قبل بضعة أشهر، أصلح بوليجون ثغرات أمنية حرجة في عملائهBor و Heimdall. التحديثات Austin و Kyoto أغلقت بشكل رئيسي ثغرات كانت يمكن أن تؤدي إلى هجمات الحرمان من الخدمة (DoS) أو مشاكل في آلية الإجماع. ллЛл令人 inquieting (أو لنتحدث بصراحة، مقلقة) هو أن هذه التصحيحات تمت قبل الإعلان العلني عنها، وذلك بالفعل في يوليو وأكتوبر 2023. يذكرني هذاSituation عندما تدرك بعد أشهر أن سقف المنزل المتسرب تم إصلاحه… ولم يخبرك أحد!
لماذا ظلت هذه المشاكل دون كشف لفترة طويلة؟
هل Hard Forks مسألة بسيطة؟ إنها تغييرات أساسية في البروتوكول يجب أن تتم مع الكثير من الجهد وفحوصات الأمان. في بوليجون، وهو حل Layer-2 مهم على Ethereum، تم تطبيق التحديثات Austin و Kyoto ليس بشكل عشوائي. ومع ذلك، تم الإعلان عن تفاصيل الثغرات الأمنية التي تم إصلاحها فقط بعد شهور.
يدعي بوليجون أن الإصلاحات تمت "ضمن أعمال الصيانة العادية". يبدو هذا معقولاً على السطح، أليس كذلك؟ ولكن عندما نضع في الاعتبار أن هذه الثغرات كان يمكن نظرياً استغلالها أثناء التشغيل العادي، نتساءل لماذا لم يكن هناك شفافية أكبر. تؤكد الشركة أن التدقيقات الداخلية والاختبارات الآلية هي التي كشفت عن الثغرات، لكن لماذا لم يتم الإبلاغ عن ذلك مباشرة؟
أجد أن هذا يطرح مأزق حقيقي: الأمان والشفافية. كلاهما مهم، لكن في بعض الأحيان يبدو أنهما يتعارضان.
فما هي المشكلة بالضبط؟
وفقًا لمدونة بوليجون، كان هناك مجالان رئيسيان يحتاجان إلى إصلاح:
1. الثغرات susceptibility في هجوم الحرمان من الخدمة (DoS) في عميل Bor:
عميل Bor مسؤول عن إنتاج الكتل، وهناك ثغرة هنا تسمح للمهاجمين بإغراق الشبكة بطلبات مستهدفة. تخيل أن أحدهم يرسل عددًا هائلاً من طلبات المعاملات مما يتسبب في توقف النظام – هذا هو هجوم DoS الكلاسيكي. يقول بوليجون إن هذا لم يحدث أبدًا، ولكن مجرد إمكانية حدوثه يظهر مدى قابلية حلول Layer-2 مثل هذه للهجمات.
2. مشاكل الإجماع في عميل Heimdall:
Heimdall يتحقق من صحة الكتل، وهناك ثغرة هنا تسمح للمدققين بفرض كتل غير صالحة أو التلاعب
Trade crypto on Bybit – low feesفي التصويت. وهذا أمر بالغ الأهمية لأنه يقوض الثقة في أمان الشبكة بشكل مباشر. إذا لم يعد المستخدمون قادرين على الوثوق بأن الكتل صحيحة، فالوضع يصبح مشكلة.
الشفافية مقابل ثقافة الأمان؟ مأزق حقيقي.
أفهم حجة بوليجون بأن الإعلان المبكر كان يمكن أن "يثير قلقاً غير ضروري". لكن هذا هو precisely المشكلة: في مجتمع blockchain، غالبًا ما يتم التأكيد على الشفافية. مشاريع مثل Ethereum أو Bitcoin تخبر مستخدميها ومطورّيها بانتظام عن التحديثات – حتى لو لم تكن هذه ثغرات أمنية حرجة. فلماذا اختفت السرية في حالة بوليجون؟
تتحدث خبيرة أمان الكريبتو سارة جونسون (الاسم مستعار) عن الأمر بوضوح: "يجب أن يكون الأمان دائمًا أولوية، لكن الشفافية مهمة بنفس القدر. إذا لم يتم إبلاغ المستخدمين والمطورين بالمخاطر في وقت مبكر، فلن يتمكنوا من اتخاذ قرارات مستنيرة."
ماذا يعني هذا بالنسبة للمستخدمين والمطورين؟
بالنسبة لمعظم مستخدمي بوليجون، لا يتغير شيء على المدى القصير – فالشبكة تعمل بشكل مستقر. لكن هذه الحادثة يجب أن تدعونا جميعًا للتأمل:
1. بالنسبة للمستخدمين:
- حتى لو لم تكن هناك خطر فوري، فإن هذه الحادثة تظهر مدى أهمية الانتباه إلى التحديثات بانتظام.
- اطلع على إجراءات الأمان الخاصة بالblockchains المفضلة لديك. لا تنتظر حتى تحدث المشكلة، بل تابع continuously.
2. بالنسبة للمطورين:
- التدقيقات الخارجية ليست رفاهية بل ضرورة. خبراء أمان خارجيون ربما كانوا قد اكتشفوا هذه الثغرات earlier.
- يمكن أن تعزز الاتصالات الأكثر شفافية حول تحديثات الأمان من الثقة في النظام البيئي.
خطوة في الاتجاه الصحيح – لكن هناك مساحة للتطوير
لا أريد أن أتعامل مع بوليجون بشكل غير عادل – لقد تصرفوا بسرعة وفعالية لإغلاق الثغرات، وهذا يستحق التقدير. لكن الإعلان المتأخر остается مشكلة. في صناعة تخضع لضغوط مستمرة وتحارب الهجمات باستمرار، لا تعد الشفافية خياراً إضافياً بل متطلب أساسي للثقة.
يجب على بوليجون في المستقبل – مثل العديد من مشاريع blockchain الأخرى – أن يجد وسيلة وسط: تواصل سريع ومسؤول عن المخاطر الأمنية، مقترناً بإجراءات وقائية.只有这样 يمكن الحفاظ على ثقة المستخدمين على المدى الطويل.
السؤال ليس ما إذا كانت هناك ثغرات أخرى ستظهر، بل كيف يتم التعامل معها قبل أن تصبح مشكلة حقيقية. وهذا لا ينطبق فقط على بوليجون، بل على مجتمع blockchain بأكمله.
📰 اقرأ أيضًا
→ الهيئة الأمريكية للأوراق المالية ت uncovering احتيالًا واسعًا من قبل مستشاري الاستثمار – 38 كيانًا متهمًا→ الأسهم الرمزية: شركة ICE، المالكة لبورصة نيويورك، تستثمر في tZERO→ Zcash-Transaktionen werden schneller: Neue Kryptografie macht mobile Privatsphäre praxistauglich