ماسح DeFi

ما هو ماسح DeFi؟

ماسح DeFi أداة لتحليل العملات المشفرة تفحص العقود الذكية والتوكنات وأذونات المحافظ ومعاملات البلوكشين وظروف السيولة واعتماد البروتوكولات على بعضها أو غير ذلك من بيانات On-chain بحثًا عن مخاطر محتملة.

يساعد المستخدمين والمطورين على تحديد مؤشرات التحذير قبل التفاعل مع بروتوكول للتمويل اللامركزي أو الموافقة على معاملة بلوكشين.قد يحلل ماسح DeFi الشيفرة المصدرية للعقد، والبايت كود المنشور، وأرصدة المحافظ، والسماحات الممنوحة للتوكنات، وأذونات المسؤولين، وآليات الترقية، ومحاكاة المعاملات، ومجمعات السيولة، وأنظمة أوراكل، والنشاط السابق.تركز بعض أدوات الفحص على الثغرات التقنية، بينما تهتم أخرى بسلوك التوكنات الاحتيالي، أو تعرض المحافظ للمخاطر، أو مخاطر السوق، أو سلامة البروتوكول.لا يضمن ماسح DeFi أن يكون التوكن أو العقد الذكي أو الاستثمار في العملات المشفرة آمنًا.قد تفوت الأدوات الآلية عيوبًا معقدة في منطق الأعمال، أو هجمات حديثة، أو مواقع مخترقة، أو مسؤولين غير نزيهين، أو نقاط ضعف اقتصادية لا تتوافق مع الأنماط المعروفة.أفضل طريقة للاستفادة من ماسح DeFi هي استخدامه كجزء من مراجعة أوسع تشمل الشيفرة المصدرية المتحقق منها، وعمليات التدقيق المستقلة، ومحاكاة المعاملات، ووثائق البروتوكول، وتحليل الحوكمة، وإدارة المخاطر الشخصية.

لماذا تُعد ماسحات DeFi مهمة؟

تتيح تطبيقات DeFi لمستخدمي العملات المشفرة الإقراض والاقتراض والتداول والتخزين واستخدام الجسور وتوفير السيولة والاستفادة من المشتقات عبر العقود الذكية.يمكن لهذه العقود التحكم في كميات كبيرة من العملات المشفرة، وقد تنفذ المعاملات تلقائيًا بعد تلقي تعليمات صحيحة.قد يؤدي خطأ برمجي أو إذن ضار أو أوراكل أسعار ضعيف أو اختراق مفتاح مسؤول أو قيد تحويل مخفي إلى خسائر كبيرة.يصعب على المستخدم العادي عكس معظم معاملات البلوكشين، أو يستحيل ذلك، بعد تأكيدها.يمكن للماسح أن يوفر طبقة مراجعة إضافية قبل أن يودع المستخدم الأصول أو يوقّع معاملة.

يستخدم OWASP Smart Contract Top 10 الحالي بيانات حوادث عام 2025 ومدخلات ممارسي الأمن لتحديد فئات المخاطر الرئيسية في العقود الذكية المتوقع استمرار أهميتها في 2026.

يمكن للماسح مقارنة العقود والمعاملات بأنماط المخاطر المعروفة، لكنه لا يستطيع إثبات أن كل سلوك غير معروف غير ضار.

كيف يعمل ماسح DeFi؟

يجمع ماسح DeFi معلومات البلوكشين العامة عبر العُقد، ونقاط نهاية استدعاء الإجراءات عن بُعد، وقواعد البيانات المفهرسة، ومستودعات الشيفرة المصدرية المتحقق منها، وسجلات المعاملات.قد يسترجع البايت كود المنشور للعقد ويقارنه بالشيفرة المصدرية المتاحة للعامة.يمكن للماسح فحص الدوال ومتغيرات التخزين وسجلات الأحداث وأرصدة التوكنات وأدوار الملكية وعناوين Proxy والمعاملات السابقة.ثم قد يشغّل قواعد آلية للبحث عن أنماط ثغرات معروفة أو سلوك اقتصادي غير معتاد.يمكن للماسح أيضًا محاكاة معاملة مقترحة على الحالة الحالية للبلوكشين لتقدير الأصول أو الموافقات أو أذونات الحساب التي ستتغير.قد تُعرض النتائج في شكل نتائج منفردة أو علامات تحذير أو مستويات خطورة أو درجات ثقة أو درجة مخاطر مبسطة واحدة.تعتمد الدرجة النهائية على بيانات الأداة وافتراضاتها وقواعد الكشف ونظام الترجيح الذي تستخدمه.

أنواع ماسحات DeFi

يمكن تصنيف ماسحات DeFi وفقًا للمعلومات التي تحللها والمستخدمين الذين صُممت لحمايتهم.يفحص ماسح العقود الذكية الشيفرة والبايت كود المنشور بحثًا عن نقاط ضعف تقنية.يفحص ماسح التوكنات أذونات التوكنات وضوابط العرض وقواعد التحويل والضرائب والسيولة وتركيز الحيازة.يراجع ماسح المحافظ الأصول والموافقات والتوقيعات والتفويضات والتعرض للعقود الخطرة.يقدّر ماسح المعاملات أثر المعاملة قبل أن يوقّعها المستخدم أو يبثها.يقيّم ماسح البروتوكولات مجمل العقود والأصول وأنظمة الحوكمة وأوراكل والتكاملات التي يستخدمها تطبيق DeFi.يراقب ماسح السوق السيولة ونشاط التداول وحركة الأسعار واحتياطيات المجمعات واحتمالات التلاعب.يفحص ماسح الجسور العقود العابرة للسلاسل والضمانات والرسائل والمدققين وعرض الأصول المغلفة.قد يجمع منتج واحد عدة وظائف من هذه الوظائف، لكن لا يوجد ماسح يغطي كل المخاطر بالمستوى نفسه.

ماسحات العقود الذكية

يبحث ماسح العقود الذكية في الشيفرة أو البايت كود عن الثغرات والأذونات الخطرة وخيارات التنفيذ غير المعتادة.يقيّم التحليل الساكن الشيفرة دون تنفيذها على حالة مباشرة للبلوكشين.

يحلل إطار التحليل الساكن مفتوح المصدر Slither عقود Solidity وVyper باستخدام أدوات كشف الثغرات ومعلومات بنية العقود.

يمكن للتحليل الساكن معالجة كثير من الدوال بسرعة وتحديد أنماط مثل الاستدعاءات غير الآمنة، وضوابط الوصول غير الصحيحة، ومخاطر إعادة الدخول، وتغيرات الحالة غير المتوقعة.وقد يصدر أيضًا نتائج إيجابية كاذبة، أي تحذيرات لا تمثل ثغرات قابلة للاستغلال ضمن البروتوكول كاملًا.وقد ينتج التحليل الساكن نتائج سلبية كاذبة عندما يكون الضعف المهم معقدًا أو معتمدًا على السياق إلى حد يعجز معه الكاشف عن تحديده.

