كانت شركة Slock.it شركة ألمانية متخصصة في تقنية البلوك تشين، تأسست عام 2015 على يد كريستوف ينتزش، وسيمون ينتزش، وستيفان توال. وكان هدفها تمكين الأفراد من استئجار ومشاركة وفتح الأصول المادية عبر العقود الذكية على منصة إيثيريوم، دون الحاجة إلى وسيط. وتشتهر الشركة بكونها المطور لصندوق الاستثمار The DAO، وهو صندوق قائم على إيثيريوم، جمع ما يقارب 12 مليون إيثيريوم (حوالي 150 مليون دولار أمريكي آنذاك) عام 2016، قبل أن يتعرض للاختراق بعد أسابيع قليلة.
أدى هذا الاستغلال إلى انقسام حاد مثير للجدل في شبكة إيثيريوم في يوليو 2016، مما نتج عنه شبكتان: إيثيريوم (ETH)، التي عكست آثار السرقة، وإيثيريوم كلاسيك (ETC) ، التي احتفظت بالسلسلة الأصلية. ركزت شركة Slock.it لاحقًا على Incubed (IN3)، وهو عميل تحقق عديم الحالة للأجهزة منخفضة الطاقة، واستحوذت عليها شركة Blockchains, LLC في يونيو 2019.
تكمن أهمية هذه القصة في كشفها عن حجم الضرر الذي قد يُلحقه خطأ برمجي واحد في عقدٍ ما عندما يتحكم الكود بأموال حقيقية. كما أصبحت مرجعًا أساسيًا للنقاشات حول عدم قابلية التغيير، والحوكمة، وتنظيم الأوراق المالية. وتعتمد تفاصيل مثل القيم الدولارية على سعر الإيثيريوم المستخدم، لذا فإن الأرقام الواردة أدناه تقريبية.
الأصل والتاريخ
2015: تأسست شركة Slock.it في ميتفيدا، ألمانيا. وتتمثل فكرتها في "شبكة مشاركة عالمية" يتم فيها تأجير الأقفال الذكية والأجهزة المتصلة من خلال عقود إيثيريوم.
30 أبريل 2016: بدء بيع رموز DAO. يتم إصدار الرموز بمعدل 100 رمز DAO لكل 1 إيثيريوم خلال فترة الافتتاح.
مايو 2016: اختُتمت عملية البيع بجمع ما يقارب 12 مليون إيثيريوم من أكثر من 11,000 ألف مستثمر، وهو ما يُعدّ حينها أكبر حملة تمويل جماعي مُسجّلة. وأشارت ورقة بحثية نُشرت في الشهر نفسه إلى مخاوف أمنية وحثّت على توخي الحذر. (المصدر: ذا بلوك )
١٢ يونيو ٢٠١٦: نشر ستيفان توال منشورًا يؤكد فيه أن أموال منظمة DAO ليست مُعرَّضة للخطر بسبب ثغرة "الاستدعاء المتكرر" التي تم الكشف عنها مؤخرًا. (المصدر: الجدول الزمني لتفرع إيثيريوم بوك )
يونيو 17، 2016: يستغل مهاجم ثغرة إعادة الدخول في نظام DAO splitDAO وتستنزف هذه الوظيفة حوالي 3.6 مليون إيثيريوم، بقيمة تقارب 50 مليون دولار في ذلك الوقت (تقول بعض المصادر ما يصل إلى 70 مليون دولار اعتمادًا على السعر المستخدم).
١٥-١٦ يوليو ٢٠١٦: أُجريَ تصويتٌ مُرجَّحٌ بالعملات الرقمية. صوّت حوالي ٥.٥٪ من إجمالي معروض الإيثيريوم، مع تأييد ما يقارب ٨٠٪ لعملية الانقسام؛ وجاء ربع الأصوات المؤيدة من عنوان واحد.
في 20 يوليو 2016: عند الكتلة رقم 1,920,000، حدث انقسام حاد في شبكة إيثيريوم. نُقلت الأموال المستنزفة إلى عقد استرداد حيث يمكن لحاملي رموز DAO سحبها بمعدل 100 DAO لكل 1 ETH. أما من رفضوا الانقسام، فاستمروا في تشغيل السلسلة الأصلية، التي أصبحت تُعرف باسم إيثيريوم كلاسيك.
