مقدمة

من صعود DeFi في عام 2019 إلى نضجه التدريجي بحلول عام 2024 ، كانت مشكلات البيانات باستمرار مصدر قلق أساسي للمطورين. وذلك لأن تشغيل DeFi يعتمد على بيانات دقيقة في الوقت الفعلي على السلسلة ، وتؤثر جودة البيانات بشكل مباشر على أمان البروتوكولات وكفاءتها وتجربة المستخدم. البيانات أساسية لتبادل القيمة وحجر الزاوية في آليات الثقة في البروتوكول. بالنسبة للعقود الذكية ، تعمل البيانات كحقائق إدخال ، لكن العقود الذكية نفسها لا يمكنها التحقق بنشاط من صحة البيانات. بدلا من ذلك ، يعتمدون كليا على البيانات المقدمة من مصادر خارجية. تعني هذه الخاصية أنه إذا تم العبث ببيانات الإدخال أو عدم دقتها ، فإن العقد الذكي يقبلها بشكل سلبي ، مما قد يؤدي إلى مخاطر نظامية. لذلك ، لا يزال ضمان لامركزية البيانات وجدارتها بالثقة وسهولة استخدامها يمثل تحديا مستمرا. وتنبع التحديات من مسألتين رئيسيتين: أولا، يتم التحكم في معظم البيانات من قبل مؤسسات أو منصات مركزية؛ وثانيا، يتم التحكم في معظم البيانات من قبل مؤسسات أو منصات مركزية. ثانيا، يعد الوصول إلى البيانات أمرا صعبا لأن الحفاظ على الجدارة بالثقة عبر خط الأنابيب بأكمله - من المصدر إلى قنوات الإرسال إلى الوجهة النهائية - يمثل تحديات كبيرة.

كجسر بين تفاعلات البيانات داخل السلسلة وخارجها، يصبح قاضي الحقائق هدفًا أساسيًا للهجمات بشكل متكرر. بمجرد أن يتم التلاعب بقاضي الحقائق، يمكن للمهاجمين استغلال معلومات الأسعار أو الأسواق الكاذبة لتنفيذ هجمات اقتصادية على نطاق واسع، مثل التلاعب بقاضي الحقائق وهجمات القرض السريع التي حدثت بشكل متكرر في عامي 2021 و 2022. حتى بحلول عام 2024، تظل هذه التهديدات قائمة، كما يظهر من خلال الحوادث الأخيرة التي تشمل UwU Lend و Banana Gun. تستمر هذه الأحداث في تذكيرنا بأن جودة وأمان بيانات قاضي الحقائق تحدد نجاح أو فشل البروتوكولات الفردية وتؤثر مباشرة على استقرار النظام البيئي للتمويل اللامركزي بأكمله.

سيتركز هذا المقال على تطبيق الملكات في البلوكتشين وأنواع الهجمات وطرق الوقاية من التلاعب الشائع بالملكات. يهدف إلى تثقيف القراء حول المفاهيم الأساسية وأهمية الملكات ، وزيادة الوعي الأمني ، وتقديم توصيات عملية للمطورين حول دمج الملكات بأمان في عقود ذكية.

المفاهيم الأساسية للأوراكل

تعريف ودور البوابات

المُعلمة هي واجهة حيوية بين البلوكتشين والعالم الخارجي. وهي مسؤولة عن استيراد البيانات غير القابلة للتداول إلى البلوكتشين، مثل أسعار السوق ومعلومات الطقس ونتائج الأحداث، مما يمكّن العقود الذكية من الوصول إلى المعلومات الخارجية. نظرًا للطبيعة المغلقة للبلوكتشين، تلعب المعلمات دورًا حيويًا في مجالات مثل الديفاي وأسواق التنبؤ والتأمين والألعاب. بالإضافة إلى معالجة القيود الخاصة بالبلوكتشين، تسهل المعلمات التفاعل بين العقود الذكية والبيانات الحقيقية، مما يوسّع نطاق تطبيق تكنولوجيا البلوكتشين. ومع ذلك، تواجه المعلمات أيضًا تحديات ونقاط ألم معينة:

• دقة الأوراق هامة. إذا كان مصدر البيانات غير موثوق أو تم التلاعب به، فإن ذلك يمكن أن يؤدي إلى تنفيذ غير صحيح للعقود الذكية، مما يؤدي إلى خسائر مالية.
• يمكن أن تصبح الأوراقيون أنفسهم أهدافا للهجمات، مثل التلاعب في بيانات الأوراقيون لنقل معلومات خاطئة، مما يؤدي إلى التلاعب في السوق وإخلال عمليات البروتوكول.
• بينما يمكن لشبكات الأوراق المفتوحة اللامركزية تقليل نقاط الفشل الفردية، تستمر النقاشات بشأن درجة لامركزيتها وموثوقيتها. تعزيز موثوقية وأمان الأوراق يظل تحديًا تقنيًا رئيسيًا.