التحليل الديناميكي

ينفذ التحليل الديناميكي شيفرة العقد في بيئة خاضعة للرقابة ويرصد السلوك الناتج.قد يستدعي الماسح الدوال باستخدام مدخلات وأرصدة حسابات ومرسلين وطوابع زمنية وحالات بلوكشين مختلفة.يمكن لهذا النهج تحديد الإخفاقات التي لا تظهر إلا أثناء تشغيل الشيفرة.لكن التحليل الديناميكي محدود بالسيناريوهات المختارة للاختبار.قد يعمل العقد بأمان في آلاف المعاملات المختبرة ثم يفشل عند تسلسل واحد لم يُختبر.تعتمد تطبيقات DeFi الفعلية أيضًا على عقود أخرى وأسعار خارجية وقرارات الحوكمة وظروف السوق، وقد يصعب إعادة إنتاج هذه العوامل بالكامل.

اختبار Fuzz

يرسل اختبار Fuzz مدخلات مولدة أو شبه عشوائية كثيرة إلى عقد ذكي بحثًا عن الأعطال وتغيرات الحالة غير المتوقعة والافتراضات غير الصحيحة.يمكن للمطورين تحديد خصائص ينبغي أن تظل صحيحة دائمًا، مثل أن تكون الأصول الإجمالية أكبر من مطالبات المستخدمين الإجمالية أو مساوية لها.يستدعي نظام الاختبار دوال العقد مرارًا ويفحص ما إذا كان أي تسلسل مولد يخل بهذه الخصائص.

توضح وثائق Foundry لاختبار الثوابت كيفية اختبار العقود عبر حالات بروتوكول متغيرة واستدعاءات متكررة للدوال.

يكون اختبار Fuzz أكثر فائدة عندما تصف الخصائص المختبرة السلوك الاقتصادي المقصود للبروتوكول بدقة.قد يجتاز البروتوكول اختبار ثابت مصمم على نحو ضعيف رغم احتوائه على ثغرة خطيرة.

التنفيذ الرمزي

يحلل التنفيذ الرمزي مسارات البرنامج المحتملة من خلال التعامل مع مدخلات المعاملة كقيم رمزية بدلًا من اختبار أمثلة ثابتة فقط.ويحاول تحديد الشروط التي قد تؤدي إلى حالة معرضة للثغرات أو فشل تأكيد أو تحويل غير متوقع.يمكن لهذه الطريقة العثور على حالات طرفية صعبة، لكنها قد تتطلب موارد حوسبة كبيرة.وقد يزداد عدد المسارات المحتملة بسرعة مع ازدياد تعقيد العقد.قد تجعل الاستدعاءات الخارجية والتفاعلات بين عقود كثيرة إجراء تحليل رمزي كامل أمرًا غير عملي.

التحقق من الشيفرة المصدرية

تكون نتائج الماسح أفضل عندما تتطابق الشيفرة المصدرية المنشورة مع البايت كود المنشور على البلوكشين.يعيد التحقق من الشيفرة المصدرية تجميع الشيفرة المقدمة ويقارن الناتج بالبايت كود المنشور.

توضح وثائق Sourcify للمطابقة التامة أن المطابقة التامة تتطلب تطابق البايت كود المنشور مع ناتج المترجم بايتًا ببايت بعد مراعاة اختلافات النشر المحددة.

تسهّل الشيفرة المصدرية المتحقق منها على المطورين والمدققين والماسحات الآلية دراسة العقد.لكن التحقق لا يثبت أن الشيفرة آمنة أو عادلة أو مستدامة اقتصاديًا.يمكن لمطور خبيث نشر شيفرة متحقق منها بالكامل تتضمن بوضوح صلاحيات ضارة.يضيف العقد غير المتحقق منه قدرًا إضافيًا من عدم اليقين، إذ يصعب على المستخدمين التأكد مما يفعله البرنامج المنشور.

تحليل البايت كود المنشور

البايت كود هو شيفرة العقد القابلة للقراءة آليًا التي تنفذها البلوكشين.يمكن للماسح تحليل البايت كود حتى عندما لا تتوفر الشيفرة المصدرية المقروءة للبشر.قد يحدد تحليل البايت كود محددات الدوال والاستدعاءات الخارجية والوصول إلى التخزين واستدعاءات Delegate وأنماط العقود المعروفة.ويكون فهمه أصعب عمومًا من فهم الشيفرة المصدرية المتحقق منها، إذ قد تغيب الأسماء والتعليقات وهياكل البيانات وشروح التصميم الأصلية.قد يصعب إعادة بناء منطق الأعمال المعقد بدقة اعتمادًا على البايت كود وحده.

ماسحات التوكنات

يقيّم ماسح التوكنات العقد الذكي وسلوك السوق الخاص بتوكن إحدى العملات المشفرة.وقد يفحص إجمالي العرض والعرض المتداول وصلاحيات السك ودوال الحرق والملكية وتوزيع الحائزين وقيود التحويل والرسوم والقوائم السوداء والسيولة.يمكن للماسح البحث عن شروط تسمح لحسابات محددة بتحويل التوكنات بينما لا يستطيع المستخدمون العاديون بيعها.وقد يتحقق أيضًا مما إذا كان بإمكان المسؤول تغيير ضريبة المعاملة بعد شراء المستخدمين للتوكن.حتى التوكن الذي يحصل على تقييم آلي إيجابي قد يفقد معظم قيمته بسبب ضعف الطلب أو تركّز الملكية أو ضعف السيولة أو الترويج غير النزيه.

فحص صلاحيات السك

تتيح صلاحية السك لحساب أو عقد ذكي إنشاء توكنات إضافية.قد يؤدي السك غير المحدود إلى تخفيف حصة الحائزين الحاليين أو إنشاء أصول تُباع في السيولة المتاحة.قد يحدد الماسح الدوال التي تزيد العرض والأدوار المخولة باستدعائها.

توضح وثائق OpenZeppelin لضوابط الوصول كيفية استخدام العقود الذكية للملكية والأذونات القائمة على الأدوار للتحكم في الإجراءات الحساسة.

ينبغي للماسح أيضًا فحص ما إذا كانت الترقية قد تضيف دالة سك جديدة لاحقًا.قد يواجه توكن لا يتضمن دالة سك نشطة تخفيفًا للملكية عبر الجسور أو عمليات الترحيل أو التمثيلات المشتقة أو عقود بديلة يتحكم فيها المسؤول.

فحص الملكية والمسؤولين

تتضمن عقود ذكية كثيرة مالكًا أو مسؤولًا يتمتع بأذونات خاصة.قد يتمكن المسؤول من إيقاف البروتوكول مؤقتًا أو ترقية الشيفرة أو تغيير الرسوم أو إضافة مشغلين أو تجميد حسابات أو سحب أصول.يمكن لهذه الصلاحيات مساعدة المطورين على الاستجابة لحالات الطوارئ.لكنها قد تتيح أيضًا لحساب مخترق أو غير نزيه إلحاق الضرر بالمستخدمين.قد يتحقق الماسح مما إذا كان المسؤول محفظة واحدة أو حسابًا متعدد التوقيعات أو عقد حوكمة أو نظامًا بفترة تأخير زمنية.يقلل اشتراط تعدد التوقيعات مخاطر المفتاح الواحد، لكنه لا يمنع تواطؤ الموقّعين أو اختراقهم بالتنسيق.

