هجمات العقود الذكية: أشهر الثغرات وكيف تحمي أموالك

العقود الذكية قواعد مكتوبة بالبرمجة، لكن المهاجمين قادرون على تحويل أصغر ثغرة بين هذه القواعد إلى سلاح. إعادة الدخول (Reentrancy)، والقروض السريعة والتلاعب بالأوراكل، وثغرات التحكم في الصلاحيات، وتكتيكات MEV، وأخطاء منطق الأعمال: هذه الفئات تقف خلف الجزء الأكبر من الحوادث التي دفعت سرقات العملات الرقمية على السلسلة إلى تجاوز 3.4 مليار دولار في عام 2025. يتناول هذا الدليل كل نوع من هجمات العقود الذكية بآليته وخسائره الحقيقية والعلامات الحمراء التي يمكنك فحصها قبل إيداع أول رمز لك في أي بروتوكول.

لماذا تبقى العقود الذكية عرضة للهجمات؟

ثلاث حقائق بنيوية تجعل العقود الذكية هدفًا دائمًا:

عدم القابلية للتعديل سلاح ذو حدين. لا يمكن ترقيع الكود سرًا، وتصاميم الوكيل القابلة للترقية تنقل الخطر إلى من يملك مفتاح الترقية.

المعاملات علنية قبل تأكيد الكتلة. المعاملة المعلقة تعلن لكل من يراقب مجمع المعاملات (Mempool) السعر الذي ستشتري به.

الأنظمة عالية القيمة تجذب مهاجمين محترفين يفككون البروتوكولات كما تُفكك الآلات المالية، ويتخذون من استغلال الثغرات حرفة.

وقعت أكبر حادثة منفردة في 2025 عندما خسرت منصة تداول نحو 1.5 مليار دولار بسبب ثغرة في سير عمل التوقيع لديها، وهو رقم يعادل عشرة هجمات أخرى في العام نفسه. والدرس: أمن العقود الذكية لم يعد يعني كود Solidity وحده، بل الأمن التشغيلي وإدارة المفاتيح أيضًا.

رؤية COINOTAG: الهجمات مركّبة لا معزولة

بروتوكولات التمويل اللامركزي (DeFi) الحديثة ليست مستقلة عن الجسور وبيئات الطبقة الثانية ومصادر الأسعار. فالبروتوكول السليم بذاته قد يفشل حين يمكن تحريك الأوراكل الذي يعتمد عليه برأس مال مقترض. عند تقييم أي عقد، انظر إلى كل سطح يتعامل معه لا إلى أسطره فقط.

أخطر خمسة أنواع من الهجمات

إعادة الدخول: تسليم التحكم مبكرًا جدًا

يقع هجوم إعادة الدخول عندما يرسل العقد قيمة أو يستدعي عنوانًا خارجيًا قبل تحديث سجلاته. في هذه النافذة يعيد عقد المهاجم استدعاء العقد الضحية ويستنزف الأموال قبل خصم الرصيد.

The DAO ودلالتها اليوم

استغلت ثغرة The DAO خطأ الترتيب هذا تحديدًا: حُوّلت الأموال ولم يُخصم الرصيد الداخلي قط. حوّلت حلقة السحب المتكررة نحو 3.6 مليون ETH، وغيّر الانقسام الصلب (Hard Fork) المثير للجدل الذي تلاها مسار المنظومة. والخطأ نفسه يظهر اليوم في ترقيات البروتوكولات وخطافات رموز ERC-777 والاستدعاءات العكسية بين العقود.

الترتيب الصحيح في ثلاث خطوات

1. افحص رصيد المستخدم.
2. حدّث رصيد المستخدم.
3. أرسل الأموال في النهاية.

يُسمى هذا الترتيب نمط الفحص ثم التأثير ثم التفاعل (Checks-Effects-Interactions). ويمنع قفل إعادة الدخول تشغيل الدالة نفسها مجددًا قبل اكتمال تغيير الحالة الحساس، بينما تتيح مدفوعات السحب للمستخدمين المطالبة بأموالهم في خطوة منفصلة.