بعد فهم التعريف الأساسي والدور الذي يلعبه المحكمون ، سنستكشف بإيجاز أنواع المحكمين وحالات استخدامها والمخاطر الأمنية التي تواجهها.

أنواع الأوراق: مركزي مقابل لامركزي

يمكن تصنيف Oracles بشكل عام إلى نموذجين للتنفيذ: المركزية واللامركزية. مثلًا ، يعتمد المركزي المثلث على مصدر بيانات واحد لتوفير معلومات خارج السلسلة. يجمعون بين الحلول الأجهزة والبرمجيات ، ويستغلون تقنيات مثل TLSNotary و Android Proof لضمان دقة البيانات. تتميز هذه الأوراكل بالكفاءة والأداء المستقر. ومع ذلك ، يعيق اعتمادها على مصدر موثوق واحد الطبيعة اللامركزية للبلوكتشين ، ويعرض النقاط الفردية للتكوين الأمنية وتوسيع القابلية للتحدي.

على النقيض من ذلك، تعطي البوابة البيانات الموثوقة والواضحة الأمان الأولوية. في بنية سلسلة الكتل الخاصة بها، يتم أخذ وتحقق البيانات عن طريق عدة عقد مستقلة، موزعة عبر مشاركين مختلفين، مما يقلل من مخاطر نقاط الفشل الفردية. من خلال تنسيق العمليات داخل السلسلة وخارجها، تضمن البوابة تنوع البيانات وموثوقيتها. هذا التصميم اللامركزي فعال بشكل خاص في التطبيقات المالية، حيث يعزز مقاومة البوابة للهجمات. ومع ذلك، تنطوي هذه النهج على تنازلات في الكفاءة والتكلفة، مما يجعلها أقل ملاءمة لحالات الاستخدام ذات التردد المنخفض.

أهمية المهام الفكرية المركزية أواكنميان تكمن في تقليل مخاطر تلاعب مصدر البيانات ومنع إساءات محتملة من قبل أطراف موثوقة واحدة. يضمن التموزج أن المهام الفكرية لم تعد تعتمد على بضعة مصادر بيانات ولكنها تعزز أمان البيانات وموثوقيتها من خلال عقدات موزعة متعددة. ومع ذلك، تواجه المهام الفكرية المركزية أيضًا تحديات، مثل الحفاظ على آليات حوافز فعالة على المدى الطويل وضمان الاستقرار العام لشبكة المهام الفكرية. فيما يلي، سنكتشف المخاطر الأمنية المرتبطة بالمهام الفكرية المركزية وحلولها المحتملة.

مبادئ التشغيل والمخاطر للعقول

بوابات بمصادر بيانات مختلفة: خارج السلسلة وعلى السلسلة

في عمليات Oracle ، تؤثر طريقة الحصول على البيانات ونقلها مباشرة على أمانها وموثوقيتها. تحصل Oracle على البيانات من نوعين من المصادر: خارج السلسلة وداخل السلسلة. يختلف أصل وطرق الحصول على البيانات بين هاتين الطريقتين:

• البيانات خارج السلسلة: تعتمد سرعة الاستجابة لتقلب البيانات خارج السلسلة على خصائص مصدر البيانات وآلية الإرسال. على سبيل المثال ، عادة ما يتم تحديث بيانات الأسعار خارج السلسلة من البورصات بسرعة. ومع ذلك ، قد تواجه البيانات الأخرى خارج السلسلة (مثل البيانات من الأسواق المالية التقليدية أو البيانات الناتجة عن الحسابات المعقدة) تأخيرات. غالبا ما يعتمد نقل البيانات خارج السلسلة على عدد محدود من المؤسسات المتميزة لدفع البيانات إلى blockchain. وبالتالي ، فإن ضمان عدم قيام هذه المؤسسات بتغيير البيانات بشكل ضار أو دفع تحديثات غير صحيحة تحت الإكراه أمر بالغ الأهمية. من المحتمل أن يهدد هذا الاعتماد مصداقية البيانات وقابليتها للاستخدام على سلاسل الكتل اللامركزية.
• بيانات سلسلة الكتلة: لا تتطلب بيانات سلسلة الكتلة أي وصول مميز وهي محدثة دائمًا، مما يوفر قدرات قوية في الوقت الحقيقي. ومع ذلك، يجعل هذا الخاصية نفسها عُرضة للتلاعب من قبل المهاجمين، مما يمكن أن يؤدي إلى نتائج كارثية. يمكن للمطورين الوصول بسهولة إلى بيانات سلسلة الكتلة عن طريق الاستعلام عن تبادلات لامركزية (DEXs) لحساب أسعار الوقت الحقيقي.

المراقبون على السلسلة والمراقبون خارج السلسلة
الاختيار بين مصادر البيانات خارج السلسلة وداخل السلسلة يعتمد على متطلبات المشروع المحددة والتنازلات الأساسية لكل نهج. يجب على المطورين تقييم المخاطر المرتبطة بعناية ومعالجتها. هذه الحاجة إلى التوازن أدت إلى البحث المستمر في أساليب معالجة البيانات الأكثر أمانًا وموثوقية. ستقوم الأقسام التالية بفحص المبادئ التشغيلية للمهتمين والثغرات المحتملة لديها.