فحص Proxy والترقية

يخزن Proxy قابل للترقية أصول المستخدمين أو حالتهم، مع توجيه التنفيذ إلى عقد تنفيذ منفصل.يمكن استبدال عقد التنفيذ دون تغيير العنوان الرئيسي الذي يستخدمه المستخدمون.يتيح هذا التصميم للمطورين إصلاح الأخطاء وإضافة ميزات.لكنه يعني أيضًا أن الشيفرة التي خضعت للمراجعة اليوم قد لا تكون الشيفرة التي تتحكم في الأصول غدًا.قد يحدد الماسح عنوان التنفيذ ومسؤول Proxy ومهلة الترقية وحالة التهيئة وتخطيط التخزين.تكتسب فحوص قابلية الترقية أهمية لأن تنفيذًا آمنًا قد يُستبدل لاحقًا بشيفرة خبيثة أو معيبة.

فحص ضريبة التحويل

يخصم توكن ضريبة التحويل جزءًا من قيمة التحويل أو الشراء أو البيع.قد يقدّر الماسح ضرائب الشراء والبيع بمحاكاة تحويلات التوكن عبر العقود ذات الصلة.حتى الضريبة المعتدلة قد تضر بالتكاملات التي تتوقع وصول كامل المبلغ المحوّل.قد يتمكن المسؤول من زيادة الضريبة بعد شراء المستخدم للتوكن.قد تجعل الضريبة التي تقترب من كامل قيمة البيع بيع التوكن مستحيلًا من الناحية الاقتصادية.قد تصبح نتائج المحاكاة قديمة عندما تعتمد الضريبة على حالة عقد متغيرة أو إعدادات المسؤول.

كشف Honeypot

يسمح توكن Honeypot للمستخدمين بالشراء، لكنه يمنع الحائزين العاديين من البيع بنجاح.قد يحظر العقد مرسلين محددين أو يقصر التحويلات على حسابات معتمدة أو يفرض ضريبة بيع باهظة أو يستخدم شروطًا مخفية تعتمد على حالة المعاملة.قد يحاول الماسح محاكاة عملية شراء وبيع للتحقق من إمكانية إتمام العمليتين.قد يتصرف العقد على نحو طبيعي أثناء المحاكاة ثم يفعّل القيود لاحقًا.وقد يعفي المسؤول أيضًا عنوان الاختبار الخاص بالماسح بينما يحظر المستخدمين العاديين.لذلك يُعد نجاح البيع المحاكى دليلًا مفيدًا، لكنه لا يثبت بصورة دائمة أن كل عملية بيع مستقبلية ستنجح.

فحص السيولة

يفحص ماسح السيولة مقدار العملات المشفرة المتاحة في المجمعات المستخدمة لشراء التوكن أو بيعه.وقد يحلل احتياطيات المجمعات وعمق التداول والمبادلات الأخيرة ومراكز مزودي السيولة وملكية توكنات السيولة.تتيح السيولة العميقة عمومًا تنفيذ معاملات أكبر بأثر أقل على السعر.قد تكون السيولة المعلنة المرتفعة مضللة إذا كان بإمكان مسؤول واحد سحبها فورًا.قد يتحقق الماسح مما إذا كانت مراكز السيولة مقفلة أو محروقة أو خاضعة لسيطرة الخزانة أو مركزة في عدد قليل من المحافظ.يقلل قفل السيولة أحد مخاطر السحب، لكنه لا يمنع سك التوكنات أو استغلال البروتوكول أو انهيار الأسعار أو إنشاء مجمع مختلف.

فحص تركّز الحائزين

يقيس تركّز الحائزين مقدار عرض التوكن الذي تتحكم فيه أكبر العناوين.قد يتعرض التوكن شديد التركّز لضغط بيع مفاجئ عند خروج أحد الحائزين الكبار.قد تعود عدة محافظ إلى المالك نفسه، ما يجعل التركّز الفعلي أكبر مما يبدو.ينبغي تصنيف العقود الذكية والجسور والخزائن ومجمعات السيولة وعناوين الحرق كلٌّ على حدة عن الحائزين العاديين.يمكن للماسح عرض توزيع العناوين، لكنه قد لا يعرف العناوين التي تعود ملكيتها إلى جهة واحدة.

ماسحات المحافظ

يراجع ماسح المحافظ عنوانًا عامًا على البلوكشين بحثًا عن الأصول والأذونات والتفاعلات المشبوهة والتعرض للعقود الذكية.وقد يعرض أرصدة التوكنات ومراكز السيولة وأصول التخزين والقروض والضمانات والموافقات المفتوحة والمعاملات السابقة.لا يحتاج ماسح المحافظ إلى المفتاح الخاص للمستخدم أو عبارة الاسترداد لقراءة بيانات البلوكشين العامة.ينبغي التعامل مع أي أداة تطلب عبارة الاسترداد لمجرد فحص عنوان عام على أنها أداة خبيثة.قد يسهل ربط المحفظة اختيار العنوان الصحيح، لكن ينبغي للمستخدم مراجعة كل إذن يُطلب أثناء الربط.

فحص السماحات الممنوحة للتوكنات

تمنح سماحية ERC-20 للمنفق إذنًا بتحويل كمية محددة من التوكنات من حساب المالك.يمكن للماسح قراءة السماحات الحالية وتحديد العقود التي لديها أذونات كبيرة أو غير محدودة.

يحذر دليل إلغاء صلاحية الوصول إلى التوكنات الحالي من Ethereum من أن الأذونات غير المحدودة قد تظل قابلة للاستخدام حتى بعد سحب المستخدم أصوله من التطبيق المعني.

لا يؤدي فصل المحفظة عن موقع إلكتروني إلى إزالة السماحات المسجلة على البلوكشين.يتطلب إلغاء السماحية معاملة جديدة على البلوكشين، ويستلزم عادةً رسوم شبكة.لا يحمي إلغاء السماحية المحفظة إذا كان المفتاح الخاص أو عبارة الاسترداد قد سُرق بالفعل.

فحص توقيعات Permit

يمكن لـ Permit الإذن بإنفاق التوكنات عبر رسالة موقعة بدلًا من معاملة موافقة منفصلة.

يحدد معيار ERC-2612 الخاص بـ Permit تغييرات السماحات الموقعة التي تتضمن معلومات مثل المالك والمنفق والمبلغ والرقم العشوائي والموعد النهائي.

قد يوجد توقيع Permit قبل إرساله على السلسلة.وهذا يجعل اكتشاف تصاريح Permit الموقعة وغير المستخدمة أصعب على ماسحات البلوكشين العادية.يمكن لماسح المحافظ تحديد التصاريح التي غيّرت حالة البلوكشين بالفعل، لكنه قد لا يعرف بوجود توقيع ضار يحتفظ به مهاجم سرًا.قد يكون نقل التوكنات المتأثرة إلى محفظة جديدة أنظف أكثر أمانًا من انتظار انتهاء صلاحية Permit مجهول.

فحص تفويض الحساب

يمكن للحسابات القابلة للبرمجة تفويض شيفرة لتنفيذ إجراءات نيابة عن المستخدم.

بموجب EIP-7702، يمكن لحساب Ethereum مملوك خارجيًا تفويض سلوك التنفيذ إلى شيفرة عقد ذكي.

