مقابلة | استعادة مجال العملات الرقمية أسطورة، الوقاية هي المفتاح: سيركيت

يقول هاري دونيلي، الرئيس التنفيذي لشركة سيركويت، إن ضحايا اختراقات العملات المشفرة غالبًا ما يجدون أنفسهم ضحايا مرة أخرى على يد شركات استرداد غير مهنية.

ملخص

• يقول الرئيس التنفيذي لشركة Circuit إن معظم جهود استعادة التشفير بعد الاختراق غير مجدية
• 95% من شركات الاسترداد قد تكون مفترسة ولا تقدم أي دعم
• الوقاية هي المفتاح، حيث تم فقدان $3B بالفعل بسبب الاختراقات هذا العام

تزداد شعبية العملات الرقمية، وينضم عدد متزايد من الأشخاص. ومع ذلك، على الرغم من سنوات من الابتكار، لا تزال العملات الرقمية تفشل في خدمة بعض من أكثر مستخدميها ضعفًا. في حادثة حديثة، فقد متقاعد أمريكي $3 مليون في XRP بعد أن قام بشكل غير مقصود بتعريض محفظته الباردة للخطر.

تظهر الحادثة أن الأمن لا يزال القضية الرئيسية في عالم العملات المشفرة. لهذا السبب، تحدثت crypto.news إلى هاري دونيلي، الرئيس التنفيذي لشركة الأمن السيبراني Circuit. وأوضح لماذا فقد النظام البيئي أكثر من $3 مليار بسبب الاختراقات هذا العام وحده، ولماذا يكون التعافي عادةً صعبًا للغاية.

Crypto.news: لقد شهدنا مؤخرًا حادثة أمنية حيث فقد حامل المحفظة مدخراته الحياتية في عملية اختراق. ماذا يخبرنا هذا عن أمان الأصول المشفرة؟

هاري دونيلي: هذه هي حادثة محفظة XRP: يُزعم أن متقاعدًا أمريكيًا فقد حوالي $3 مليون في XRP، وهي مدخرات تقاعده. نشر ZacXBT عن ذلك على تويتر. قال الضحية إنه حاول تقديم بلاغ للشرطة لكنه لم يتمكن من الوصول إلى جهات إنفاذ القانون. ثم تم غسل الأموال عبر حوالي 120 معاملة.

ليس لدينا تأكيد كامل على المتجه الدقيق لأن الضحية ليست على دراية بالتشفير؛ بدون الوصول إلى جهاز الكمبيوتر المحمول الخاص بهم لتتبع الخطوات، من الصعب أن نكون متأكدين. لكن الحالات مثل هذه غالبًا ما تشمل برامج ضارة تقوم بمسح الجهاز بحثًا عن عبارات الاسترداد والأسرار الأخرى.

في هذه الحالة، اعتقد الشخص أنه يمتلك محفظة باردة - تم شراؤها من إليبال - لكنه استورد عبارة الاسترداد إلى جهاز الكمبيوتر المحمول الخاص به. هذا يقضي على التخزين البارد: بمجرد أن تكون عبارة الاسترداد موجودة على جهاز متصل بالإنترنت، فإن حماية محفظة الأجهزة تصبح فعليًا غير موجودة.

CN: قال ZacXBT إن العديد من شركات الاسترداد مشكوك فيها. ما رأيك؟

HD: منصف تمامًا. عندما يكون الناس في حالة يأس، سيتصيدهم المجرمون. غالبًا ما يقوم أسوأ المجرمين بتحسين صفحاتهم لمحركات البحث بحيث تظهر أولًا عندما يبحث شخص ما بشكل محموم عن “استعادة العملات المشفرة المسروقة”.

استعادة الشرعية صعبة. العملة المشفرة هي أصل حاملي: امتلاك المفتاح يعني الملكية. لا يمكنك الاتصال بالبنك وعكس تحويل على السلسلة. عادةً ما تكون شركات الاسترداد الشرعية هي متاجر قانونية تعمل مع إنفاذ القانون، وتستخدم أدوات تحليل البلوكشين مثل Chainalysis أو TRM Labs، وتتبع الأموال، وتحاول إجبار البورصات على تجميد الحسابات بإشعارات قانونية.