مثال موجز عن تطوير أوراكل

تقدم هذه القسم سيناريو تطوير مبسط لمساعدة القراء على فهم حالات استخدام المهتمين في المجالات في البلوكتشين. في تطوير عقدة ذكية فعلية في البلوكتشين ، هناك طرق متعددة لعقد ذكي للوصول إلى بيانات الأسعار من المهتمين. تشمل الطرق الشائعة الاتصال المباشر بعقد المهتم أو استخدام تقنيات مثل Chainlink CCIP (بروتوكول التوافق بين السلاسل الخارجية). الاختلافات الرئيسية بين هذه الطرق هي:

1. إذا كان التطبيق المستهدف يتواجد على نفس البلوكتشين ، عادةً ما يتصل المطورون بعقد الأوراكل مباشرة لاسترداد معلومات سعرية في الوقت الحقيقي بسرعة.
2. بالنسبة لتطبيقات ديفي متعددة السلاسل ، يتم استخدام Chainlink CCIP بشكل شائع. يوفر CCIP طريقة آمنة لنقل البيانات بين سلاسل الكتل المختلفة في سيناريوهات عبر السلاسل.

هنا، نقدم استخدام مكالمة مباشرة إلى عقد أوراقل. تخيل أنك مطور عقود ذكية في نظام إيثيريوم، وتحتاج إلى جلب بيانات سعر ETH/USD باستخدام أوراكل في عقدك. أولاً، ستقوم بتعريف واجهة للاتصال بعقد الأوراكل وكتابة وظيفة لجلب بيانات السعر.

هذا المثال البسيط للعقد يوضح كيف PriceConsumerيسترجع العقد بيانات السعر في الوقت الحقيقي ويستخدمها لاتخاذ القرارات. يوفر هذا فهمًا أساسيًا لكيفية تفاعل العقود الذكية مع الأوراق المالية للوصول إلى بيانات السعر. فيما بعد، سنحلل المخاطر المرتبطة من وجهتي نظر:

من منظور العقد الداخلي باستخدام المخرجات، يمكن للمهاجمين استغلال الأسواق ذات السيولة المنخفضة أو البورصات الصغيرة لتلاعب في أسعار ETH/USD من خلال المعاملات الكبيرة، مما يؤدي إلى تقلبات سعرية غير طبيعية. نظرًا لأن بعض المخرجات تعتمد على تجميع البيانات من عدة منصات تداول، يمكن أن تنتشر هذه التقلبات غير الطبيعية بسرعة إلى طريقة الاسترجاع الخاصة بالأسعار، مما يؤدي إلى تشويش الأسعار. تحدث هذه الحالة عادةً عندما تكون مصادر بيانات المخرج ذات تمركزية عالية والمخاطر غير متنوعة بما فيه الكفاية، مما يجعل النظام أكثر عرضة للتلاعب في الأسعار.

من منظور عقد خارجي، يحتاج التحليل إلى النظر في سيناريوهات تطبيق مختلفة. لنفترض أن عقد PriceConsumer يُستخدم في منصة إقراض حيث يمكن للمستخدمين إيداع الإيثريوم كضمان لاقتراض أصول أخرى. يقوم المهاجمون أولاً باستخدام القروض الفورية لاقتراض كميات كبيرة من الأموال وإيداعها مؤقتًا في صانعي سوق السيولة الآلي (AMM) أو حمامات السيولة الأخرى. إذا كان لدى AMM عمق تداول منخفض، فإن كمية كبيرة من الأصول الفردية التي تدخل بسرعة إلى الحوض ستسبب مباشرة انزلاق السعر.

في هذ scenar، يقوم مهاجم معاملاته الكبيرة بتغيير السعر الذي يتم الإبلاغ عنه من قبل AMM، والذي يتم بعد ذلك انعكاسه في سعر الأوراق المالية المعدل. بعد تلاعب السعر، يمكن للمهاجم الربح بطرق مختلفة، مثل:

1. تصفية الضمانات في بروتوكولات الإقراض: قد يؤدي سعر التلاعب إلى تصفية بعض الأصول المرهونة. يمكن للمهاجم شراء هذه الأصول بسعر منخفض أثناء التصفية للحصول على ربح.
2. التحكم عبر المنصات: إذا خلق السعر المعادل اختلافًا كبيرًا في السعر بين المنصات ، فقد يستغل الهاجم هذا الاختلاف لتنفيذ صفقات التحكم الرابحة.

بمجرد اكتمال عمليات الهجوم ، يمكن للمهاجم سحب الأموال فورًا ، واستعادة سعر الـ AMM ، وسداد القرض السريع بفائدة ، وبالتالي إنهاء عملية التلاعب.