يوليو 2017: نشرت هيئة الأوراق المالية والبورصات الأمريكية تقرير تحقيقها، وخلصت إلى أن رموز DAO تُعتبر أوراقًا مالية بموجب اختبار Howey. ولم تتخذ الهيئة أي إجراءات إنفاذ ضد منظمة DAO.
بعد عام 2016: تركز Slock.it على Incubed، وهو عميل عديم الحالة يقوم بالتحقق من بيانات Ethereum باستخدام الأدلة، ويستهدف الأجهزة الصغيرة جدًا بحيث لا يمكنها تشغيل عميل خفيف.
يونيو 2019: أعلنت شركة Blockchains, LLC استحواذها على Slock.it ودعمها لشركة Incubed. وتولى كريستوف وسيمون جينتزش مناصب تقنية عليا في Blockchains.
2026: في الذكرى السنوية العاشرة للاختراق، أفادت التقارير أن أكثر من 75,000 إيثيريوم غير مُطالب بها من الأموال المستردة الأصلية قد أُعيد استخدامها كصندوق أمانات لشبكة إيثيريوم. (المصدر: ذا بلوك )
بعبارات بسيطة
- تأجير بدون وسيط: تخيل أنك تؤجر غرفة إضافية حيث يُفتح الباب تلقائيًا بمجرد إتمام عملية الدفع، دون أن تقتطع أي منصة حجز عمولة. هذه هي الفكرة وراء الأقفال الذكية من Slock.it.
- صندوق استثمار مشترك: كانت المنظمة اللامركزية المستقلة تعمل كصندوق نادٍ. يقوم الأعضاء بإيداع عملة الإيثيريوم، ويحصلون على رموز التصويت، ويصوتون على المشاريع التي يجب أن يدعمها الصندوق.
- خطأ إعادة الدخول: تخيل جهاز صراف آلي يُسلّم النقود قبل تحديث رصيدك. إذا استطعت طلب المزيد قبل التحديث، يمكنك الاستمرار في السحب. قام المهاجم بشيء مماثل بتكرار عملية سحب قبل تصفير الرصيد.
- الشوكة: وافقت غالبية أفراد المجتمع على تغيير تاريخ سلسلة الكتل لتصحيح السرقة. ورفضت أقلية ذلك وأبقت على السلسلة القديمة، بحجة أن القواعد المكتوبة في الشفرة لا ينبغي إعادة كتابتها بعد وقوعها.
- حاضنة: لا يستطيع جهاز صغير عادةً تخزين سلسلة الكتل بأكملها. يسمح له تطبيق Incubed باستطلاع شبكة من العُقد للحصول على إجابة والتحقق من الدليل المُقدّم، لذا فهو ليس مضطرًا للوثوق بخادم واحد.
هام: لم يكن فشل المنظمة اللامركزية المستقلة (DAO) فشلاً لفكرة المنظمات اللامركزية المستقلة بشكل عام، بل كان فشلاً لعقد واحد، وعملية مراجعة واحدة، ونظام حوكمة واحد. تستخدم المنظمات اللامركزية المستقلة اللاحقة عمليات التدقيق، وفترات التأخير، وضوابط التوقيع المتعدد، لكنها لا تزال تنطوي على مخاطر تتعلق بالعقود الذكية والحوكمة.
الميزات التقنية الرئيسية
كيف عملت منظمة DAO
- بيع الرمز المميز: أرسل المشاركون عملة إيثيريوم إلى العقد وحصلوا في المقابل على رموز DAO. منحت هذه الرموز حقوق التصويت على المقترحات.
- المقترحات والتصويت: قدم المقاولون مقترحاتهم، وصوّت حاملو الرموز على تمويلها من عدمه.
- آلية الانقسام: يمكن للأعضاء الذين اختلفوا مع قرار ما أن "ينقسموا" إلى منظمة لامركزية مستقلة فرعية ويأخذوا حصتهم من عملة الإيثيريوم معهم. صُممت هذه الخاصية لحماية حاملي العملات الأقلية.
