في الخامس من أغسطس عام 2025، أصدرت شركة KuCoin أحدث قناتها الأسبوعية حول الأمن، والتي سلطت الضوء على حقيقة مقلقة لنظام Web3 البيئي. وفقًا للتقرير الذي استند إلى بيانات من شركة الأمن السيبراني الخاصة بسلسلة الكتل SlowMist، فإن الحوادث الأمنية في يوليو 2025 استنزفت ما يقرب من147 مليون دولارفي إجمالي الخسائر. هذه الأرقام ليست مجرد إحصائيات قاتمة؛ بل تعمل كتذكير صارخ بأن المخاطر ليست ظاهرة استثنائية في عالم العملات الرقمية. إنها حقيقة متأصلة ومتعددة الأبعاد تؤثر على كل مشارك، بدءًا من المطورين وصولًا إلى المستخدم العادي.
نظرة أقرب إلى عمليات الاختراق الكبرى لهذا الشهر تكشف عن ثلاث فئات مميزة من المخاطر التي تُشكل معًا تحديات أمان Web3.
العقود الذكية: السيف ذو الحدين لـWeb3
بالنسبة للكثيرين، تكمن وعود Web3 في اعتماده على الكود غير القابل للتغيير. ولكن كما أظهرت حوادث يوليو، فإن خطأً منطقيًا واحدًا يمكن أن يكون كارثيًا. تعرضت منصة التداول اللامركزيGMXلخسائر تجاوزت42 مليون دولاربعد أن استغل المهاجمون ثغرة دقيقة في منطق نظام Keeper الخاص بها. من خلال التلاعب بكيفية تعامل البروتوكول مع المراكز القصيرة وتحديثات الأسعار، تمكن القراصنة من تضخيم سعر GLP، مما أتاح لهم جني أرباح ضخمة عبر استرداد الأموال.
وبالمثل، فإنالاختراق الخاص بجسر ZKSwapعبر السلاسل، والذي أسفر عن خسارة5 مليون دولار، كان سببه خلل جوهري. لم يتم التحقق من آلية الإثبات بالمعرفة الصفرية—وهي ميزة أمنية أساسية—مما سمح للمهاجم بتزوير إثباتات السحب وتجاوز أهم فحص أمني للنظام. حالة العقد الذكي الخاص بـSuperRareوالذي تضمن خطأً برمجيًا بسيطًا حيث تم استخدام != بدلاً من ==، تُبرز هذه النقطة بشكل أكبر. [2] تسلط هذه الهجمات الضوء على حقيقة حرجة: في نظام مبني على الكود، حتى الخطأ البسيط يمكن أن يخلق ثغرة أمنية كبيرة.
المصدر: @SlowMist_Team على منصة X (تويتر)
من المتسللين الداخليين إلى مسجلات المفاتيح: سطح الهجوم في Web3 يتسع
بينما يكون الكود غالبًا هو محور التركيز الأساسي، كان الاتجاه الأكثر إثارة للقلق في يوليو هو تزايد تطور الهجمات التي تستهدف الأشخاص وراء المنصات. هنا تظهر بوضوح نقاط الضعف في الأنظمة المركزية. حادثة CoinDCX، التي تسببت في خسارة44.2 مليون دولار، لم تكن هجومًا مباشرًا على المحافظ، بل كانت عملية داخلية تم تسهيلها بواسطة مهندس برمجيات تم اختراقه. قام المهاجمون بانتحال صفة مجندين مستقلين، وقاموا بتثبيت برنامج تسجيل ضربات المفاتيح على جهاز الكمبيوتر الخاص بالموظف، وسرقة بيانات تسجيل الدخول الخاصة به، والوصول إلى أنظمة المنصة الداخلية. يوضح القبض اللاحق على المهندس العواقب الوخيمة لمثل هذا الاختراق، ويكشف الحادث كيف لا يزال الهندسة الاجتماعية وسيلة فعّالة جدًا للهجوم. [1]
مثال آخر هو هجوم سلسلة التوريد علىBigONE، حيث تمكن القراصنة من اختراق شبكة الإنتاج الخاصة بالمنصة وتعديل المنطق التشغيلي لأنظمة التحكم في المخاطر، مما أدى إلى خسارة بلغت27 مليون دولار. عملية اختراقWOO X، التي استنزفت14 مليون دولارمن تسعة حسابات للمستخدمين، كانت أيضًا نتيجة لهجوم تصيد مستهدف على أحد أعضاء الفريق. تسلط هذه الحوادث الضوء على أنه بغض النظر عن مدى أمان التخزين البارد للمنصة، فإن بنيتها التحتية الداخلية—والموظفين الذين يديرونها—يشكلون سطح هجوم كبيرًا يزداد اهتمام الجهات الضارة باستغلاله.