لكن ذلك يعمل فقط إذا وصلت الأموال إلى بورصة KYC مستعدة وقادرة على التعاون وإذا كانت الولاية القضائية متعاونة. وغالبًا ما يقوم المهاجمون بتحويل الأموال إلى بورصات غير متعاونة أو خدمات خلط؛ في العام الماضي، تم استرداد أقل من 5٪ من الأصول بتلك الطرق.

ستقوم الشركات المفترسة بفرض رسوم كبيرة تصل إلى 10,000 دولار مقابل الفحوصات الأساسية وإنتاج تقرير يقدم للضحايا معلومات خاطئة. على سبيل المثال، يُخبرونهم بإرسال بريد إلكتروني إلى Tornado Cash، وهو أمر غير مفيد.

CN: يبدو أن التعافي هو احتمال بعيد. ما هو البديل؟

HD: نظرًا لأن احتمالات الاسترداد منخفضة، فإن الوقاية أمر حاسم. يركز Circuit على منع الخسارة بدلاً من الاعتماد على الاسترداد بعد الاختراق. بمجرد مغادرة الأموال لمحفظة، فإن فرص الاسترداد ضئيلة؛ إن إيقاف السرقة قبل حدوثها له احتمالية نجاح أعلى بكثير.

هناك وضعان للخسارة: ( تفقد الوصول إلى مفتاحك الخاص ) الأموال غير قابلة للوصول ( أو ) يحصل شخص آخر على مفتاحك الخاص ( الأموال مسروقة ). يعالج Circuit كلا الوضعين من خلال حماية الأصول مباشرة بدلاً من حماية المفتاح فقط.

نحن نبني ما نسميه استخراج الأصول التلقائي. بدلاً من حماية مفتاح خاص فقط، نقوم بإنشاء معاملات موقعة مسبقًا لنقل الأموال إلى محفظة احتياطية محددة مسبقًا. يتم إنشاء تلك المعاملات مسبقًا، وتشفيرها، وتخزينها — لا يتم بثها أبدًا إلا إذا قام المستخدم الشرعي بتفعيلها.

CN: من الذي يتحكم في ذلك الزر الأحمر الكبير؟

HD: يتحكم المستخدم في ذلك. يدخلون إلى تطبيق الويب الخاص بنا، يتحققون من هويتهم باستخدام 2FA، ويضغطون على الزر. يقوم ذلك بفك تشفير المعاملة وإرسالها، وتنتقل الأموال إلى المحفظة الاحتياطية.

نحن نخزن المعاملة الموقعة مسبقًا، مشفرة، لكن المستخدم هو الوحيد الذي يمكنه فك تشفيرها وتفعيلها. يقومون بتحديد عنوان الوجهة مسبقًا، ولا يمكننا تغيير هذا العنوان. بمجرد التوقيع، يتم قفله. نظامنا ببساطة يحتفظ به بأمان ويسمح للمستخدم بتفعيله عند الحاجة.

CN: من يستخدم هذه الخدمة في الوقت الحالي؟

HD: الآن، كل شيء يتعلق بالمؤسسات والشركات. نحن لا نقدم خدمات للمستخدمين الأفراد بعد. شركاؤنا هم البورصات ومديرو الأصول ومكاتب OTC. هؤلاء هم الأشخاص الذين يديرون مبالغ كبيرة وأصول العملاء. بالنسبة لهم، يمكن أن يكون التوقف أو فقدان الوصول كارثياً.

أحد الأمثلة هو Shift Markets. نحن نقوم بنشر تقنيتنا عبر 150 بورصة يعملون معها. لا يمكن لهذه البورصات تحمل فقدان الوصول إلى الأموال، حتى لبضع ساعات.

بالنسبة للمؤسسات، ليس الأمر مجرد منع السرقة. في بعض الأحيان، يقوم شخص ما بفقدان جهاز التوقيع، أو يتعطل خدمة مثل Fireblocks. يمكن أن يؤدي ذلك إلى توقف جميع العمليات - لا إيداعات، لا سحوبات.

مع Circuit، يمكنهم الاستعادة في غضون دقائق بدلاً من التوقف لعدة أيام. وبالنسبة لهم، يمكن أن يعني ذلك إنقاذ سمعتهم - وملايين في الاحتفاظ بالعملاء.