قد يتيح الحساب المفوض ميزات مفيدة مثل تجميع المعاملات والرسوم المدفوعة من جهة راعية والاسترداد المخصص والأذونات القابلة للبرمجة.لكنه قد يصبح خطيرًا أيضًا إذا كانت الشيفرة المفوضة خبيثة أو سيئة التنفيذ.تحذر اعتبارات الأمان في EIP من أن المفوض غير الآمن قد يمنح سيطرة شبه كاملة على حساب الموقّع.ينبغي لماسحات DeFi الحديثة تحديد ما إذا كان الحساب يتضمن شيفرة مفوضة، والتنفيذ الذي يستخدمه، وما إذا كانت تلك الشيفرة قد خضعت للمراجعة.قد لا تعرض الماسحات الأقدم المصممة لموافقات التوكنات الأساسية هذه السلطة الأوسع على مستوى الحساب.

ماسحات المعاملات

يحلل ماسح المعاملات معاملة بلوكشين مقترحة أو مكتملة.قبل التوقيع، قد يفك ترميز دالة العقد، ويحدد التحويلات، ويسرد تغييرات الموافقات، ويقدّر أثرها على الرصيد.بعد التنفيذ، قد يعرض الاستدعاءات الداخلية وحركات التوكنات والأحداث واستخدام الغاز وتغيرات الحالة.يمكن لماسح المعاملات مساعدة المستخدمين على اكتشاف طلب ينقل الأصول بدلًا من تنفيذ الإجراء الذي يصفه الموقع.ينبغي للماسح تحليل بيانات المعاملة المشفرة الفعلية بدلًا من الاعتماد على تسمية الزر في الموقع.

محاكاة المعاملات

تنفذ محاكاة المعاملات إجراءً مقترحًا على نسخة من الحالة الحالية للبلوكشين أو تقدير لها.قد تعرض المحاكاة التوكنات المتوقع خروجها من المحفظة ودخولها إليها.ويمكنها أيضًا كشف الموافقات الجديدة والأذونات الملغاة وتفويضات الحساب الذكي والاستدعاءات الفاشلة واستخدام الغاز المتوقع.لا تضمن المحاكاة النتيجة النهائية، لأن حالة البلوكشين قد تتغير قبل تنفيذ المعاملة الفعلية.وقد يصمم مهاجم سلوكًا يعتمد على المرسل أو رقم الكتلة أو السعر الخارجي أو المعاملة السابقة أو إعدادات المسؤول المتغيرة.ينبغي الجمع بين محاكاة المعاملات والتحقق من العقود وتحليل الأذونات.

التوقيع الواضح وماسحات DeFi

يعرض التوقيع الواضح المعاملة بلغة تشرح أثرها بدقة قبل موافقة المستخدم عليها.

تؤكد مبادرة التوقيع الواضح الصادرة عن مؤسسة Ethereum في مايو 2026 أن كثيرًا من الخسائر الكبيرة تنتهي بموافقة المستخدم على معاملة لا يمكن فهمها على نحو ذي معنى من المعلومات المعروضة.

يمكن لماسح DeFi دعم التوقيع الواضح عبر فك ترميز الدوال ومبالغ التوكنات والمستلمين والموافقات وأذونات الحساب.لا يكون التحذير المقروء مفيدًا إلا إذا راجعه المستخدم بعناية.لا يستطيع الماسح حماية المستخدم الذي يتجاهل تحويلًا غير متوقع أو يوافق على تحذير دون فهمه.

ماسحات البروتوكولات

يقيّم ماسح البروتوكولات نظام DeFi كاملًا بدلًا من عقد منفرد.قد يعتمد بروتوكول الإقراض على عدة عقود للأصول ووحدات الضمان ونماذج أسعار الفائدة وأوراكل الأسعار وأنظمة التصفية وعقود الحوكمة وحسابات المسؤولين.قد يبدو كل مكوّن منفرد آمنًا، بينما ينطوي سلوكها الاقتصادي مجتمعة على نقطة ضعف خطيرة.يمكن لماسح البروتوكولات رسم خريطة للاعتماديات وتحديد المكونات التي تتحكم في الأموال أو القرارات الأساسية.يفيد رسم الاعتماديات آليًا، لكنه قد لا يكشف العمليات غير الموثقة خارج السلسلة أو البنية التحتية الخاضعة لسيطرة خاصة.

إجمالي القيمة المقفلة

يقدّر إجمالي القيمة المقفلة قيمة العملات المشفرة المودعة في بروتوكول DeFi أو فئة منه.قد يستخدمه الماسح مؤشرًا واحدًا على تبني البروتوكول والتعرض المالي.لا يثبت ارتفاع إجمالي القيمة المقفلة أمان البروتوكول.قد يشمل الرقم أصولًا مقترضة أو توكنات إيصال أو أصولًا منقولة عبر الجسور أو القيمة الاقتصادية نفسها في عدة بروتوكولات مترابطة.وقد تؤدي زيادة أسعار التوكنات إلى رفع القيمة المعلنة دون أي إيداعات جديدة من المستخدمين.ينبغي مراجعة إجمالي القيمة المقفلة إلى جانب الالتزامات والسيولة وتركيز المستخدمين والإيرادات والقدرة على السحب.

فحص أوراكل

تستخدم بروتوكولات DeFi أوراكل للحصول على الأسعار ومعلومات أخرى غير متاحة مباشرة داخل عقودها الذكية.قد يتحقق الماسح من مصادر الأسعار وتواتر التحديث وطرق الرجوع إلى مصادر بديلة وضوابط الانحراف والسيولة الداعمة لأوراكل.قد يتيح أوراكل ضعيف للمهاجم التلاعب بقيم الضمان أو المبادلات أو عمليات التصفية أو حدود الاقتراض.ينبغي للماسح فحص ما إذا كان البروتوكول يعتمد على مجمع سيولة واحد ضعيف أم على حساب أوسع للأسعار.قد يتغير أمان أوراكل عند انتقال السيولة أو توقف السوق المرجعي عن النشاط.

فحص مخاطر القروض السريعة

يتيح القرض السريع اقتراض عملة مشفرة وسدادها ضمن معاملة بلوكشين ذرية واحدة.القرض في حد ذاته أداة مالية محايدة.يمكن للمهاجم استخدام رأس مال مؤقت للتلاعب بالأسعار أو الحوكمة أو السيولة أو المحاسبة إذا كان في البروتوكول ضعف آخر.قد يختبر الماسح ما إذا كان بالإمكان تغيير الحسابات المهمة بدرجة كبيرة ضمن معاملة واحدة.إن تصنيف كل استخدام لقرض سريع على أنه ضار سيؤدي إلى كثير من التحذيرات الكاذبة.السؤال الأهم هو ما إذا كان رأس المال المؤقت يستطيع خرق الافتراضات الاقتصادية للبروتوكول.

ثغرات منطق الأعمال

تحدث ثغرة منطق الأعمال عندما يمكن إساءة استخدام السلوك المالي المقصود للبروتوكول، حتى إن بدت فحوص البرمجة الأساسية صحيحة.

توضح إرشادات OWASP بشأن ثغرات منطق الأعمال الحالية أن الشيفرة الصحيحة على المستوى المنخفض قد تتيح مع ذلك سلوكًا اقتصاديًا غير مقصود.