المصدر: @SlowMist_Team على X (تويتر)
المخاطر التي يسببها المستخدم: خط الدفاع الأخير
ربما تكون الخسائر الأكثر مأساوية هي تلك الناتجة عن نقص التعليم والوعي لدى المستخدمين. يتضمن التقرير قصة مفجعة عن مستخدم خسر4.35بيتكوين—مبلغًا كبيرًا—بعد أن اشترىمحفظة تخزين بارد مزيفةمن بائع طرف ثالث على منصة تجارة إلكترونية [3]. كانت الجهاز المُكون مسبقًا عبارة عن فخ، مصمم لسرقة الأموال بمجرد تحويلها. تسلط هذه القصة الضوء على أن الأمن ليس فقط مسؤولية المنصات والبروتوكولات.
بالنسبة للمستخدم العادي، فإن مخاطر الويب 3 (Web3) فريدة من نوعها. فهم لا يتمتعون بحماية تأمين مصرفي أو أقسام تقليدية لمكافحة الاحتيال. الطابع اللامركزي للتكنولوجيا يضع عبئًا ثقيلًا من المسؤولية على الأفراد، مما يجعل العناية الواجبة في كل شيء—بدءًا من شراءمحافظ الأجهزةإلى التحقق من تفاصيل المعاملات—أمرًا ضروريًا للغاية.
الختام: مسؤولية مشتركة
تُعتبر الأحداث الأمنية في يوليو 2025، كما وردت في تقرير KuCoin، ملخصًا قويًا للمخاطر المتجذرة في منظومة Web3. فهي تُظهر أن هذا النظام البيئي يتم اختباره على عدة جبهات، من العيوب التقنية في العقود الذكية، والهجمات البشرية على الكيانات المركزية، إلى النقص المستمر في وعي المستخدمين. إن الخسائر التي بلغت 147 مليون دولار تعتبر إنذارًا لجميع العاملين في هذه الصناعة. إنها إشارة واضحة إلى أن الأمن لم يعد يمكن اعتباره أمرًا ثانويًا. بل يجب أن يكون جهدًا متكاملاً وتعاونيًا يشمل عمليات تدقيق تقنية قوية، وبروتوكولات داخلية صارمة، والتزامًا واسع النطاق بتثقيف المستخدمين. فقط من خلال معالجة هذه الجوانب الثلاثة، يمكن لهذه الصناعة أن تأمل في بناء مستقبل رقمي آمن ومتين.
المراجع
[1] FinanceFeeds - القبض على مهندس برمجيات CoinDCX لتورطه في عملية اختلاس عملات مشفرة بقيمة 44 مليون دولار، 31 يوليو 2025
[2] X(تويتر) - تنبيه من SlowMist TI، 28 يوليو 2025(https://x.com/SlowMist_Team/status/1949770231733530682)
[3] X(تويتر) - تجربة اختراق لمستخدم عند شراء محفظة باردة من قنوات غير رسمية، 29 يوليو 2025(https://x.com/0xdizai/status/1949906538497528087)