رئيس عمليات XRPL Labs يحذر حاملي عملة XRP من مشاركة المفاتيح الخاصة

تطبيقات غير موثوقة تطلب المفاتيح

ينبّه سوق XRP اليوم إلى نمط خطر جديد بات واضحًا: تطبيقات لامركزية غير موثوقة تطلب من المستخدمين إدخال المفاتيح الخاصة بهدف الاتصال. تراجع سعر XRP بنسبة 5.1% خلال 24 ساعة، لكن الخطر هنا لا يقع على الشارت بل في طريقة التعامل مع المفاتيح ذاتها. صدر التحذير يوم الأربعاء 7 أكتوبر 2026 من روبرت كيورو، مدير العمليات في XRPL Labs، الفريق المطوّر لمحفظة Xaman Wallet، ولم يستثنِ أي حالة. في منشور موجّه إلى مجتمع XRP الأوسع، كتب كيورو إن المفاتيح لا يجوز مشاركتها «في أي ظرف من الأحوال»، ووصفها بأنها «مفاتيح مملكتك»، وقال إن على الحامل إبقاؤها «خاصة وآمنة وعدم إدخالها في أي مكان إطلاقًا». سبب التنبيه هو انتشار مشاريع يُطلق عليها vibe-coded، أي تطبيقات يمكن كتابتها ونشرها خلال ساعات معدودة من مطوّرين قد يستحيل على المستخدم عمليًا التحقق من هويتهم أو من ممارساتهم الأمنية. وقد رصدت مستخدمة على منصة X تُدعى جينا النمط مباشرة، مشيرة إلى أن بعض مشاريع XRPL من هذا النوع تقدّم طلب المفتاح الخاص لمحفظة Xaman كخطوة اتصال روتينية، وقد تفاعل كيورو مع منشورها. يستحق آلية الخطر أن تُشرح بالتفصيل: على سجل XRP، المفتاح الخاص هو البيانات الوحيدة التي تُصرّح بنقل الأموال من الحساب، وهو ليس اسم دخول يمكن لخدمة ما إعادة تعيينه أو إلغاؤه. التطبيق الذي يطلبه أثناء الاتصال إما مبني بأسوأ أو يجمع السلسلة عمدًا، وحالما يخرج المفتاح من يد المستخدم صار من يحتضنه قادرًا على تحريك الرصيد دون طلب توقيع ودون أي طريق للعودة. وتغيّر خيارات التخزين من حجم التعرض: المفتاح الذي لا يغادر ترتيبًا دون اتصال أو محفظة عتادية لا يمكن أصلاً كتابته في شاشة اتصال مزيفة، ولهذا يتكرر الإصرار على هذا الخيار في الردود أسفل المنشور، حيث يذكّر البعض بأن المحفظة الباردة تجعل الطلب المضمر غير قابل للتنفيذ أصلًا.

تفويض الصلاحيات ونمو السجل

يأتي التحذير في لحظة يُتوقع فيها توسع كبير في واجهة التطبيقات على السجل. في فعاليات XRP Seoul 2026 التي اختُتمت قبيل التنبيه بوقت قصير، عرض المطورون أعمالًا في إدارة المخاطر والتمويل على السلسلة والأصول الحقيقية، أي أن ما يصل إلى XRPL هو تطبيقات أكثر لا أقل. النمو قابل للقياس أصلًا: تجاوز XRPL إيثريوم بوصول السلع المُرقمنة على سجله إلى 2.2 مليار دولار، وهو إنجاز على السلسلة يُظهر تدفقات مؤسسية تختار هذا السجل دون سواه. الخطوة البروتوكولية التالية هي تفويض الصلاحيات، وهي ميزة مقصود بها تشغيل نشاط التمويل اللامركزي مباشرة على XRPL. بموجبها يستطيع المستخدم اقتراض عملة XRP من مجمعات سيولة على إيثريوم، واستقبال العملة المستقرة RLUSD ثم جسرها عائدًا إلى السجل، مع توقع نمو الخزائن عبر النظام. والمؤسسات جزء من المعادلة: الامتثال الأصلي للسجل وتكاليف تسويته المنخفضة هما ما يذكره بناة القطاع المؤسسي كسبب لاختياره على السلاسل ذات الأغراض العامة. الشفافية الكاملة على السلسلة كانت نقطة الالتصاق لدى التمويل التقليدي، والإجابة تحت التطوير هي التحويلات السرية المدعومة بإثباتات المعرفة الصفرية، وهي طريقة تشفيرية تتيح للمعاملة إثبات صحتها دون كشف محتواها. وضمن هذا المسار، لا تبدو توقيت التحذير من المفاتيح اعتباطيًا، فالتنبيه ذاته يقول إنه يتجاوز أي تطبيق أو مشروع بعينه: كل تطبيق لامركزي جديد يُطلق على XRPL يضيف نافذة اتصال في مكان ما، وحامل دخل مفاتيحه سابقًا دون نتيجة لا يملك إشارة مدمجة تخبره أن هذه النافذة تحديدًا معادية. أما الإرشاد المتداول مع التحذير فيلخص ما فرضه انضباط DYOR دومًا: تحقق من هوية مطوّر التطبيق، وعامل كل طلب مفتاح كعدائي أيا كان العلامة التجارية عليه، وفضّل حلول التخزين التي لا يمكن فيها إدخال المفتاح فيزيائيًا. وللقراء الذين يؤسسون رصيدًا على السجل، نقطة البداية العملية هي إعداد محفظة ورقية أو ترتيب دون اتصال مكافئ، لا اتصال عبر المتصفح.

السجل الأولي لهذه القصة هو منشور كيورو نفسه، وهو يفعل ما يفعله التنبيه الأمني الجيد: يضع قاعدة بصيغة مطلقة ويسمّي النمط، تطبيقات المبرمَجة بالحدس تطلب المفاتيح، دون تلطيف. ما لم تنتجه المشاركة هو تحديد الهوية؛ فلا شيء من المشاريع الكامنة وراء الطلبات أُعلن علنًا، ولا أُلصق رقم خسائر بالنمط، وتبقى حقيقته الكاملة غير مرصودة. وحتى يحصي أحد تلك التطبيقات في قائمة موثقة، تبقى كل نافذة اتصال على XRPL تطلب مفتاحًا خاصًا غير موثوقة افتراضيًا، وعلى الحامل وحده، لا على السجل، وقع عبء رفضها.