بعد ذلك، سننغمس في مناقشة أعمق، ونحلل حالات محددة لهجمات الأوراكل، وطرقها، ونفحص تأثيرها المدمر على بروتوكولات ديفي والنظم البينية المعتمدة على السلسلة، مع تفكيك المنطق الأساسي والتفاصيل التقنية الرئيسية.

المخاطر التي تسببها الموردين مباشرة وغير مباشرة

على الرغم من أن التلاعب في السوق وهجمات الأوراق المالية قد تكون لها عواقب مماثلة ، مثل تشويه الأسعار وخسائر الأصول ، إلا أن أساليبهما ونقاط الفشل المختلفة. تعود معظم الخسائر في مجال البلوكتشين إلى التلاعب في السوق بدلاً من العيوب التصميمية الفطرية في الأوراق المالية. الاختلافات الرئيسية هي كما يلي:

• يتضمن تلاعب السوق تغيير العرض والطلب بشكل مصطنع للتضخم أو التضاؤل في أسعار الأصول. تتضمن التكتيكات الشائعة التداول الكاذب وتلاعب السوق العابر. على سبيل المثال، تعتبر الأصول ذات السيولة المنخفضة أكثر عرضة للتلاعب، مما قد يؤدي بالتالي إلى ديون سيئة ومخاطر سيولة لبروتوكولات الديفي.
• تعرض هجمات أوراكل مصادر بيانات الأوراكل للتشويش، مما يؤدي إلى تقديم أسعار غير متسقة مع السوق الفعلية. قد يكون ذلك بسبب التلاعب العمد، أو نقص مصادر البيانات، أو ثغرات أمان الأوراكل. يستغل المهاجمون الاختلاف بين تغذية البيانات وأسعار السوق الفعلية للتلاعب في عمليات بروتوكولات DeFi، مثل الترهين أو التصفية.

دعونا نحلل هذه الحالة:

في جوهرها، يتم تحقيق تلاعب السوق عن طريق تغيير الأسعار الفعلية للسوق، مع الأوراق المالية التي تعكس هذه الأسعار المدبرة بأمانة، في حين تنطوي هجمات الأوراق المالية على الإبلاغ عن أسعار غير صحيحة بينما تظل أسعار السوق طبيعية. بعد فهم الفرق بين الأوراق المالية وتلاعب الأسعار، سيكون خطوتنا التالية هي استكشاف الفروقات بين الحصول على البيانات داخل السلسلة وخارجها، لفهم كيفية نقل الأوراق المالية للبيانات بشكل أعمق.

حالات الهجوم المرتبطة بأوراكل

من بين العديد من حوادث الهجوم على أوراقل، تشمل الأنواع الشائعة التلاعب بالأسعار، والقروض الفلاش المجمعة مع تشويهات الأوراقل، وأخطاء بيانات خارج السلسلة، واستغلال ثغرات تصميم البروتوكول. فيما يلي، نناقش حالتين نموذجيتين: حادث تلاعب بأسعار UwU Lend، الذي كشف عن ثغرات الأوراقل على السلسلة للتلاعب الخبيث، وفشل أوراقل Synthetix خارج السلسلة، الذي أظهر التأثير العميق لأخطاء البيانات الخارجية على عقود السلسلة.

حادثة تلاعب في أسعار الإقراض لـ UwU

في 10 يونيو 2024 ، تعرض UwU Lend ، وهي منصة إقراض للأصول الرقمية تعتمد على سلاسل EVM ، لهجوم أدى إلى خسارة تقدر بنحو 19.3 مليون دولار. هذا الحادث كشف عن ثغرات محتملة في آليات أوراكل داخل بروتوكولات DeFi.

استخدم UwU Lend عملة مشفرة تسمى sUSDE، حيث تم تحديد سعرها بواسطة مورد الأسعار. كعنصر حرج في بروتوكول الإقراض، كانت المسؤولية الأساسية لمورد الأسعار هي الحصول على بيانات سعر دقيقة وتوفيرها لضمان أن العمليات الرئيسية مثل الإقراض والتصفية تعتمد على أسعار عادلة ومستقرة. ومع ذلك، أصبح هذا الآلية الأساسية نقطة الدخول للهجوم.

قام المهاجم بتلاعب سعر سوسدي عن طريق إجراء عمليات تبادل كبيرة داخل حوض السيولة في Curve Finance. تسببت هذه العملية في تشويه بيانات الأسعار التي يعتمد عليها أوراكل UwU Lend. باستغلال القيمة المضخمة لسوسدي ، استخدم المهاجمها كضمان لاستخراج أصول أخرى من UwU Lend ، مما تسبب في استنزاف كبير للأصول للمنصة.

كان سبب هذا الحادث في تصميم UwU Lend غير الكافي لمكافحة التلاعب بنظام الأوراق المالية. هذه الضعف سمح للمهاجم بالتلاعب بسعر السوق، وتحريف البيانات المُبلَّغ عنها من قبل الأوراق المالية، وتنفيذ هجوم مستهدف. يسلط هذا الحالة الضوء على نقص شائع في منصات الديفي—وهو ضعف آليات مكافحة التلاعب في الأوراق المالية، ولا سيما في بيئات السوق ذات السيولة المنخفضة، حيث تكون هذه المخاطر أكثر وضوحًا.