القروض السريعة والتلاعب بالأوراكل

يتيح القرض السريع (Flash Loan) اقتراض مبالغ ضخمة بلا ضمان بشرط السداد داخل المعاملة نفسها. القرض السريع ليس ثغرة بحد ذاته، بل عدسة مكبرة تكشف افتراضات التسعير أو الضمان أو السيولة الضعيفة.

مسار الهجوم ثابت: اقترض مبلغًا كبيرًا ← حرّك السعر أو الرصيد مؤقتًا ← فعّل حسابًا يعتمد على هذه الحالة المؤقتة ← اسحب القيمة ← سدّد القرض ← احتفظ بالفارق.

مثال رقمي

لنفترض أن بروتوكول إقراض يقرأ السعر الفوري من مجمع سيولة ضحل واحد يحتوي على 100,000 USDC و100 TOKEN، ما يعني سعرًا قدره 1,000 USDC لكل TOKEN. يتبع المهاجم الخطوات التالية:

1. يقترض 900,000 USDC بقرض سريع.
2. يضخ هذا المبلغ في المجمع فيدفع السعر على السلسلة إلى نحو 4,000 USDC لكل TOKEN طوال المعاملة.
3. يودع كمية صغيرة من TOKEN كضمان، فيقيّمها البروتوكول بأربعة أضعاف قيمتها الحقيقية.
4. يقترض مبالغ زائدة مقابل الضمان المضخّم.
5. يبيع الرموز ويعيد المجمع إلى حالته ويسدد القرض ويأخذ الفارق.

خسر PancakeBunny نحو 45 مليون دولار بهذا النوع من الهجمات، وخسر Harvest Finance نحو 24 مليون دولار بسبب هشاشة تسعير مشابهة.

دفاعات أثبتت فعاليتها

• التسعير بالمتوسط المرجح زمنيًا بدلًا من قراءة فورية واحدة.
• حساب الوسيط من عدة مصادر.
• فحوص الانحراف التي ترفض الحركات المتطرفة داخل الكتلة.
• قواطع الدوائر وشروط الإيقاف المؤقت.
• متطلبات العمق حتى لا يحدد مجمع ضحل الواقع.

كمستخدم، اعتبر أي بروتوكول يقرأ سعرًا فوريًا واحدًا من مجمعات ضحلة عالي المخاطر، وأبقِ إعدادات الانزلاق السعري مشددة.

أخطاء الأوراكل ومصادر البيانات

يدفع هجوم الأوراكل البروتوكول إلى الاعتماد على مدخلات خاطئة أو يسهل تحريكها بتكلفة زهيدة. فإذا كان أوراكل سلسلة الكتل يسحب بياناته من مصدر واحد، فهو نقطة فشل وحيدة.

يبدأ التلاعب عادة في مجمعات منخفضة السيولة يسهل تحريك أسعارها، ثم يتوسع برأس مال القروض السريعة. Mango Markets هو المثال النموذجي: أتاح التسعير المشوّه للضمانات سحب نحو 116 مليون دولار، وخسرت Vee Finance نحو 34 مليون دولار لاعتمادها على أوراكل واحد. والدفاع عكس هذه الأخطاء تمامًا: اجمع المصادر، وخذ الوسيط، وافرض حداثة البيانات، وارفض القيم الشاذة.

ثغرات التحكم في الصلاحيات

يحدد التحكم في الصلاحيات من يرقّي العقود، ومن يوقف السحوبات، ومن يسك الرموز، ومن ينقل أموال الخزينة. وحين تنهار هذه الطبقة يكفي المهاجم أن يستدعي الدالة ذات الصلاحيات متجاوزًا كل الضوابط الأخرى. أكثر الأخطاء شيوعًا:

• غياب فحص الصلاحية.
• ضبط خاطئ لظهور الدوال.
• قدرة عناوين كثيرة على تنفيذ إجراءات حساسة.
• استخدام tx.origin بدلًا من msg.sender للتفويض، ما يفتح الباب للتصيد عبر عقد وسيط.

