Swift المشترك يراهن على التشغيل البيني

في المقابل، لم تنتظر Swift، شبكة المراسلة التي تبلغ من العمر 53 عاماً وتنقل تعليمات دفع بقيمة نحو 5 تريليون دولار يومياً، أن تتحدىها البلوكتشين على أرضها القديمة؛ بل اختارت استيعاب هذه التقنية ذاتها. فقد انتقل دفترها المشترك القائم على البلوكتشين إلى التشغيل الفعلي في يوليو، وأنجز كلٌّ من HSBC وStandard Chartered معاملات عابرة للحدود حقيقية عبره، بما يؤسس بنية مدفوعات مُرمّزة تعمل على مدار الساعة. والنطاق الذي تدافع عنه Swift هائل: تعالج أكثر من 53 مليون رسالة مالية يومياً لصالح 11,500 مؤسسة مالية في أكثر من 200 دولة وإقليم، ويصل 75% من تعليمات الدفع إلى البنك المستلم خلال 10 دقائق. وتقدّرات ماكنزي المستشهد بها في البرنامج تضع حجم سوق المدفوعات العالمي عند نحو 2 كوادريليون دولار سنوياً، مع تدفقات على Swift تبلغ رتبة 1.2-1.5 كوادريليون دولار سنوياً.

لكن تفصيلاً واحداً يفوق أي رقم عناوين أهميته: Swift لا تحتفظ بالأموال ولا تنقلها بنفسها. فهي ترسل تعليمات موحدة تمكّن البنوك من الخصم والإيداع في الحسابات، بينما يتدحرج التسوية الفعلية ببطء عبر سلاسل البنوك المراسلة التي قد تستغرق من يوم إلى خمسة أيام عمل. وهذه تحديداً هي الطبقة التي تستهدفها قنوات البلوكتشين. فالعملات المستقرة تنتقل من محفظة إلى محفظة على مدار الساعة — نموذج مدفوعات للمستهلك طالما هيمنت عليه شبكات مثل PayPal — بما في ذلك تصميمات مثل العملة المستقرة المولّدة للعائد، بينما تتيح الودائع المُرمّزة للبنوك التسوية من حساب إلى حساب على السلسلة متجاوزةً المراسلين كلياً. ويرى كريس موريس، المدير التنفيذي لشركة Yellow Card، أنه بمجرد مدّ هذه القنوات تتوقف الحلول التقليدية عبر Swift عن كونها ضرورية — وأن طبقة وسيطة ستعاني ما لم تغيّر نموذج عملها القائم على تقاضي رسوم مقابل تحريك الأموال. وفي الرد المقابل، يؤكد نافين ماليلا، مسؤول المدفوعات الرقمية في Standard Chartered، أن معظم القيمة العابرة للحدود ما زالت تتدفق من حساب إلى حساب لا من محفظة إلى محفظة. ويربط جاك باوديروين، مسؤول استراتيجية الأصول الرقمية في Swift، المشكلة الحقيقية بالتجزؤ — دفاتر بنكية مغلقة ومصدرون موزعون على سلاسل متعددة — ويجادل بأن طبقة تشغيل بيني مشتركة، يمكن الوصول إليها عبر اتصالات Swift القائمة لدى البنوك، هي الحل. أما Citi التي تحرك 6 تريليون دولار يومياً، وUBS وهي إحدى 17 بنكاً تجريبياً، فكلاهما يتوقع منظومة هجينة بدلاً من فائز واحد. يمكن للقراء الراغبين في متابعة السوق لحظيًا الاطلاع على أسعار السبوت والعقود الآجلة مباشرة عبر MEXC.

الطبقات الوسيطة تحت الضغط

القصتان في جوهرهما تسألان عن قيمة الطبقة الوسيطة. ملاحظات إصدار Cosmos Labs لترقيع 19 أغسطس لم تكشف سوى أن التغيير بالغ الحساسية أمنياً — وهي العتامة التي سمحت لخلل واحد في وحدة مشتركة بضرب ست شبكات دفعة واحدة. ورهان Swift هو عكس ذلك تماماً: انشر الدفتر، وأبقِ 11,500 بنك متصلاً، وكن طبقة التشغيل البيني ذاتها لا نقطة تحصيل على طريق تحريك الأموال. قراءتنا نحن: البنية التحتية التي تجلس بين المستخدمين والتسوية بات عليها أن تثبت إما شفافية جذرية أو انتشاراً لا بديل عنه — والأفضل منهما معاً — كي تصمد أمام إعادة التسعير الجارية الآن.