- العيب: استخدم
splitDAOأرسلت الدالة عملات إيثيريوم قبل تحديث رصيد المُستدعي. قد يستدعيها عقدٌ خبيثٌ مرةً أخرى من داخل عملية التحويل، مُكررًا عملية السحب.
نمط العودة
- السبب: يقوم العقد بإجراء مكالمة خارجية قبل أن يسجل أثر الإجراء.
- إصلاح: نمط "التحقق-التأثير-التفاعلات"، الذي يقوم بتحديث الحالة الداخلية أولاً ثم يستدعي الكود الخارجي أخيراً. وتضيف حواجز إعادة الدخول طبقة ثانية.
- على سبيل الحصر: تُقلل الأنماط من فئة معروفة من الأخطاء. وهي لا تُغني عن مراجعة النظام بأكمله.
مُكبَّر (IN3)
- الغرض: امنح الأجهزة ذات الموارد المحدودة اتصالاً موثقاً بسلسلة الكتل دون مزامنتها.
- تصميم: العميل لا يحتفظ بحالة. يقوم باختيار العُقد من سجل موجود على سلسلة الكتل، ويطلب البيانات مع إثباتات صحتها، ثم يتحقق منها. تقوم العُقد بإيداع مبالغ مالية قد تُفقد إذا وقّعت على بيانات خاطئة. (المصدر: ويكي Incubed)
- على سبيل الحصر: لا يزال العميل يعتمد على مجموعة من العقد البعيدة للحصول على البيانات، لذا فإن توفر الشبكة وتوزيع العقد أمران مهمان.
إيجابيات - سلبيات
| ما أظهره نموذج DAO | ما كشفه |
|---|---|
| المشاركة مفتوحة: يمكن لآلاف الغرباء تجميع رؤوس أموالهم والتصويت دون الحاجة إلى مدير صندوق تقليدي. | مخاطر الكود: أثر عيب واحد على حوالي ثلث أصول الصندوق. |
| قواعد شفافة: كان الكود متاحًا للعامة ويمكن لأي شخص الاطلاع عليه. | مراجعة الثغرات: لم ينجح الكود العام ومراجعة مدفوعة الأجر قصيرة في اكتشاف الخلل، ولم تكن تحذيرات المطورين الآخرين كافية لإيقاف عملية البيع. |
| حماية الأقليات: تتيح وظيفة التقسيم للمعارضين الخروج بحصتهم. | مخاطر الخروج: أصبحت تلك الوظيفة نفسها مساراً للهجوم. |
| التمويل العالمي: وقد شارك مساهمون من العديد من البلدان. | التعرض التنظيمي: قامت هيئة الأوراق المالية والبورصات لاحقاً بمعاملة رموز DAO كأوراق مالية. |
| تجارب الحوكمة: اختبر المشروع التصويت بالرموز على نطاق واسع. | لامبالاة الناخبين: قلة من حاملي الرموز الرقمية قادرون على تقييم المقترحات الفنية. |
| الوعي الأمني: دفع الحادث الفرق نحو إجراء عمليات تدقيق واتباع أنماط أكثر أماناً. | التدخل على مستوى السلسلة: كان عكس النتيجة يتطلب انقسامًا حادًا مثيرًا للجدل، مما أدى إلى انقسام المجتمع. |
خدمات إدارة المخاطر
مخاطر العقود الذكية
- تحقق مما إذا كان البروتوكول قد خضع لتدقيق مستقل، واقرأ ما شمله التدقيق فعلياً. يقلل التدقيق من المخاطر ولكنه لا يزيلها تماماً.
- ابحث عن مكافآت اكتشاف الأخطاء، وتغطية الاختبار، ومدة بقاء الكود قيد التشغيل.
- التخفيف: قم بتحديد حجم المراكز بما يمكنك تحمل خسارته، وتجنب تركيز الأموال في عقد جديد واحد.
مخاطر الحوكمة
- قد يهيمن عدد قليل من كبار حاملي الرموز على عملية التصويت. ففي تصويت الانقسام عام 2016، ساهم عنوان واحد بنحو ربع الأصوات المؤيدة.