استنزف اختراق محفظة Parity متعددة التوقيع أكثر من 150,000 ETH، وجمّد خطأ آخر في Parity ما قيمته نحو 280 مليون دولار من ETH. والبنية المتينة تجمع بين محفظة متعددة التوقيع للإجراءات الحرجة، وقفل زمني يؤخر التغييرات الخطرة، وفصل للأدوار بحيث لا يستطيع مفتاح واحد أن يقترح وينفذ معًا. كمستخدم، اعتبر الترقيات الفورية علامة تحذير، وابتعد عن البروتوكولات التي تفتقر إلى التوقيع المتعدد والقفل الزمني.

MEV والتشغيل المسبق وهجمات الساندويتش

القيمة القصوى القابلة للاستخراج (MEV) هي الربح المحقق عبر ترتيب المعاملات. فعندما يرى الباحث المعاملات المعلقة ويستطيع التأثير في موضعها داخل الكتلة، يستخرج هذه القيمة على حسابك، فتظهر في صورة أسعار تنفيذ أسوأ وانزلاق خفي.

أبرز أنواع MEV:

• الإدراج: وضع معاملة قبل معاملتك.
• الإزاحة: دفع معاملتك إلى موضع متأخر في الكتلة.
• الكبت: تأخير إدراج معاملتك.
• الساندويتش: شراء قبل معاملتك وبيع بعدها، والفارق يذهب إلى المهاجم.

تشير بيانات الشفافية المستشهد بها في ملفات تنظيمية إلى نحو 526,207 ETH من القيمة المستخرجة على إيثيريوم بين سبتمبر 2022 وبداية يونيو 2024، أي ما يعادل نحو 1.1 مليار دولار. وعلى مستوى البروتوكول تشمل الحلول مخططات الالتزام ثم الكشف، والمزادات المجمّعة، وقراءات الأوراكل الواعية بـMEV. أما كمستخدم فاضبط حدود انزلاق منضبطة، وتجنب المجمعات الضحلة، وفضّل مُرحّلات المعاملات المحمية من MEV متى توفرت.

أخطاء منطق الأعمال والتصميم الاقتصادي

تنبع أخطاء المنطق من خطأ القواعد لا من الصياغة البرمجية. فقد يعمل العقد بلا عيب ويبقى مع ذلك قابلًا للاستغلال لأنه يبني افتراضات غير آمنة عن الحوافز أو الحوكمة أو سلوك الأسعار.

الاستيلاء على الحوكمة هو المثال الأبرز: في حادثة Beanstalk حصل مهاجم على سيطرة كافية في الحوكمة وسحب نحو 182 مليون دولار بينما عمل العقد تمامًا كما صُمم. أما Mango Markets، التي أساءت استخدام حوكمة المنظمة المستقلة اللامركزية (DAO) عمدًا، فقد كشفت كيف تجعل المدخلات الاقتصادية المشوّهة مركزًا ما يبدو آمنًا على غير حقيقته.

الوقاية: اختبر الافتراضات كادعاءات عدائية، وافرض الثوابت، وشغّل محاكاة السيناريوهات والفوضى، وطبّق التحقق الرسمي الموجّه حين يبرر حجم المخاطر ذلك. والبروتوكولات التي تسمح بتغييرات حوكمة فورية بنصاب منخفض تستحق تدقيقًا إضافيًا.

ثغرات متقدمة يجدر معرفتها

• خطر delegatecall: ينفّذ كود عقد آخر على مساحة تخزين عقدك. يمنح المكتبات والترقيات قوتها، لكن اختلاف تخطيط التخزين أو كود الهدف غير الموثوق قد يمحو حالة حرجة. لا تستخدمه إلا مع كود موثوق، وثبّت تخطيط التخزين تحت المراجعة.
• إعادة تشغيل التوقيع: إعادة استخدام توقيع صالح في سياق مختلف تتيح للمهاجم تكرار إجراء مُصرّح به. في 2022 أُخذ نحو 15 مليون رمز من Optimism في هجوم إعادة تشغيل توقيع خلال عملية استرداد. الحل ربط كل توقيع بأرقام nonce ومُهل انتهاء وفصل للنطاق عبر EIP-712، والمفهوم قريب من هجوم إعادة التشغيل.
• ETH المُرسل قسرًا: يمكن للعقد استقبال ETH حتى دون دالة payable، فلا تستخدم رصيد العقد دليلًا على حالته الداخلية، وتتبّع المحاسبة صراحة.
• فيض الأعداد الصحيحة: تراجع هذا الخطر بعد أن أضاف Solidity 0.8 الحساب المضبوط، لكنه ما زال قائمًا في النسخ القديمة، وقد استنزف فيض سالب تاريخيًا 866 ETH.
• حجب الخدمة: الدالة التي تمر على قائمة غير محدودة قد تتجاوز حد الغاز للكتلة فتتعطل نهائيًا وتُحبس الأموال. استخدم أعمالًا محدودة ونمط السحب بدل الدفع.