CN: كيف يختار المستخدمون محافظ النسخ الاحتياطي الخاصة بهم؟ هل يجب أن تكون محفظة أجهزة أخرى، حساب تبادل، أو وصي؟

HD: سؤال رائع. نوصي بأن تكون محفظة النسخ الاحتياطي آمنة تمامًا مثل المحفظة الرئيسية. هذا يعني استخدام مزودي محافظ مختلفين، وتخزين المفاتيح في مواقع مختلفة، والتأكد من أن البنية التحتية ليست في نفس الموقع. لا تريد أن تكون مجموعتا المفاتيح في نفس الخزنة أو الخادم.

أيضًا، نحن نفرض موافقات النصاب - سياسات 4 أعين أو 6 أعين - لتجنب أي نقطة فشل واحدة. تعمل معظم المؤسسات الكبيرة بهذه الطريقة بالفعل. يستخدم البعض إعدادات MPC أو multisig مختلفة للمحافظ الرئيسية والاحتياطية. يستخدم الآخرون مرافق آمنة مختلفة أو حتى ولايات قضائية مختلفة. الفكرة هي: إذا حدثت كارثة لنظام واحد، فإن الآخر لا يتأثر.

نحن نتعاون أيضًا مع شركات التأمين الكبرى، وهم يعترفون بذلك كوسيلة لتقليل المخاطر. العديد من مطالبات تأمين العملات المشفرة تتعلق بفقدان الوصول أو الأموال المسروقة. من خلال إضافة تكنولوجيا Circuit، تصبح الشركات أقل عرضة للمخاطر. لذلك، تقدم مزودات التأمين خصومات للعملاء الذين يستخدمون خدماتنا. هذا يجعل التأمين أكثر سهولة، وبالتالي يجلب المزيد من رأس المال المؤسسي إلى عالم العملات المشفرة.

CN: هل كانت لديك في الحقيقة أي حالات حيث كان على شخص ما استخدام الزر الأحمر؟

HD: نعم، لقد استخدمنا الزر الأحمر، سواء في الحالات الحقيقية أو في الاختبارات المسيطر عليها. لقد قمنا حتى بمنح الوصول إلى المهاجمين في بيئات القراصنة الأخلاقيين أو المحاكاة لمحاولة سرقة الأموال. في كل مرة، كان الزر الأحمر فعالاً. لقد عمل فريق الهندسة لدينا بجد للتأكد من أننا قمنا بتغطية الحالات الحادة والتهديدات في العالم الحقيقي.

نحن نعمل مع بعض من أكبر اللاعبين في هذا المجال الذين اختبروه بشكل مستقل. سيكون لدينا إعلان عام في الشهر أو الشهرين القادمين يعرض بعض من تلك التحقق.

CN: وما هو سيناريو الفشل النموذجي للمؤسسات؟

HD: يعتمد ذلك على إعداد محفظتهم. إذا كانوا يستخدمون خدمات غير وصائية مثل Fireblocks، فإن المؤسسة تتحمل بعض المسؤولية - يجب أن تكون قادرة على الوصول إلى محافظها حتى إذا كانت Fireblocks معطلة أو غير متاحة.

إذا كانوا يستخدمون حلول الحفظ الكامل مثل Coinbase أو Anchorage، فإن هؤلاء المزودين يديرون كل شيء من البداية إلى النهاية. ولكن مع Fireblocks، لا تزال بحاجة إلى وصولك الآمن إلى قطع المفاتيح أو أجهزة التوقيع.

لذلك تخيل تبادلًا يعتمد على Fireblocks، ويخسرون جهازًا - ربما هاتف شخص ما أو YubiKey. يمكن أن يؤدي ذلك إلى قفلهم مؤقتًا، مما يوقف السحوبات والودائع.

CN: لقد ذكرت سابقًا أن المهاجمين أصبحوا أكثر تطورًا. ما هو رأيك في كيفية تكيف صناعة التشفير مع ذلك؟ ما الذي يتغير في الأمن؟

HD: إنه مشابه لأمن المعلومات في ويب 2؛ إنها لعبة قطة وفأر. تظهر هجمات جديدة، نبني دفاعات، يتطور المهاجمون مرة أخرى، وهكذا. في البداية، كان الاختراق الكبير هو التوقيع المتعدد، الذي يتطلب مفاتيح متعددة للموافقة على المعاملات.