من الجدير بال mcp تحميل الاشتباه بالتشابه بين هذا الحادث وهجمات القروض الفلاش. تتضمن هجمات القروض الفلاش عادة إنشاء انحرافات في الأسعار من خلال تدفقات رأسمالية كبيرة ومؤقتة، مما يعطل آليات ردود الفعل الأسعار المستخدمة لتحقيق التجارة الإلكترونية للأصول أو أهداف شريرة أخرى. هذا التشابه يؤكد أيضًا أهمية تصميمات موثوقة لمكافحة التلاعب في روابط البوابة، وهي مكونات حرجة لأمان نظام ال DeFi.

في المستقبل، يجب على منصات الديفي التركيز على استراتيجيات مثل تجميع بيانات الأسعار من مصادر متعددة، وتحسين ترددات تحديث الأسعار، ومراقبة الأسعار الشاذة عند بناء آليات الأوراق المالية. يمكن تعزيز قدرات مكافحة التلاعب بالأسعار للحد من المخاطر النظامية الناتجة عن الفشل في نقطة واحدة أو تقلبات السوق.

فشل أوراقل Synthetix

في 25 يونيو 2019 ، تعرض Synthetix ، بروتوكول سيولة الاشتقاقات على منصة Ethereum ، لفشل حرج في نظامها المخصص للأسعار الخارجة عن السلسلة ، مما أدى إلى توليد أرباح ضخمة غير متوقعة في صفقة واحدة. اعتمدت Synthetix على مصادر سرية لتزويد الأسعار ، حيث كانت تجمع وتنشر الأسعار على السلسلة في فترات زمنية محددة لتوفير أسعار التداول للأصول الاصطناعية الطويلة أو القصيرة للمستخدمين.

ومع ذلك، أفاد أحد قنوات الأسعار بشكل خاطئ بمعدل صرف الوون الكوري (KRW) بمقدار 1،000 مرة قيمته الفعلية. فشل النظام في تصفية هذه البيانات الشاذة، مما أدى إلى قبول السعر الخاطئ ونشره على سلسلة الكتل. اكتشفت روبوت التداول هذا الخطأ ونفذت بسرعة عمليات الشراء والبيع في سوق sKRW، مكبدًا أرباحًا كبيرة من خلال التحكم في الفجوة. اكتشاف الفريق السريع للمشكلة سمح لهم بالتفاوض مع التاجر، الذي أعاد الأرباح مقابل مكافأة الخلل، مما حال دون خسائر محتملة تزيد عن 1 مليار دولار.

على الرغم من أن فريق Synthetix قام بتنفيذ إجراءات لتجميع بيانات الأسعار من مصادر متعددة للحماية من عدم الدقة الناتجة عن مصدر واحد، إلا أن هذا الحادث أبرز المخاطر الكامنة في المصدر الخارجي للبيانات أو الأوراق المالية. عندما تخطئ مصادر البيانات الفرعية، فإن العقود على السلسلة ليس لديها رؤية لعملية حساب الأسعار وبالتالي لا يمكنها اكتشاف الشذوذ تلقائياً.

التدابير الوقائية

تبرز الحالات أعلاه أن التحديات التي تواجه الأوراق البيضاء تتجاوز دقة مصادر البيانات، بما في ذلك مقاومة التلاعب وأمان تكامل البيانات خارج السلسلة. وعليه، فإن منع هجمات الأوراق البيضاء ذو أهمية قصوى. يصبح تعزيز الأمان والموثوقية وقدرات مكافحة التلاعب الخاصة بالأوراق البيضاء عاملاً رئيسيًا عند تصميمها واستخدامها. في هذا القسم، نستكشف التدابير الفعالة لمواجهة أنواع مختلفة من الهجمات وتعزيز الأمان الشامل لنظم الأوراق البيضاء.

1. استخدم مصادر البيانات المتعددة لضمان دقة البيانات

تحليل الحالة: في حادثة تلاعب سعر UwU Lend، نجح المهاجمون في تلاعب في أوراق الأسعار لـ UwU Lend عن طريق التأثير على سعر sUSDE في بركة Curve Finance. من خلال استغلال ثغرة تلاعب الأسعار، استخرج المهاجمون أصولاً لم يتم تقييمها بشكل صحيح من قِبل النظام. إذا كان يستخدم UwU Lend مصادر بيانات متعددة لتحديد سعر sUSDE، يمكن للنظام التحقق من الأسعار من خلال مصادر أخرى، مما يقلل من مخاطر الهجوم.