قد تشمل الأمثلة حسابات مكافآت غير صحيحة أو المطالبة المتكررة أو المحاسبة الخاطئة للضمانات أو التفاعلات التي تخالف افتراضات المصممين.تُعد عيوب منطق الأعمال من أصعب المشكلات على الماسحات الآلية، لأن لكل بروتوكول DeFi قواعد اقتصادية مختلفة.تظل المراجعة البشرية والمواصفات الرسمية واختبارات الثوابت والتحليل الاقتصادي من منظور الخصم أمورًا مهمة.

فحص إعادة الدخول

تحدث إعادة الدخول عندما يتيح استدعاء خارجي لعقد آخر إعادة استدعاء العقد الأصلي قبل اكتمال العملية الأولى بأمان.قد يستخدم الاستدعاء المتكرر رصيدًا قديمًا أو حالة لم تكتمل بعد.يمكن للماسحات البحث عن استدعاءات خارجية تسبق تحديثات الحالة المهمة.قد تحدث إعادة الدخول الحديثة عبر الدوال والعقود والتوكنات ووحدات البروتوكول، لا من خلال عملية سحب متكررة واضحة واحدة فحسب.لا يثبت مانع إعادة الدخول البسيط أن كل تبعية للحالة بين العقود آمنة.

فحص ضوابط الوصول

تتيح ثغرات ضوابط الوصول لعنوان غير مصرح له تنفيذ إجراء مقيّد.قد يفحص الماسح ضوابط المالك وتعيينات الأدوار ودوال التهيئة وأذونات الترقية ودوال الطوارئ.قد يؤدي غياب التفويض إلى سك غير مصرح به أو سحب أو ترقية أو تغيير في المعلمات.تُعد عقود Proxy التي لم تُهيأ على نحو صحيح خطرة بوجه خاص، إذ قد يتمكن المهاجم من الاستيلاء على دور المسؤول.وقد يكون العقد مقيّدًا تقنيًا، بينما يتحكم في الدور المصرح به مفتاح خاص واحد غير آمن.

ماسحات الأسعار والسوق

يراقب ماسح سوق DeFi أسعار العملات المشفرة والسيولة وحجم التداول والتقلب واحتياطيات المجمعات ونشاط المعاملات.وقد ينبه المستخدمين إلى سحب مفاجئ للسيولة أو إنشاء توكنات غير معتاد أو تحركات كبيرة للمحافظ أو فروق أسعار شديدة.يمكن لماسحات السوق المساعدة في تحديد ظروف تستدعي مزيدًا من البحث.لكنها لا تستطيع تحديد ما إذا كان كل تحويل كبير عملية بيع أو حركة داخلية أو معاملة جسر أو تغييرًا في الحفظ أو عملية بروتوكول.ينبغي تفسير بيانات On-chain في سياقها الاقتصادي والتقني.

ماسحات الجسور

يفحص ماسح الجسور الأنظمة التي تنقل العملات المشفرة أو تمثلها عبر شبكات بلوكشين.وقد يقارن التوكنات المقفلة على الشبكة الأصلية بالتمثيلات الصادرة على الشبكة الوجهة.يمكن للماسح مراجعة مسؤولي الجسر والمدققين والتحقق من الرسائل وتأخيرات السحب وآليات الترقية وتفاوتات العرض.لا تثبت نسبة العرض واحدًا إلى واحد أن الأصول المقفلة لا تزال قابلة للاسترداد.يعتمد أمان الجسر أيضًا على شيفرة العقد وسلامة الموقّعين ونهائية الشبكة وضوابط الطوارئ.

ماسحات الحوكمة

يحلل ماسح الحوكمة المقترحات وقوة التصويت والمندوبين وفترات التأخير الزمنية وعقود التنفيذ وأذونات الخزانة.وقد يحذر عندما يتمكن عنوان واحد أو مجموعة منسقة من تمرير المقترحات دون مشاركة واسعة.قد يغير مقترح الحوكمة رسوم البروتوكول أو قواعد الضمانات أو أدوار المسؤولين أو عمليات تنفيذ العقود الذكية.قد يبدو المقترح الضار غير مؤذٍ في عنوانه، بينما ينفذ شيفرة خطرة.ينبغي فك ترميز محتوى المقترح بالكامل وأهداف التنفيذ قبل التصويت أو الاعتماد على ملخصه المعلن.

درجات المخاطر

تحوّل كثير من ماسحات DeFi النتائج المتعددة إلى درجة مخاطر واحدة.قد تسهل الدرجة فهم مراجعة معقدة بسرعة.لكنها قد تخفي الفروق المهمة بين المخاطر التقنية والاقتصادية ومخاطر الحوكمة والسيولة والمحافظ.قد يحصل توكنان على الدرجة نفسها رغم أن أحدهما يعاني ضعف السيولة والآخر لديه صلاحيات مسؤول خطرة.ينبغي للمستخدمين فتح النتائج الفردية بدلًا من الاعتماد على علامة خضراء أو صفراء أو حمراء فقط.لا ينبغي تفسير انخفاض درجة المخاطر الرقمية على أنه احتمال لعدم تعرض المستخدم للخسارة.

النتائج الإيجابية الكاذبة

تحدث النتيجة الإيجابية الكاذبة عندما يبلغ الماسح عن مشكلة لا يمكن استغلالها ضمن التصميم الكامل للبروتوكول.قد يبدو الاستدعاء الخارجي خطرًا، بينما يجعل ضابط منفصل إعادة الدخول مستحيلة.وقد تبدو دالة المسؤول مركزية، بينما توفر فترة تأخير طويلة وحوكمة موزعة حماية فعلية.قد تهدر النتائج الإيجابية الكاذبة وقت المطورين، لكن ينبغي عدم تجاهلها دون تحقيق.ينبغي مراجعة التحذير في سياق النظام بأكمله.

النتائج السلبية الكاذبة

تحدث النتيجة السلبية الكاذبة عندما يعجز الماسح عن تحديد ثغرة حقيقية.قد ينتج عدم ظهور التحذير عن شيفرة مصدرية غير مكتملة أو ميزات لغة غير مدعومة أو تصميم عقد غير مألوف أو هجوم حديث.غالبًا ما تتطلب الاستغلالات الاقتصادية عدة بروتوكولات وظروف سوق لا ينمذجها ماسح شيفرة منفرد.تعني نتيجة الفحص النظيفة فقط أن الماسح لم يجد مشكلات ضمن نطاق الكشف الخاص به.ولا تعني عدم وجود أي مشكلات.

مخاطر اللقطة الزمنية

يفحص ماسح DeFi عادةً حالة البلوكشين والبرمجيات في وقت محدد.قد يرقّي مسؤولو البروتوكول العقود لاحقًا أو يغيروا الرسوم أو يستبدلوا أوراكل أو يضيفوا ضمانات أو يمنحوا أدوارًا جديدة.وقد تتغير السيولة وتركيز الحائزين بسرعة أيضًا.ينبغي للمستخدمين التحقق من وقت إجراء الفحص وما إذا كان التنفيذ الخاضع للتحليل لا يزال نشطًا.تكون المراقبة المستمرة أنفع من الاعتماد إلى أجل غير مسمى على تقرير قديم واحد.