- التخفيف: قراءة المقترحات قبل التصويت، والنظر في آليات التفويض، والقيود الزمنية، وحق النقض.
المخاطر التنظيمية
- خلص تقرير هيئة الأوراق المالية والبورصات الأمريكية لعام 2017 إلى أن رموز DAO تستوفي معيار Howey. ويعتمد تحديد ما إذا كان رمز معين يُعتبر ورقة مالية على وقائعه والولاية القضائية المختصة.
- التخفيف: الحصول على مشورة قانونية مؤهلة قبل إطلاق أو تسويق رمز مميز.
مخاطر إنترنت الأشياء وتقنية البلوك تشين
- يؤدي ربط الأجهزة المادية بسلسلة إلى إضافة مخاطر تتعلق بالأجهزة والشبكة وإدارة المفاتيح إلى جانب مخاطر العقد.
- التخفيف: اسأل عما إذا كان مكون سلسلة الكتل يضيف قيمة مقارنة بقاعدة البيانات التقليدية أو واجهة برمجة التطبيقات.
الصلة الثقافية
يُعد اختراق DAO أحد أكثر الأحداث التي نوقشت في تاريخ إيثيريوم. فقد أدى إلى انقسام المجتمع حول مبدأ "القانون هو الكود" مقابل تدخل المجتمع، ولا يزال هذا الانقسام يؤثر على كيفية تناول الناس لمفهوم عدم قابلية التغيير.
يشير مؤيدو إيثيريوم كلاسيك إلى الحادثة كسبب للحفاظ على تاريخ سلسلة الكتل دون تغيير. بينما يشير مؤيدو إيثيريوم إليها كحالة حمى فيها المجتمع المستخدمين من ثغرة أمنية واضحة. ولا يزال كلا الموقفين محل جدل حتى اليوم.
كما ساهم هذا الحدث في انتشار أمن العقود الذكية على نطاق واسع. وشهدت شركات التدقيق وبرامج مكافآت اكتشاف الثغرات وأدوات التحقق الرسمي نمواً ملحوظاً في السنوات اللاحقة، على الرغم من أن عملية الاختراق كانت أحد العوامل العديدة الدافعة لذلك.
أمثلة من العالم الحقيقي
1. عملية البيع الجماعي لمنظمة DAO
- السيناريو: مجموعة من المطورين تريد صندوق استثمار يديره حاملو الرموز، وليس مدير.
- التنفيذ: تتولى منصة Slock.it بناء العقود وبيع الرموز الرقمية. ويساهم أكثر من 11,000 مشارك بما يقارب 12 مليون إيثيريوم.
- النتيجة: أصبحت عملية البيع أكبر جهد تمويل جماعي في ذلك الوقت، ولكن تم استغلال العقد في غضون أسابيع.
2. الثغرة والانقسام
- السيناريو: يكتشف المهاجم ثغرة إعادة الدخول في
splitDAO. - التنفيذ: يقوم المهاجم بسحب الإيثيريوم بشكل متكرر إلى منظمة لامركزية مستقلة فرعية. يناقش المجتمع الخيارات ويجري تصويتاً على العملة.
- النتيجة: انقسمت شبكة إيثيريوم إلى قسمين رئيسيين عند الكتلة رقم 1,920,000. وذهبت الأموال إلى عقد استرداد، واستمرت السلسلة القديمة باسم إيثيريوم كلاسيك.
3. تقرير هيئة الأوراق المالية والبورصات بشأن التحقيق
- السيناريو: يقوم المنظمون بفحص ما إذا كانت رموز DAO قد تم طرحها بما يتوافق مع قانون الأوراق المالية.
- التنفيذ: تطبق هيئة الأوراق المالية والبورصات الأمريكية اختبار هاوي على عملية بيع الرموز.
- النتيجة: وخلصت الوكالة إلى أن الرموز كانت أوراقًا مالية وأصدرت تحذيرًا للسوق، لكنها لم تتخذ أي إجراء إنفاذي ضد منظمة DAO.