تحليل موسع: شمل هذا الحادث تلاعبًا بالأسعار وكشف القضايا المتعلقة بنقص السيولة. عندما يفتقر الرمز الرقمي إلى سيولة سوق كافية، يجعل العمق التجاري الضحل سعره تحت تأثير سهل من قبل عدد قليل من الصفقات، مما يزيد من ضعف البوابة الداخلية. وعلى نحو مترتب، عند إطلاق الرموز الرقمية الجديدة، يجب على فرق المشاريع تقييم سيولة السوق بعناية لمنع تشويه الأسعار والمخاطر الأمنية المرتبطة. على سبيل المثال، تفرض بروتوكولات الإقراض مثل Aave وKamino وScallop قيودًا أكثر صرامة على الرموز ذات السيولة المنخفضة في تصاميمها لضمان استقرار السوق والأمان.

النهج الأمثل: لضمان دقة البيانات ، يجب على البروتوكولات اعتماد استراتيجية متعددة المصادر عن طريق دمج معلومات من مصادر بيانات متعددة وموزعة مثل Chainlink أو Band Protocol لتجميع البيانات من مختلف الصرافات أو حمامات السيولة. يساعد هذا النهج على التخفيف من التأثير على الأمن على مستوى النظام إذا تم تلاعب بأي مصدر بيانات واحد.

2. مجمعات بيانات متمركزة لضمان أمان نقل البيانات

تحليل الحالة: كشف فشل أوراق العمل الخارجية الخاصة بالسينثيتيكس عن مخاطر الأخطاء في مصادر البيانات الخارجية. في هذا الحادث، تم الإبلاغ عن سعر غير صحيح للون الكوري (KRW)، مما سمح لروبوت تداول بالاستفادة من الخطأ للتحكم بالفروقات. إذا كانت السينثيتيكس قد استخدمت مجمع بيانات لامركزي، كان بإمكان مصادر البيانات اللامركزية الأخرى تصحيح المشكلة على الفور، حتى إذا فشلت مصدر بيانات خارجي واحد.

نهج التحسين: شبيهًا بالتحسينات في Uniswap V3، يمكن استخدام مجمعي البيانات اللامركزية لتعزيز أمان نقل البيانات. من خلال الاستفادة من بروتوكولات التشفير (مثل TLS) والتحقق من التوقيع، بالإضافة إلى الخوادم اللامركزية للتوجيه، يمكن للأنظمة أن تمنع هجمات الرجل في الوسط وتلاعب البيانات. على سبيل المثال، في Chainlink oracle، يتم التحقق من كل مصدر للبيانات من قبل عدة أجهزة مستقلة ومحمية بتقنيات التشفير لضمان سلامة وثبات البيانات المرسلة.

4. التصميم النمطي في هندسة التطبيق لتقليل مخاطر نقطة الفشل الفردية

تحليل الحالة: تكشف العديد من حوادث الهجمات عن نقاص في التصميم القابل للتوسيع لبروتوكولات DeFi ، التي عادة ما تفتقر إلى آليات دفاعية كافية. من خلال تصميم وبناء وحدات مستقلة بعناية ، يمكن منع المهاجمين من استغلال ثغرة واحدة لتسبب أضرار مدمرة للنظام بأكمله. على سبيل المثال ، في حالة فشل بوابة المصادر المالية الخارجة عن السيطرة ، إذا كان فريق التطوير قد صمم مسبقًا نظام تنبيه مستقل ، فيمكنه التعرف على البيانات الغير طبيعية وتصحيحها بشكل أسرع.

المنهج الأمثل: لتعزيز مقاومة الهجمات ، يمكن للمطورين اعتماد الهندسة المدمجة خلال عملية التطوير وضمان أن كل وحدة (مصدر البيانات ، منطق التحقق ، وحدة النقل) تعمل بشكل مستقل. على سبيل المثال ، كما في Uniswap V3 ، يتيح تخزين معلومات الأسعار من حمامات السيولة المختلفة في حمامات المراقبة المنفصلة للبروتوكول مقارنة الأسعار عبر عدة حمامات ، مما يقلل من خطر التلاعب في أي حمام واحد. في التطوير العملي ، يمكن أن تفصل تقنيات مثل التجميع الواجهة وحقن التبعية وحدة التحقق من البيانات عن البيانات الأخرى ، مما يضمن مرونة النظام وقابلية الصيانة.

5. آليات الدفاع المتكيفة في العقود الذكية

بينما يعتمد معظم العوامل الخارجية على إجراءات الدفاع الاستاتيكية، يمكن للعقود الذكية أن تعتمد استراتيجيات الدفاع المتكيفة لمواجهة طرق الهجوم الديناميكية بشكل كبير. على سبيل المثال، يمكن للنظام من خلال مراقبة تردد التذبذبات السعرية الغير طبيعية، تحديد ما إذا كان هناك هجوم يحدث وتشغيل آليات التحقق الإضافية أو آليات العودة المتأخرة استجابة لمثل هذه الاختلافات. يمكن لهذا النهج المتكيف حماية النظام تلقائيًا من الخسائر المحتملة خلال عمليات تلاعب الأسعار المفاجئة.