ثم جاءت محافظ MPC (الحسابات متعددة الأطراف)، والتي تحسن من نظام التوقيع المتعدد. في إعداد التوقيع المتعدد، فإن اختراق اثنين من ثلاثة مفاتيح يمنحك معلومات جزئية عن الثالث. في MPC، هذا ليس هو الحال حيث أن كل شظية لا تعطيك أي معلومات عن الكل، مما يجعلها أكثر مقاومة.

لقد حققت شركات مثل Fireblocks نجاحًا كبيرًا مع MPC. ثم جاء بعد ذلك محركات السياسة - قواعد تمنع المعاملات تحت ظروف معينة. على سبيل المثال: “حظر جميع التحويلات التي تتجاوز ( مليون”، أو “لا تسمح بالتحويلات إلى عناوين غير مدرجة في القائمة البيضاء.”

ثم جاءت أدوات الكشف، وهي خدمات تراقب نشاط الشبكة وتحدد السلوك المريب. ولكن اليوم، لا يزال معظمها يتطلب من إنسان التصرف بناءً على التنبيه. في بعض الإعدادات، قد تحتاج إلى موافقات من أشخاص في الولايات المتحدة، وأوروبا، وآسيا، مما قد يستغرق ساعات. وفي الوقت نفسه، تحدث الهجمات في دقائق أو حتى ثوان.

لقد رأينا هذا في اختراق SwissBorg/Kiln: ) مليون ذهب في ثلاث دقائق. البشر ببساطة لا يستجيبون بهذه السرعة.

CN: عندما تقوم البورصات المركزية بتجميد الأموال المسروقة، يفهم الناس عادة. لكن عندما تقوم بروتوكولات DeFi بتجميد المحافظ أو إيقاف العقود الذكية، هناك غالبًا انتقادات حول المركزية. ما رأيك في ذلك؟

HD: انظر، في النهاية، أعتقد أنه إذا كان بإمكانك منع سرقة عشرات أو مئات الملايين من الدولارات، وما يتطلبه ذلك هو إيقاف عقد ذكي لبضع ساعات، فإنني أعتقد أنه ينبغي عليك القيام بذلك.

أعلم أن هناك مؤيدين كثر للامركزية، لكن اللامركزية لن تنتشر إذا لم يعتمدها الناس. والناس لن يعتمدوا عليها إذا كانوا سيخسرون كل أموالهم. في نهاية اليوم، أعتقد أن الأمر بسيط كما هو.

إذا كنت تؤمن حقًا بذلك وترغب في اعتماده من قبل التيار الرئيسي - من قبل المؤسسات الفعلية، المؤسسات الحقيقية - فسيتعين عليهم أن يكون لديهم الثقة فيه. ولجميع المؤيدين الذين يقولون “دعهم ي hackون”، أو “الشيفرة هي القانون”، أعتقد أن المشكلة هي أنها ستوقف نمو هذا المجال بشكل أساسي بقدر ما نود أن ينمو.

وأعتقد أن هناك منطقتين سترى فيهما. سيكون لديك مجمعات وبروتوكولات ستستمر فقط في القيام بالأمور بالطريقة التي هي عليها - فقط letting things run. ثم سيكون لديك بنية تحتية أكثر تركيزًا على المؤسسات والشركات، حيث يوجد لديهم وسائل أمان، حيث لديهم وسائل حماية، وحيث يوجد تأمين مدمج في المجمعات.

هذا يحدث بالفعل. وفي تلك المجمعات، سترى الكثير من السيولة يتم إيداعها، لأن هذا هو المكان الذي تشعر فيه المؤسسات بالثقة في وضع أموالها. وعندما تفكر في أكبر تأثير شبكي في DeFi، يعود الكثير منه إلى السيولة.

لذا إذا نظرت إلى المكان الذي ستذهب إليه الكثير من السيولة، بمرور الوقت يجب أن تتحول نحو الأماكن التي لديها تدابير أمان وفحوصات — لأنها تعطي الناس مزيدًا من الثقة.