الماسح مقابل تدقيق العقد الذكي

يجري ماسح DeFi تحليلًا آليًا أو شبه آلي.أما تدقيق العقد الذكي فيشمل مراجعة متخصصين في الأمن للشيفرة والبنية والافتراضات ونتائج الاختبارات.يمكن للماسحات معالجة الأنماط المعروفة بسرعة واتساق.ويمكن للمدققين تحليل منطق الأعمال الخاص بالبروتوكول والتفاعلات التي قد تفوتها القواعد الآلية.مع ذلك، لا يضمن التدقيق أمان البروتوكول.قد تختلف الشيفرة المدققة عن الشيفرة المنشورة، وقد تؤدي الترقيات اللاحقة إلى نقاط ضعف جديدة.تستخدم برامج الأمن القوية الماسحات الآلية والتدقيق البشري والاختبارات والأساليب الرسمية والمراقبة وخطط الاستجابة للحوادث معًا.

الماسح مقابل مستكشف البلوكشين

ينظم مستكشف البلوكشين المعلومات العامة مثل العناوين والكتل والمعاملات والتوكنات وأحداث العقود.أما ماسح DeFi فيفسر تلك البيانات ويحاول تحديد المخاطر أو الأنماط غير المعتادة.قد يعرض المستكشف أن مسؤولًا غيّر رسمًا، بينما يصنف الماسح التغيير على أنه تحذير.تعتمد كلتا الأداتين على دقة بيانات البلوكشين.قد يكون تفسير الماسح خاطئًا حتى عندما تكون معلومات المعاملة الأساسية صحيحة.

الماسح مقابل متتبع المحفظة

يقدّر متتبع المحفظة أرصدة المحفظة ومراكزها عبر الأصول والبروتوكولات.يركز ماسح DeFi على المخاطر التقنية أو مخاطر الأذونات أو السوق أو الاحتيال.قد توفر واجهة واحدة وظائف تتبع المحفظة والفحص معًا.لا تثبت القيمة المعروضة للمحفظة إمكانية بيع الأصل أو سحبه بذلك المبلغ.قد تؤدي التوكنات عديمة القيمة أو المتلاعب بها إلى تقييمات مضللة للمحفظة.

كيفية استخدام ماسح DeFi بأمان

نزّل الماسح من مصدر رسمي موثوق.أدخل عنوان محفظة أو عقد عام يدويًا عندما لا تكون هناك حاجة إلى ربط المحفظة.تحقق من شبكة البلوكشين، إذ قد توجد عناوين وتوكنات متطابقة الشكل على شبكات متعددة.راجع النتائج الفردية بدلًا من الاكتفاء بالدرجة الإجمالية.قارن عنوان العقد الذي يفحصه الماسح بالعنوان المنشور في الوثائق الرسمية للبروتوكول.تحقق مما إذا كان العقد Proxy وما إذا كان التنفيذ قد تغير.استخدم طريقة تحليل ثانية للمعاملات ذات القيمة العالية.لا تفصح مطلقًا عن عبارة الاسترداد أو المفتاح الخاص لأي ماسح.

كيفية فحص توكن DeFi

تحقق من شبكة البلوكشين الدقيقة للتوكن وعنوان عقده.تحقق مما إذا كانت الشيفرة المصدرية متحققًا منها وما إذا كان البايت كود المنشور يطابقها.راجع دوال السك والحرق والإيقاف والقائمة السوداء والضرائب والملكية والترقية.افحص أكبر الحائزين وصنّف مجمعات السيولة والخزائن والجسور وعناوين الحرق على نحو صحيح.افحص عمق السيولة وما إذا كان بإمكان طرف واحد سحب معظمها.حاكِ الشراء والبيع معًا متى أمكن.تحقق مما إذا كان بإمكان المسؤولين تغيير شروط التحويل بعد الفحص.ابحث في الاستخدامات الفعلية والطلب، إذ قد يظل التوكن الذي يمكن بيعه تقنيًا عديم القيمة اقتصاديًا.

كيفية فحص محفظة

راجع السماحات الممنوحة للتوكنات على كل بلوكشين تستخدمه المحفظة.حدد الموافقات غير المحدودة والعقود التي لم تعد مطلوبة.تحقق من التفويض على مستوى الحساب وأذونات المحفظة الذكية إلى جانب سماحات التوكنات العادية.راجع التوقيعات والمعاملات الأخيرة بحثًا عن منفقين أو مستلمين غير متوقعين.افحص مراكز الضمان والقروض والجسور وتوكنات إيصالات التخزين بحثًا عن الاعتماد على البروتوكولات.لا تفترض أن المحفظة آمنة لمجرد عدم وجود تحويلات مشبوهة إذا لم تُستخدم عبارة الاسترداد المسروقة بعد.

كيفية فحص بروتوكول DeFi

حدد كل عقد يتحكم في الإيداعات والسحوبات والأسعار والحوكمة والترقيات وأصول الخزانة.تحقق من التنفيذ الحالي وراء كل Proxy.راجع عمليات التدقيق والشيفرة المصدرية والاختبارات وتقارير الأخطاء والحوادث الأمنية.افحص تصميم أوراكل وحدود الضمانات ومنطق التصفية والرسوم والقدرة على السحب وضوابط الطوارئ.تحقق مما إذا كان البروتوكول يعتمد على جسور أو توكنات إيصال خارجية أو سيولة بروتوكول آخر.ادرس تركّز السيطرة لدى المسؤولين والحوكمة.قارن الالتزامات بالأصول التي يستطيع المستخدمون سحبها فعليًا.

مؤشرات التحذير الشائعة في ماسحات DeFi

تؤدي الشيفرة المصدرية غير المتحقق منها إلى قدر كبير من عدم اليقين.قد يسمح Proxy غير مهيأ لمهاجم بالاستيلاء على صلاحيات التحكم.قد تؤدي صلاحية السك غير المحدودة إلى تخفيف حصص الحائزين بسرعة.قد تمنع ضريبة البيع القابلة للتعديل المستخدمين من الخروج.يؤدي تحكم مسؤول واحد في الترقيات وسحوبات الخزانة إلى تركّز مخاطر المفاتيح.تجعل السيولة المحدودة السعر المعروض غير موثوق للمعاملات الكبيرة.قد يؤدي أوراكل أسعار يستخدم مجمعًا واحدًا يسهل التلاعب به إلى مخاطر التصفية.تظل السماحات غير المحدودة للمحافظ خطرة بعد إغلاق مركز DeFi الأصلي.قد يؤدي تفويض EIP-7702 غير المعروف إلى تعريض الحساب بأكمله للخطر بدلًا من توكن واحد فقط.لا ينبغي لتقرير آلي نظيف، دون شيفرة متحقق منها أو منهجية موثقة، أن يمنح شعورًا بالثقة.

هل يستطيع ماسح DeFi كشف كل عمليات الاحتيال؟

لا يستطيع أي ماسح DeFi كشف كل عمليات الاحتيال.قد تعتمد عملية احتيال على الهندسة الاجتماعية بدلًا من شيفرة عقد ذكي ضارة.قد يُخترق موقع أو حساب مسؤول مشروع موثوق بعد الفحص.قد يتصرف المطورون بنزاهة عند الإطلاق ثم يسيئون استخدام صلاحيات الترقية لاحقًا.قد يصعب تحديد التلاعب بالسوق وملكية المحافظ المنسقة باستخدام البيانات العامة وحدها.يمكن للماسح تقليل عدم اليقين دون إزالته.