التطبيق العملي: تقوم بعض بروتوكولات الديفي بتنفيذ آليات "تنبيه الحد" لاكتشاف التقلبات السعرية الكبيرة في الوقت الحقيقي. إذا تجاوزت التقلبات السعرية الحد المعين مسبقًا، يقوم النظام تلقائيًا ببدء عمليات التحقق الإضافية أو بتشغيل عمليات الإرجاع لمنع تصاعد التلاعب. على سبيل المثال، يستخدم بروتوكول البالانسر حد تقلب السعر. إذا تم اكتشاف سعر مرتفع أو منخفض بشكل مفرط، يوقف بعض العمليات حتى الحصول على مزيد من التأكيدات بشأن صحة السعر.

بناءً على مناقشات تحسين تصميم وتطبيق مورد البيانات، يمكننا استكشاف حلول محددة داخل تطبيقات ديفاي. فيما يلي، سنقدم آلية السعر المتوسط المرجح للزمن في يونيسواب V2 وتحسيناته في V3.

حالات تحسين الأمان في تطبيقات الديفي أوراقل

أمان المعرفين هو قلق أساسي لبروتوكولات ديفي. قدمت العديد من بروتوكولات ديفي ابتكارات قيمة لمنع هجمات المعرف. على سبيل المثال، قدمت يونيسواب أفكارًا جديدة لتصميم المعرف من خلال تحسيناتها في إنشاء الأسعار في السلسلة وآليات الدفاع. يوضح مقارنة بين يونيسواب V2 و V3 كيف يمكن للتحسينات التقنية تعزيز قدرات مكافحة التلاعب في المعرف، مما يوفر مسارًا واضحًا لتصميم آمن للعقود الذكية.

TWAP في يونيسواب V2

أدخلت Uniswap V2 مُدخل TWAP (السعر المتوسط المُوزون زمنيًا) لأول مرة، مما يمكّن المُطوّرين على السلسلة من الوصول إلى بيانات الأسعار من تبادلات العملات اللامركزية (DEX). TWAP هو مُدخل على السلسلة يستمد بياناته من بيانات التداول على السلسلة الخاصة بـ Uniswap دون الاعتماد على أي بيانات خارج السلسلة.

في زوج يونيسواب V2العقد، ال_update()الوظيفة هي الوظيفة الخاصة الأساسية المسؤولة عن تحديث الاحتياطيات ومجمعات الأسعار لأزواج التداول. الغرض الأساسي منها هو استخدام مجمع الأسعار المرجح زمنيًا للمساعدة في منع هجمات المدمرة.

فكرة هذه الوظيفة الأساسية هي تقييد قدرة المهاجم على التلاعب بالأسعار في نقطة واحدة في الوقت عن طريق تسجيل تغييرات الأسعار المرتبطة بالوقت لكل كتلة. على وجه التحديد، يحسب الوظيفة الفرق الزمني (timeElapsed) بين الوقت الحالي وآخر تحديث، ثم يضرب هذا الفرق بسعر الزوج التجاري الحالي، ثم يضيف النتيجة إلى متراكمات السعر ( price0CumulativeLastوprice1CumulativeLast. يُسجّل هذا التراكم السعر المتوسط المُوزّن زمنيًا لتخفيف التقلبات السعرية المحتملة. نظرًا لأنّ السعر يُتراكم على مدى فترة زمنية، فإنّ المهاجمين سيحتاجون إلى العمل بشكل متواصل عبر عدة كتل لتغيير السعر بشكل كبير، مما يزيد من تكلفة التلاعب.

علاوة على ذلك، تقوم الوظيفة بتحديث المجمعات السعرية فقط إذاالوقت المنقضيأكبر من 0 ، مما يعني أن السعر سيتم تحديثه مرة واحدة فقط في كل بلوك. هذا التصميم يحد من تكرار عمليات الهجوم في فترة زمنية قصيرة. للتلاعب بالسعر بشكل فعال ، يحتاج المهاجمون إلى التدخل باستمرار عبر عدة كتل بدلاً من كتلة واحدة ، مما يقلل بشكل أكبر من احتمالية التلاعب.

من وجهة نظر الأمان، هذا الآلية قوية. تتضمن الوظيفة فحوصات تجاوز لضمان ألا تتجاوز القيم القصوى للمخزون الحدود النظام، وتحمى أيضًا حسابات الأسعار التراكمية من الفائض. هذه العناصر التصميمية تجعل التلاعب الخارجي أصعب بشكل كبير.

ومع ذلك، فإن الإصدار V2 من البوابة يعاني من بعض القيود العملية. على سبيل المثال، يوفر العقد الرسمي فقط قيم التسعير التراكمية الأخيرة، مما يتطلب من المطورين تسجيل واسترجاع البيانات التاريخية للأسعار، مما يفرض حاجزًا تقنيًا أعلى. بالإضافة إلى ذلك، لا يسجل بوابة V2 عمق زوج التداول مباشرة. عمق زوج التداول أمر حاسم لاستقرار البوابة في مواجهة الهجمات - فإن عمق أقل يجعل من السهل تلاعب الأسعار.

