It's audited.
ما الذي يغطيه التدقيق فعلًا، وما الذي يتركه، وكيف تقرأ تقرير تدقيق لأي رمز.
Safe, they said · 2/10
تم إنشاؤه بواسطة:
Legendary Klack
Tags:
«It's audited» جملة تنهي من النقاشات أكثر مما تنهيه أي جملة أخرى في عالم الكريبتو.
وهي صحيحة في أحيان كثيرة على نحو مفاجئ. وتخبرك بأقل كثيرًا مما توحي به.
هذا هو الجزء الثاني من سلسلتنا «Safe, they said.» عشر جمل تستخدمها المشاريع لتطمئنك، جملة كل أسبوع. وهذه ثانيتها، مفككة.
ما هو التدقيق، في فقرة واحدة
يدفع المشروع لشركة أمن كي تقرأ شيفرته. تحصل الشركة على نسخة ثابتة من تلك الشيفرة وعلى مدة ثابتة. تبحث عن الأخطاء، وتدوّنها مع درجة خطورة كل منها، ويردّ المشروع على كل واحد منها. والنتيجة تقرير يحمل تاريخًا.
إذن التدقيق إفادة عن نسخة واحدة من شيفرة ما، في لحظة واحدة، يقدّمها أشخاص قد يفوتهم شيء. والتقرير الجيد يقول ذلك بنفسه، قرب نهايته عادةً.
الحد الأول: النطاق
يغطي التقرير ما أُعطي للشركة. وهو عادةً العقود. وعادةً لا يشمل الموقع، ولا الخوادم، ولا الإعدادات التي نُشرت بها العقود، ولا المفاتيح التي تتحكم فيها.
«مدقَّق» من دون كلمة «ماذا» نصف جملة.
الحد الثاني: التاريخ
الشيفرة تتغير. العقد الذي يمكن ترقيته يمكن استبداله في اليوم التالي لصدور التقرير. عندها يصف التقرير شيئًا لم يعد يعمل.
السؤال ليس «هل جرى تدقيقه؟» بل «هل ما يعمل اليوم هو ما قُرئ؟»
الحد الثالث: العثور على الخطأ لا يعني إصلاحه
يسرد التقرير الملاحظات، وبجانب كل واحدة حالة. «Resolved» أو «fixed» تعني أن الخطأ زال. «Acknowledged» تعني أن المشروع قرأه وتركه كما هو. والمشروع يستطيع أن يقول «مدقَّق» مع أي من الحالتين.
الحد الرابع: المفاتيح
هذا هو الحد الذي يكلّف أكبر قدر من المال.
في 1 أبريل 2026 خسر بروتوكول تداول كبير على Solana نحو 285 مليون دولار، بحسب إحصاء شركة الأمن Cyfrin. وتقول Cyfrin والبروتوكول نفسه إن أي ثغرة في العقود لم تُستغل.
كانت صلاحيات الإدارة في البروتوكول بيد محفظة multisig يكفي فيها توقيع اثنين من خمسة موقّعين. وبحسب النتائج الأولية للبروتوكول نفسه، أمضى المهاجمون نحو ستة أشهر في بناء الثقة مع المساهمين، وجهًا لوجه، في المؤتمرات. ويُرجَّح أنهم اخترقوا أجهزة وحصلوا على توقيعات على معاملات لم يكن الموقّعون قادرين على رؤية محتواها الحقيقي. ثم حُجزت تلك المعاملات ونُفّذت لاحقًا. واستغرق سحب الأموال نحو اثنتي عشرة دقيقة.
ما كانت أي قراءة للشيفرة لتكشف ذلك. فالشيفرة فعلت تمامًا ما أمرتها به توقيعات صحيحة.
التدقيق يتحقق من أن القفل يعمل. ولا يتحقق ممن يحمل المفاتيح، ولا من طريقة حمايتها.
كيف تتحقق من ذلك لأي رمز
لا تحتاج إلى الوثوق بأي موقع لهذا، ولا حتى بموقعنا.
- اعثر على التقرير في موقع المدقّق نفسه، لا في موقع المشروع فقط.
- قارن العنوان أو نسخة الشيفرة في التقرير بما هو مستخدم اليوم.
- اقرأ حالة كل ملاحظة. عُدّ «resolved» و«acknowledged» كلًّا على حدة.
- اقرأ النطاق. ابحث عمّا ليس فيه: مفاتيح الإدارة، الترقيات، الـ Bridge، الموقع.
- اسأل هل ما زال تغيير العقد ممكنًا، ومن يستطيع ذلك. إن كان ممكنًا، فللتقرير تاريخ انتهاء لم يطبعه أحد عليه.
أين يقف SHIBC
خضع عقد رمز SHIBC لتدقيق من Hashlock في ديسمبر 2024. والتقرير منشور للعموم في موقع Hashlock. التصنيف هو «Secure»، مع ملاحظة واحدة منخفضة الخطورة، وتنبيه واحد يخص Gas، وأربعة تنبيهات تخص الجودة.
الستة كلها موسومة بـ «Acknowledged»، لا «Resolved». وهي طفيفة. جرى التخلي عن ملكية العقد، ولذلك لم يعد أحد يستطيع تغيير شيفرته. ما قرأه المدقّق في 2024 هو ما يعمل اليوم.
تحتفظ Hashlock بتصنيف أعلى للمشاريع التي لديها برنامج مكافآت ثغرات (bug bounty) أو مراقبة على السلسلة. وكلاهما مخطط له: برنامج إفصاح بنطاق منشور، ومراقبة.
يغطي التدقيق عقد الرمز. وما يُبنى حوله له شروطه الخاصة قبل الشبكة الرئيسية. شروط الـ Bridge مكتوبة في الورقة البيضاء، القسم 7.6. وتفاصيل التدقيق في القسم 8.7.
ما نستخلصه
التدقيق دليل، لا ضمان. يجيب عن «هل هذه الشيفرة هي ما تدّعيه؟» ولا يجيب عن «من يستطيع تغييرها، ومن يستطيع تحريك الأموال؟»
نظرتنا إلى طريقة إدارة أي رمز: قل ما الذي قُرئ، ومن قرأه ومتى. قل ما الذي تُرك كما هو. وعامل المفاتيح على أنها السؤال الأكبر، لأنها كذلك.
الأسبوع القادم، الجزء الثالث: «We have a multisig.»