4. حاضنة لإنترنت الأشياء
- السيناريو: يحتاج جهاز صغير إلى تأكيد حدوث عملية دفع أو حجز على شبكة إيثيريوم دون تخزين سلسلة الكتل.
- التنفيذ: يقوم عميل Incubed بطلب البيانات والإثباتات من العقد المسجلة ويتحقق من النتائج محليًا.
- النتيجة: يحصل الجهاز على إجابة موثقة بأقل مساحة تخزين ممكنة. ويصف منشور Slock.it حالة استخدام للتحقق من الحجز.
جدول المقارنة
| الميزات | داو (2016) | المنظمات اللامركزية الحديثة |
|---|---|---|
| حجم | تم جمع حوالي 12 مليون إيثيريوم، أي ما يعادل 150 مليون دولار تقريباً في ذلك الوقت. | يبلغ إجمالي قيمة الخزائن في مختلف المنظمات اللامركزية المستقلة حوالي 25 مليار دولار أمريكي وفقًا لإحصاءات DeepDAO لعام 2024؛ وتختلف التقديرات باختلاف أداة التتبع. |
| الحكم | التصويت الرمزي على المقترحات | غالباً ما يضيف التفويض، وأقفال الوقت، وضوابط التوقيع المتعدد، أو عمليات التحقق التفاؤلية. |
| الأمن والحماية | كود عام مع مراجعة مدفوعة قصيرة قبل الإطلاق | عادةً ما تتضمن البروتوكولات الأكبر عمليات تدقيق متعددة، ومكافآت لاكتشاف الأخطاء، وتحقق رسمي. |
| الوضع القانوني | غير واضح؛ وقد تناوله تقرير هيئة الأوراق المالية والبورصات لاحقًا | تقدم بعض الولايات القضائية أشكالاً قانونية خاصة بالمنظمات اللامركزية المستقلة، مثل وايومنغ وجزر مارشال. |
| نتيجة | تم استغلالها؛ انقسام إيثيريوم الصلب | مختلط: العديد منها يعمل، وبعضها واجه استغلالاً أو نزاعات إدارية. |
الشروط ذات الصلة
- داو — صندوق استثمار إيثيريوم لعام 2016 الذي أنشأته شركة Slock.it والذي تم استغلاله بعد أسابيع من بيع الرموز المميزة الخاصة به.
- منظمة الحكم الذاتي اللامركزية (DAO) — منظمة تُدار قواعدها وخزانتها بواسطة العقود الذكية وتصويت حاملي الرموز.
- هجوم إعادة الدخول — ثغرة يتم فيها استدعاء العقد مرة أخرى قبل تحديث حالته.
- هارد، تفرع — تغيير في البروتوكول غير متوافق مع الإصدارات السابقة ويمكن أن يؤدي إلى انقسام الشبكة إذا لم يقم بعض المشاركين بالتحديث.
- Ethereum كلاسيكي (ETC) — السلسلة التي استمرت دون تغيير الولاية في عام 2016.
- مراجعة العقود الذكية — مراجعة مستقلة لقانون العقد بحثاً عن ثغرات أمنية.
- مُكبَّر (IN3) — Slock.it هو عميل عديم الحالة للوصول الموثق إلى سلسلة الكتل على الأجهزة ذات الموارد المحدودة.
- اختبار هاوي — الاختبار القانوني الأمريكي المستخدم لتحديد ما إذا كان الترتيب عقد استثمار أم لا.
الأسئلة الشائعة
س: ما هو موقع Slock.it؟
كانت شركة Slock.it شركة ألمانية متخصصة في تقنية البلوك تشين، تأسست عام 2015 على يد كريستوف ينتزش، وسيمون ينتزش، وستيفان توال. قامت الشركة بتطوير أدوات قائمة على منصة إيثيريوم لربط الأجهزة المادية بشبكات البلوك تشين، كما طورت العقود الخاصة بمنظمة DAO. استحوذت عليها شركة Blockchains, LLC في يونيو 2019.