Uniswap V3

لمعالجة قيود الإصدار السابق لها، قام Uniswap بتحسين وظائف الأوراق المالية في الإصدار V3 الخاص بها. حافظت عقود V3 على قيم السعر التراكمية مع مرور الوقت وأضافت القدرة على تخزين معلومات السعر التاريخية، مدعمة بما يصل إلى 65،535 سجلًا. وهذا الإجراء القضى على الحاجة لدى المطورين لتخزين البيانات التاريخية يدويًا.

بالإضافة إلى ذلك، يسجل بوابة الإصدار V3 قيم السيولة المرتبطة بالوقت لمختلف فئات الرسوم. يتيح هذا للمطورين اختيار حوض السيولة ذو الأحجام الأكبر كمصدر مرجعي للأسعار، مما يضمن دقة أكبر في الأسعار. يجري تجميع جميع البيانات المتعلقة بالمعرف في مكتبة البرمجيات الخاصة بالمعرف، مما يسمح للعقود بتسجيل معلومات سعر وسيولة تراكمية لكل عملية تجارية بشكل تلقائي دون الحاجة إلى صيانة المستخدم الخارجي.

تحسين آخر يستحق الاهتمام هو ضبط طريقة حساب الأسعار. في Uniswap V2، تمت محاسبة TWAP بناءً على المتوسط الحسابي، بينما يعتمد V3 المتوسط الهندسي. بالمقارنة مع المتوسط الحسابي، يوفر المتوسط الهندسي استقرارًا أكبر في التنفيذ وهو أكثر مناسبة للبيئات ذات التقلبات السعرية العالية، مما يقلل بشكل أكبر من مخاطر التلاعب.

الاتجاهات المستقبلية

مهاجمو Oracle يشملون مجموعات منظمة وقراصنة مستقلين ومشاركون محتملون من الداخل يتعاونون مع الأطراف الخارجية. تنطوي مثل هذه الهجمات عادة على تعقيد فني معتدل ، مما يتطلب من المهاجمين أن يكونوا لديهم فهم أساسي للبلوكتشين والعقود الذكية ومهارات محددة لاستغلال الثغرات. مع انخفاض الحواجز التقنية ، فإن تعقيد هجمات Oracle ينخفض ، مما يسمح للقراصنة الذين لديهم خبرة تقنية أقل بالمشاركة.

تعتمد الهجمات على أوراق اللعب بشكل كبير على التشغيل التلقائي. يستخدم معظم المهاجمين أدوات متطورة لفحص وتحليل البيانات على السلسلة الرئيسية، مما يسمح لهم بتحديد واستغلال الثغرات الأمنية مثل تقلبات الأسعار أو تأخير البيانات في أوراق اللعب بسرعة. على سبيل المثال، يمكن للروبوتات التحكيمية والنصوص التلقائية الاستجابة لتغييرات الأسعار في غضون ميلي ثانية، مما يضمن للمهاجمين الربح قبل أن يتكيف السوق. مع استمرار شبكات البلوكتشين في اللامركزية، تصبح هذه الطرق التلقائية أكثر كفاءة، مما يجعل هجمات أوراق اللعب أكثر دقة وأصعب اكتشافاً.

نظرًا للأمام، من المحتمل أن يتحسن موثوقية بيانات الأوراق المالية ومقاومة التلاعب من خلال اعتماد واسع لآليات التسعير الموحدة مثل السعر المتوسط المرجح زمنيا (TWAP) والتحقق من البيانات من مصادر متعددة بتوقيع تشفيري. بينما قد يقلل هذا من إمكانية هجمات الأوراق المالية، قد تظهر تهديدات جديدة - وبخاصة الأساليب المتطورة التي تجمع بين مختلف تقنيات التحكيم لتجاوز الفحوصات الأمنية. يجب على مطوري DeFi البقاء يقظين، حيث تعتمد مستقبل أمان الأوراق المالية على تعزيز مستمر لتدابير حماية البيانات اللامركزية والدفاع الاحترازي ضد البنيات الهجومية الناشئة.

الاستنتاج

استكشف هذه المقالة الدور الحاسم الذي تلعبه المعرفات في أنظمة ديفي وثغرات الأمان الخاصة بها، وتفحص أنواع المعرفات وأمثلة التطوير ودراسات الحالة والإجراءات الوقائية. تركز التحليل على مجالين رئيسيين: هجمات المعرفات المستندة إلى القروض الفلاش والهجمات العشوائية الناشئة عن فشل المعرفات. من خلال هذا الفحص، أظهرنا الأهمية الأساسية للمعرفات في بنية أمان ديفي وحاجتها لمقاومة التلاعب مع توفير أساليب عملية لمنع هجمات المعرفات.

تنويه: محتوى هذا المقال هو للإشارة فقط وهو مقصود للتعلم وتبادل المعرفة حول هجمات الأوراق المالية. لا يشكل هذا توجيهًا للعمليات الفعلية أو حالات التعليم.