ماذا علّمنا عام 2025؟ قراءة في أكبر الاختراقات

النمط لافت: منطق السيولة المركزة ودقة التقريب والتحكم بالمفاتيح ذات الصلاحيات باتت تقف إلى جانب خطأ إعادة الدخول الكلاسيكي. فأكبر خسائر 2025 لم تأتِ من أخطاء كود خالصة، بل من نقاط ضعف تشغيلية في أنظمة مركبة.

المخاطر والفخاخ عند التخطيط للأمن

• التدقيق يقلل المخاطر ولا يلغيها. كثير من أكبر الثغرات المتعلقة بالحوكمة ومنطق الأعمال وقع في كود مدقق يعمل تمامًا كما كُتب.
• أعد التدقيق كلما غيّرت المنطق الأساسي أو التبعيات أو الصلاحيات أو أضفت مسار ترقية جديدًا.
• دون مراقبة بعد النشر وآلية إيقاف مؤقت وبرنامج إفصاح أو مكافآت للثغرات، ستكون أعمى بعد الإطلاق.
• مفتاح ترقية واحد غير محمي قد يُبطل كل الضوابط الأخرى، وقد أثبت عام 2025 ذلك مرارًا.

سير عمل أمني عملي

لم يعد الأمن حدثًا واحدًا يُسمى التدقيق. فمعظم الخسائر الحقيقية تقع حين يلتقي الكود بمستخدمين حقيقيين وسيولة حقيقية، لذا يجب أن تبدأ العملية قبل النشر وتستمر بعد الإطلاق. وهذه منهجية اختبار تلتقط أنماط فشل مختلفة:

1. التحليل الثابت (Slither): يرصد الأنماط الخطرة الشائعة بسرعة.
2. التنفيذ الرمزي (Mythril): يستكشف مسارات تنفيذ كثيرة.
3. الاختبار العشوائي (Fuzzing) (Echidna وFoundry): يولّد مدخلات عدائية تلقائيًا.
4. المراجعة اليدوية: تتحقق من افتراضات الحوكمة والاقتصاد التي لا تفهمها الأدوات.
5. التحقق الرسمي الموجّه (Certora): يثبت مجموعة صغيرة من الخصائص التي يجب أن تكون صحيحة دائمًا.

ولتحليل أعمق للبروتوكولات ومقارنة الأدوات، راجع دليل كيفية تدقيق العقد الذكي ودليل عمليات التدقيق الأمني لسلاسل الكتل.

علامات حمراء تفحصها في ستين ثانية

• الضمان أو التصفية يعتمد على سعر فوري من مجمع ضحل.
• أوراكل وحيد بلا مصدر احتياطي أو فحص معقولية.
• المسؤول قادر على الترقية فورًا عبر وكيل بلا قفل زمني.
• لا توقيع متعدد على صلاحيات الخزينة أو الترقية.
• تصميم اقتصادي للرمز يتضمن مسارات سك غير محدودة أو آليات تثبيت هشة.

معظم الاختراقات «المفاجئة» لم تكن مفاجئة إطلاقًا عند النظر إليها لاحقًا. تعلّم هذه الأنماط، وخذ العلامات الحمراء بجدية، وتعامل مع كل بروتوكول كآلة من أجزاء كثيرة، فكل ما يحتاجه المهاجم برغي واحد مرتخٍ. ولكل من يتعامل مع منظومة إيثيريوم أو بنية التمويل اللامركزي المحيطة بـبيتكوين، فهذه المعلومات وعي أمني أساسي لا نصيحة مالية. وإن كنت تبحث عن قائمة أشمل لحماية أصولك، فراجع دليل حماية عملاتك الرقمية.