في عام 2016، اندلعت قضية أمنية غريبة هزت عالم blockchain: تمكن مهاجم من سرقة أصول رقمية بقيمة 60 مليون دولار من عقد سلسلة مشروع The DAO الرائد، مقابل رسوم معاملات تقل عن دولار واحد، باستخدام سطر كود مكتوب بترتيب خاطئ. لم يتم استخدام أي هجوم عنيف أو اختراق غير قانوني، بل كانت العملية بالكامل عبر ثغرة منطقية في الكود نفسه.

مبدأ هذه الثغرة بسيط للغاية: منطق السحب الطبيعي يجب أن يقوم أولاً بتصفير رصيد حساب المستخدم، ثم تنفيذ التحويل. لكن العقد في ذلك الوقت كتب الترتيب بالعكس - أرسل الأموال أولاً، ثم صفر الرصيد. استغل المهاجم آلية الاستدعاء العكسي التي يتم تشغيلها أثناء التحويل، لبدء طلبات سحب متكررة، مستغلاً عدم تحديث حالة الرصيد بعد، وسحب الأموال جولة بعد جولة، بشكل متكرر حتى استنزاف احتياطي العقد بالكامل. وكان الحل يحتاج فقط إلى تبديل موضع سطرين من الكود.

لم يكن The DAO مشروعاً صغيراً، بل كان المشروع الرائد الأكثر بروزاً في نظام Ethereum البيئي في ذلك الوقت، حيث بلغ حجم جمع التمويل الجماعي 150 مليون دولار. خضع الكود لمراجعات مجتمعية متعددة وتدقيق من فرق أمنية محترفة، لكن لم يتمكن أحد من اكتشاف هذا الخطأ المنطقي الأساسي.

أجبرت هذه الحادثة في النهاية مجتمع Ethereum على إجراء شوكة صلبة، لاسترجاع المعاملات المسروقة بالقوة، مما أدى مباشرة إلى انقسام فرع سلسلة Ethereum Classic. ولأول مرة، واجه المبدأ الذي طالما اعتنقته الصناعة "الكود هو القانون" صفعة قوية من الواقع، ولا يزال الجدل حول ما إذا كان استغلال الثغرة عملية معقولة أم سرقة مستمراً حتى اليوم.

والأكثر سخافة هو أنه بعد أكثر من عقد من الزمان، لم تختفِ هذه الثغرات الأساسية فحسب، بل ظهرت بأشكال متعددة. في عام 2021، تعرض بروتوكول الإقراض الشهير CREAM Finance لنفس الأسلوب وسرق 130 مليون دولار، وبسبب تداخل طبقات الاستدعاء وتعقيدها، لم يتمكن حتى التدقيق الأمني الكامل من اكتشاف المخاطر.

بالإضافة إلى ذلك، هناك هجمات التحكم في القروض السريعة بدون رأس مال، وأخطاء منخفضة المستوى في كتابة أذونات الدوال، وحتى حادثة جسر cross-chain الكبرى التي تسببت في خسارة 625 مليون دولار بسبب بريد إلكتروني تصيدي واحد، كلها تتكرر في الصناعة. العديد من المشاريع، من أجل الإسراع في إطلاقها وخفض تكاليف التطوير، تتنازل مراراً عن جوانب الأمان، وكل تفصيلة كسولة تؤدي في النهاية إلى خسائر فادحة لا يمكن تعويضها.
$ETH
{spot}(ETHUSDT)