س: ما هو بالضبط منظمة DAO؟
كانت المنظمة اللامركزية المستقلة (DAO) عبارة عن عقد ذكي على منصة إيثيريوم، تعمل كصندوق استثماري يديره حاملو الرموز. يرسل المشاركون عملة إيثيريوم (ETH)، ويتلقون رموز DAO، ويصوتون على مقترحات التمويل. وقد جمعت المنظمة ما يقارب 12 مليون إيثيريوم من أكثر من 11,000 ألف مستثمر.
س: ما هو هجوم إعادة الدخول؟
هي ثغرة أمنية تتمثل في قيام عقد إلكتروني بإرسال قيمة أو استدعاء كود خارجي قبل تحديث سجلاته الخاصة. يقوم الكود الخارجي باستدعاء العقد مرة أخرى وتكرار العملية. في حالة منظمة DAO، استخدم المهاجم... splitDAO تم استخدام هذه الوظيفة لسحب حوالي 3.6 مليون إيثيريوم قبل تحديث الأرصدة.
س: هل خضعت منظمة DAO للتدقيق؟
خضعت لمراجعة محدودة. نشر موقع Slock.it نتائج مراجعة أمنية أجرتها شركة Deja Vu Security لمدة خمسة أيام قبل البيع، وأثار باحثون مخاوف علنًا في مايو ويونيو 2016. لم تمنع المراجعة والتحذيرات استغلال الثغرة، لذا فإن وصفها بـ"غير مدققة" ليس دقيقًا، لكن المراجعة لم تكن كافية لحماية الصندوق.
س: لماذا انقسمت شبكة إيثيريوم بدلاً من قبول عملية الاختراق؟
جادل المؤيدون بأن الانقسام يحمي المستثمرين والشبكة الناشئة. بينما جادل المعارضون بأن تغيير سلسلة الكتل لعكس معاملة ما يخالف مبدأ وجوب ثبات النتائج المكتوبة في الكود. وقد أيّد تصويتٌ بالعملة الانقسام بنسبة تتراوح بين 80% و89% تقريبًا، بحسب المصدر، مع العلم أن نسبة ضئيلة فقط من عملة إيثيريوم شاركت في التصويت.
س: هل قامت هيئة الأوراق المالية والبورصات بالتحقيق مع منظمة DAO؟
نعم. في يوليو 2017، نشرت هيئة الأوراق المالية والبورصات الأمريكية تقرير تحقيق خلص إلى أن رموز DAO تُعتبر أوراقًا مالية بموجب اختبار Howey. ولم تتخذ الهيئة أي إجراء إنفاذي ضد منظمة DAO.
س: ماذا حدث لموقع Slock.it بعد The DAO؟
حوّلت الشركة تركيزها إلى بنية إنترنت الأشياء القائمة على إيثيريوم، وخاصةً شركة إنكيوبد. وفي يونيو 2019، أعلنت شركة بلوك تشينز، ذ.م.م. أنها استحوذت على الشركة وستدعم تطوير إنكيوبد.
خاتمة
يرتبط إرث Slock.it في معظمه بمشروع DAO: وهو اختبار مبكر لجمع التبرعات والحوكمة اللامركزية، والذي أظهر أيضًا مدى تكلفة خلل واحد في العقد. ولا تزال الدروس المستفادة سارية. تحقق مما شمله التدقيق، واقرأ مقترحات الحوكمة قبل التصويت، وتعامل مع قرارات البرمجة والمجتمع كطبقات منفصلة قد تفشل كلتاهما.
هذه المعلومات لأغراض تعليمية فقط، ولا تُعدّ نصيحة مالية أو قانونية. تنطوي الأصول الرقمية على مخاطر كبيرة.
مصادر
جلوب نيوزواير: شركة بلوك تشاينز تستحوذ على شركة سلوك.إت
كتاب إيثيريوم: التسلسل الزمني لتاريخ التفرعات
ويكي DAO: الانقسام الصلب والانسحاب
ملف تعريف Slock.it على موقع Knowledge4Policy التابع للاتحاد الأوروبي:
كوينتيليغراف: خزائن منظمة DAO تتجاوز 25 مليار دولار
تقرير هيئة الأوراق المالية والبورصات بشأن التحقيق، الإصدار رقم 81207 (25 يوليو 2017)
F