مخاطر التصيد الاحتيالي المرتبطة بماسحات DeFi

قد ينسخ المحتالون واجهة فحص شائعة ويعلنون عنها باعتبارها فحصًا مجانيًا لأمان المحافظ.قد تطلب الأداة المزيفة من المستخدم ربط محفظته وتوقيع موافقة ضارة.وقد تزعم أن الأصول معرضة لخطر فوري وأنه يجب نقلها إلى عنوان آمن.

توصي إرشادات CISA بشأن التصيد الاحتيالي بالتعامل بحذر مع الطلبات العاجلة والروابط غير المتوقعة وطلبات المعلومات الحساسة.

يمكن فحص عنوان عام دون كشف مفتاحه الخاص.لا يتطلب أي فحص أمني شرعي عبارة استرداد.

ما الذي ينبغي فعله بعد أن يكشف الماسح عن موافقة خطرة؟

تحقق من عنوان المنفق والموافقة على البلوكشين الصحيح.استخدم طريقة موثوقة لخفض السماحية إلى صفر عندما لا تعود مطلوبة.تحقق من تأكيد معاملة الإلغاء بنجاح.راجع موافقات التوكنات الأخرى، إذ قد يطلب موقع ضار واحد عدة أذونات.انقل الأصول إلى محفظة جديدة عندما يُحتمل اختراق المفتاح الخاص أو عبارة الاسترداد أو التفويض الواسع للحساب.احتفظ بهاشات المعاملات ولقطات الشاشة عند احتمال وقوع احتيال.

مزايا ماسح DeFi

يمكن للماسح تحليل كميات كبيرة من بيانات البلوكشين والعقود بسرعة.ويمكنه تسهيل ملاحظة المستخدمين غير التقنيين للمخاطر المعقدة.قد تحدد المراقبة الآلية ترقيات العقود وتغييرات الأذونات والمعاملات غير المعتادة وتحركات السيولة.يمكن للمطورين استخدام الفحص أثناء التطوير وقبل النشر.يمكن لمستخدمي المحافظ مراجعة الموافقات القديمة والتعرض للبروتوكولات.قد تدعم المنهجيات المفتوحة والنتائج القابلة لإعادة الإنتاج التحقق المستقل.

قيود ماسح DeFi

قد يصدر الماسح نتائج إيجابية كاذبة وسلبية كاذبة.وقد لا يفهم منطق الأعمال الفريد للبروتوكول.قد تصبح النتائج قديمة بعد الترقيات أو إجراءات الحوكمة أو تغييرات السيولة.قد تبسّط درجات المخاطر مشكلات مختلفة جدًا.قد لا تكون التوقيعات الخاصة وعبارات الاسترداد المسروقة ظاهرة على السلسلة قبل وقوع الهجوم.تحد الشيفرة المصدرية غير المتحقق منها من دقة التحليل.لا يستطيع الماسح ضمان الطلب الاستثماري أو الربحية أو السيولة أو نزاهة الإدارة.يظل المستخدمون مسؤولين عن فهم معاملات البلوكشين والموافقة عليها.

الأسئلة الشائعة

ما هو ماسح DeFi ببساطة؟

ماسح DeFi أداة تفحص عقود العملات المشفرة وتوكناتها ومحافظها ومعاملاتها وبروتوكولاتها بحثًا عن مخاطر محتملة.

هل ماسح DeFi هو بلوكشين؟

لا، بل هو أداة تحليل تقرأ المعلومات من بلوكشين واحد أو أكثر.

هل ماسح DeFi محفظة؟

لا، مع أن المحفظة قد تتضمن ميزات للفحص ومحاكاة المعاملات.

هل يحتاج ماسح DeFi إلى عبارة الاسترداد الخاصة بي؟

لا يحتاج أي ماسح شرعي إلى عبارة الاسترداد لتحليل بيانات البلوكشين العامة.

هل أحتاج إلى ربط محفظتي؟

ليس دائمًا، إذ يمكن إجراء كثير من عمليات الفحص بإدخال عنوان عام.

هل ربط المحفظة بماسح آمن؟

قد يكون آمنًا عندما تكون الأداة أصلية ولا تطلب سوى اتصال أساسي، لكن ينبغي مراجعة كل توقيع أو معاملة لاحقة.

هل يستطيع الماسح نقل عملاتي المشفرة؟

لا يستطيع الماسح نقل الأموال بمجرد قراءة عنوان عام، لكن قد تطلب أداة ضارة معاملة أو موافقة على الإنفاق.

هل يمكن لماسح DeFi كشف توكن احتيالي؟

يمكنه كشف مؤشرات تحذير، لكنه لا يستطيع إثبات أن كل توكن لم يصدر بشأنه تحذير شرعي.

هل يستطيع الماسح كشف Honeypot؟

قد يحاكي الشراء والبيع، لكن يمكن للعقد تغيير سلوكه أو التعامل مع عناوين الاختبار على نحو مختلف.

هل يستطيع الماسح كشف عملية سحب السيولة الاحتيالية (Rug Pull)؟

قد يحدد السيولة القابلة للسحب أو الملكية المركزة أو صلاحيات المسؤول الخطرة، لكنه لا يستطيع التنبؤ بكل قرار مستقبلي.

ما فحص العقد الذكي؟

هو تحليل آلي أو شبه آلي لشيفرة العقد والبايت كود والأذونات والسلوك.

ما التحليل الساكن؟

يفحص التحليل الساكن الشيفرة دون تنفيذها على حالة مباشرة للبلوكشين.

ما التحليل الديناميكي؟

ينفذ التحليل الديناميكي الشيفرة ضمن سيناريوهات خاضعة للرقابة ويرصد سلوكها.

ما اختبار Fuzz؟

يستخدم اختبار Fuzz مدخلات وتسلسلات معاملات مولدة كثيرة للبحث عن سلوك غير متوقع.

ما محاكاة المعاملات؟

تقدّر محاكاة المعاملات كيف قد تتغير الأرصدة والأذونات وحالة العقد إذا نُفذت معاملة مقترحة.

هل تضمن محاكاة المعاملات النتيجة؟

لا، فقد تتغير حالة البلوكشين الفعلية قبل معالجة المعاملة.

ما التحقق من الشيفرة المصدرية؟

يقارن الشيفرة المصدرية المجمعة ببايت كود البلوكشين المنشور للتأكد من تطابقهما.

هل تعني الشيفرة المصدرية المتحقق منها أن العقد آمن؟

لا، فقد تحتوي الشيفرة المتحقق منها على ثغرات أو دوال ضارة عمدًا.

هل يمكن أن يكون العقد غير المتحقق منه آمنًا؟

قد يكون آمنًا، لكن غياب الشيفرة المصدرية القابلة للتحقق يجعل المراجعة المستقلة أصعب.

ما درجة مخاطر DeFi؟

هي تقييم مبسط يجمع عدة نتائج تقنية أو متعلقة بالسوق أو الأذونات.

هل تضمن درجة الأمان المرتفعة أنني لن أخسر المال؟

لا، فالدرجة لا تضمن الأمان أو السيولة أو الطلب أو الربحية أو نزاهة الإدارة.

ما النتيجة الإيجابية الكاذبة؟

هي تحذير من الماسح لا يمثل مشكلة قابلة للاستغلال في النظام كاملًا.

ما النتيجة السلبية الكاذبة؟

تحدث عندما لا تُكتشف ثغرة حقيقية.