CN: لكن قد يقول البعض، إذا كان للبروتوكول القدرة على تجميد المحافظ أو إيقاف العقود الذكية، أليس لديهم أيضًا القدرة على تصريف الأموال من المجمع؟ ما رأيك في ذلك؟

HD: نعم، وأعتقد أن هذه نقطة عادلة. إذا كان لدى شخص ما القدرة على إيقاف ذلك ووضع تدابير أمان، فهل يعني ذلك أيضًا أنه يمكنهم فعل أي شيء يريدونه بالأموال؟

أعتقد أن جمال العقود الذكية - إذا قمت بتنفيذها بشكل صحيح - هو أنها غير قابلة للتغيير وشفافة. يمكنك تحديد معايير صارمة مسبقًا. يمكنك ترميز القواعد: متى يتم إيقاف هذا، ولماذا يتم إيقافه، وماذا يحدث للأموال بعد ذلك؟

هل يتم نقلهم؟ إذا كان الأمر كذلك، أين؟ هل يمكن نقلهم فقط إلى موقع معين؟ بعد التوقف، هل يتم إرجاعهم؟ كل ذلك يمكن ترميزه. لا يجب أن يكون تقديرياً.

لذا نعم، إذا منحت الناس السيطرة الكاملة للقيام بما يريدون، فهذا ليس جيدًا. لن يرغب الناس في إيداع الأموال في تلك البروتوكولات. ولكن إذا كانت هناك معايير محددة بدقة حول ما هو ممكن - وجزء من ذلك يشمل تجميد أو إيقاف العملية في حالة الطوارئ - فإن ذلك يمنح الناس بالفعل ثقة أكبر.

لأن حتى أكبر البروتوكولات - مثل Euler، التي كانت لديها قيمة إجمالية كبيرة - تعرضت للاختراق. وقد مرت بعدة تدقيقات، ومراجعات للشيفرة، وكل شيء. ولكن كان لا يزال هناك ثغرة صغيرة استطاع شخص ما استغلالها.

نحن نتحسن في اكتشاف هذه الأمور، لكن ستظهر دائمًا مشاكل جديدة. وكما قلت، إنها لعبة قطة وفأر. تبني دفاعًا، ثم يجد شخص ما هجومًا جديدًا. ثم تبني دفاعًا جديدًا، وهكذا.

CN: هل هناك أي شيء كنت تفكر فيه مؤخرًا تعتقد أن الصناعة تتجاهله؟

HD: من الأمور التي نقضي عليها الكثير من الوقت داخليًا هي محاولة جعل تأمين العملات الرقمية متاحًا فعليًا - لأنه عندما نعود إلى ما كنا نتحدث عنه، صحيح؟ ستكون هناك دائمًا هجمات جديدة، ثم سيقوم الناس ببناء دفاعات جديدة. لكن يجب أن يملأ شيء ما تلك الفجوة في هذه الأثناء.

أعتقد أن تأمين DeFi - مثل ما كانت تحاول Nexus Mutual القيام به - لم يتوسع حقًا بالطريقة التي كان يأملها الناس. وجزء كبير من ذلك هو أنه لتقديم تأمين ذو معنى، تحتاج إلى تجمعات ضخمة من رأس المال خلفه. هذه هي الطريقة التي يعمل بها التأمين.

العالم التقليدي للتأمين لديه بالفعل مليارات الدولارات كاحتياطات. إنهم يعرفون كيفية تقييم المخاطر. إذا استطعنا جذب هؤلاء اللاعبين إلى فضاء التشفير — ومنحهم الثقة في كيفية تقليل المخاطر — فإننا نفتح شيئًا كبيرًا حقًا.

لأن الحقيقة هي أنه إذا أردنا أن تتدخل البنوك الكبرى أو المؤسسات المالية الجادة في التمويل اللامركزي والتمويل على السلسلة، فسوف يحتاجون إلى تأمين. نقطة على السطر.

لذا إذا استطعنا تمكين ذلك - إذا استطعنا تزويد شركات التأمين التقليدية بالأدوات والبيانات التي تحتاجها لتسعير المخاطر وتقديم التغطية فعليًا - فسوف يكون لديك فجأة الكثير من رأس المال الذي يشعر بالراحة للدخول إلى هذا المجال.

وعندما يحدث ذلك، ينمو كل شيء. تنمو البروتوكولات، وتنضج البنية التحتية، ويستفيد المستخدمون. لذا نعم - أعتقد أن فتح تأمين العملات المشفرة الحقيقي هو واحد من أهم الأشياء التي يمكننا القيام بها الآن.