هل يستطيع الماسح كشف السك غير المحدود؟

قد يحدد دوال السك والأدوار المصرح لها عندما تكون الشيفرة والأذونات ذات الصلة ظاهرة.

هل يستطيع الماسح كشف ضرائب التوكن القابلة للتعديل؟

يمكنه تحديد الدوال التي تغير الرسوم، لكنه قد لا يتنبأ بموعد استخدام المسؤول لها أو بكيفيته.

هل يستطيع الماسح كشف سيولة التوكن؟

يمكنه قياس احتياطيات المجمعات وعمق السوق الظاهرين وقت التحليل.

هل تجعل السيولة المقفلة التوكن آمنًا؟

لا، فالسيولة المقفلة لا تمنع السك أو استغلال العقود أو قيود التحويل أو ضعف الطلب أو انهيار الأسعار.

ما تركّز الحائزين؟

يقيس تركّز الحائزين مقدار العرض الذي تتحكم فيه أكبر العناوين.

هل يمكن لشخص واحد التحكم في عدة محافظ؟

نعم، لذا قد يقلل توزيع العناوين من تقدير التركّز الحقيقي للملكية.

هل يستطيع الماسح كشف موافقات التوكنات؟

يمكنه قراءة السماحات النشطة على السلسلة للتوكنات والشبكات المدعومة.

هل يستطيع الماسح رؤية Permit غير موقّع أو خاص؟

لا، فقد يظل التوقيع المحتفظ به سرًا مخفيًا إلى أن يُرسل أو يُكشف بطريقة أخرى.

هل يؤدي فصل المحفظة إلى إلغاء الموافقات؟

لا، تظل سماحات التوكنات على السلسلة إلى أن تُلغى أو تُستخدم أو تنتهي وفق قواعدها المحددة.

ما فحص تفويض EIP-7702؟

يتحقق مما إذا كان حساب Ethereum قد فوّض سلوكه إلى شيفرة عقد ذكي ويحدد التنفيذ المعني.

لماذا يُعد تفويض الحساب مهمًا؟

قد تتمتع الشيفرة المفوضة بصلاحيات أوسع من سماحية توكن واحدة، ويمكنها تنفيذ التحويلات أو الموافقات أو التفاعلات مع التطبيقات بصفة الحساب.

هل يستطيع الماسح تحليل Proxy قابل للترقية؟

يمكنه تحديد هياكل Proxy المعروفة والتنفيذات الحالية، لكن الترقيات اللاحقة قد تغير النتيجة.

هل يمكن للماسح أن يحل محل تدقيق العقد الذكي؟

لا، إذ يوفر الفحص الآلي والتدقيق البشري نوعين مختلفين من التحليل وينبغي استخدامهما معًا.

هل يضمن التدقيق أمان البروتوكول؟

لا، فنطاق التدقيق محدود وقد يفوته اكتشاف مشكلات أو يصبح قديمًا بعد تغييرات الشيفرة.

هل يستطيع الماسح كشف التلاعب بأوراكل؟

قد يحدد مصادر الأسعار الضعيفة ويختبر سيناريوهات التلاعب، لكنه لا يستطيع التنبؤ بكل ظروف السوق المستقبلية.

هل يستطيع الماسح كشف هجمات القروض السريعة؟

يمكنه اختبار ما إذا كان رأس المال المؤقت يخل بافتراضات البروتوكول المعروفة، لكن القرض السريع بحد ذاته ليس ثغرة.

ما مخاطر منطق الأعمال؟

هي مخاطر استخدام شيفرة صحيحة بطريقة غير مقصودة تخل بالقواعد المالية للبروتوكول.

هل يستطيع الماسح تحليل الجسور العابرة للسلاسل؟

يمكنه مقارنة العرض والعقود والموقّعين والرسائل والضمانات، مع بقائه محدودًا بالعمليات المخفية خارج السلسلة.

هل يستطيع ماسح DeFi كشف التصيد الاحتيالي؟

قد يحذر من النطاقات أو المعاملات الضارة المعروفة، لكن مواقع تصيد جديدة قد تظهر قبل تحديث قواعد بيانات التحذير.

ماذا أفعل عندما يظهر الفحص تحذيرًا؟

اقرأ النتيجة الفردية، وتحقق بصورة مستقلة من العقد والبيانات، وتجنب المعاملة إذا لم تفهم المخاطر.

كم مرة ينبغي فحص محفظتي؟

ينبغي مراجعة أذونات المحفظة بانتظام وبعد استخدام بروتوكولات غير مألوفة أو توقيع طلبات غير معتادة.

هل ينبغي استخدام أكثر من ماسح؟

قد يكشف استخدام أساليب تحليل مختلفة نتائج تفوتها أداة واحدة.

ما الذي ينبغي التحقق منه قبل الوثوق بالماسح؟

تحقق من مصدره الرسمي ومنهجيته والشبكات التي يدعمها وحداثة البيانات وعناوين العقود والأذونات والقيود.

ما أكبر قيود ماسح DeFi؟

لا يستطيع فهم كل هجوم مستقبلي أو قرار بشري أو تفاعل اقتصادي أو اختراق خاص.

الخاتمة

ماسح DeFi أداة لتحليل العملات المشفرة تفحص العقود الذكية والتوكنات والمحافظ والمعاملات والسيولة والحوكمة واعتماد البروتوكولات على بعضها بحثًا عن مخاطر محتملة.تركز الماسحات المختلفة على ثغرات الشيفرة أو سلوك التوكنات أو أذونات المحافظ أو آثار المعاملات أو ظروف السوق أو الأنظمة العابرة للسلاسل.يوفر التحليل الساكن والتحليل الديناميكي واختبار Fuzz والتنفيذ الرمزي والتحقق من المصدر ومحاكاة المعاملات أنواعًا مختلفة من الأدلة.لا تستطيع أي طريقة واحدة تحديد كل نقاط الضعف التقنية أو الاقتصادية.تحسن الشيفرة المصدرية المتحقق منها الشفافية، لكنها لا تثبت أن العقد آمن.يمكن لماسحات التوكنات تحديد صلاحيات السك والضرائب القابلة للتعديل وقيود التحويل وتركيز الحائزين وضعف السيولة.يمكن لماسحات المحافظ كشف السماحات والتفويضات على السلسلة، لكنها قد لا ترى عبارات الاسترداد المسروقة أو التوقيعات المحفوظة سرًا قبل وقوع الهجوم.ينبغي للماسحات الحديثة تقييم الأذونات على مستوى الحساب، مثل تفويض EIP-7702، إلى جانب موافقات التوكنات العادية.تُعد درجات المخاطر ملخصات مفيدة، لكن ينبغي للمستخدمين قراءة النتائج الفردية وفهم منهجية الماسح.لا يضمن الفحص الإيجابي احتفاظ العملة المشفرة بالطلب أو السيولة أو الأمان أو القيمة السوقية.تكون ماسحات DeFi أكثر فاعلية عند استخدامها إلى جانب عمليات التدقيق المستقلة والعقود المتحقق منها والتوقيع الواضح والموافقات المحدودة والبحث في البروتوكول وتحديد أحجام مراكز تداول حذرة.القرار الأكثر أمانًا هو رفض أي معاملة أو عقد أو توكن لا يمكن فهم أذوناته وعواقبه المالية بوضوح.