الإفصاح عن الثغرات الأمنية

ما هو الإفصاح عن الثغرات الأمنية؟

الإفصاح عن الثغرات الأمنية هو عملية الإبلاغ عن نقطة ضعف أمنية في البرامج أو العقود الذكية أو المحافظ أو البروتوكولات أو البنية التحتية أو تطبيقات Web3، والتحقق منها وإصلاحها والإعلان عنها علناً.

في الكريبتو، يكتسب الإفصاح عن الثغرات أهمية خاصة لأن خطأً واحداً قد يعرّض أموال المستخدمين وخزائن البروتوكولات والجسور والمدققين وعقود الحوكمة والمحافظ وNFT ومراكز DeFi للخطر.

تصف إرشادات NIST الفيدرالية للإفصاح عن الثغرات الأمنية الإفصاح عن الثغرات بأنه إطار للإبلاغ عن الإفصاحات المتعلقة بالثغرات وتقييمها وإدارتها.

ويصف برنامج CISA للإفصاح المنسق عن الثغرات الأمنية الإفصاح المنسق عن الثغرات بوصفه جزءاً من حماية البنية التحتية الحيوية وتحسين الأمن السيبراني.

ببساطة، يعني الإفصاح عن الثغرات إبلاغ الأشخاص المناسبين بخلل أمني قبل أن يتمكن المهاجمون من استغلاله أو قبل أن يتعرض المستخدمون لضرر يمكن تجنبه.

تمنح عملية الإفصاح الجيدة الباحثين الأمنيين مساراً آمناً للإبلاغ.

وتمنح فرق المشروع وقتاً لتأكيد المشكلة وإعداد إصلاح وحماية المستخدمين والتواصل بوضوح.

كما تمنح الجمهور معلومات كافية لفهم المخاطر بعد معالجة المشكلة.

لماذا يهم الإفصاح عن الثغرات الأمنية في الكريبتو؟

يهم الإفصاح عن الثغرات الأمنية في الكريبتو لأن أنظمة البلوكشين غالباً ما تدير قيمة مالية حقيقية مباشرة من خلال الكود.

قد يكشف خطأ في تطبيق ويب عادي بيانات أو يعطل الخدمة.

لكن خطأ في عقد ذكي قد يسمح بسرقة فورية للأصول، أو سك غير محدود، أو التلاعب بـ Oracle للأسعار، أو الاستيلاء على الحوكمة، أو استنزاف الجسر، أو إساءة استخدام التصفية، أو تجميد الأموال بشكل دائم.

تتتبع قاعدة بيانات DeFiLlama للاختراقات خسائر بمليارات الدولارات عبر اختراقات DeFi والجسور وإخفاقات منطق البروتوكولات واستغلالات كريبتو أخرى.

وهذا يوضح أن الإفصاح عن ثغرات الكريبتو ليس مجرد مجاملة تقنية.

بل هو عملية للأمان المالي.

عندما يبلغ باحث Whitehat عن خطأ بمسؤولية، قد يتمكن البروتوكول من إصلاح المشكلة قبل أن يكتشفها المهاجمون.

وعندما يتجاهل بروتوكول التقارير أو لا يملك قناة للإفصاح، فقد لا يعرف الباحثون أين يمكنهم الإبلاغ بأمان.

وعندما يحدث الإفصاح مبكراً جداً، قد يستغل المهاجمون نقطة الضعف قبل حماية المستخدمين.

وعندما يحدث الإفصاح متأخراً جداً، قد يستمر المستخدمون في التفاعل مع كود خطر من دون معرفة الخطر.

والهدف هو تقليل الضرر مع الحفاظ على الشفافية.

الإفصاح عن الثغرات مقابل الإفصاح المنسق عن الثغرات

الإفصاح عن الثغرات هو الفعل العام المتمثل في الإبلاغ عن خلل أمني والتواصل بشأنه.

أما الإفصاح المنسق عن الثغرات، الذي يختصر غالباً إلى CVD، فهو عملية منظمة يتعاون فيها الباحث والمورّد وفريق المشروع والأطراف المتضررة، وأحياناً منسق، قبل الإفصاح العلني.

يوضح دليل CERT للإفصاح المنسق عن الثغرات أن CVD عملية تضم المكتشفين والمبلّغين والمورّدين والمنسقين.

في Web3، قد يشمل الإفصاح المنسق باحثاً أمنياً، أو الفريق الأساسي للبروتوكول، أو موقّعين على محفظة متعددة التوقيع، أو مندوبين في DAO، أو مدققين، أو مطوري محافظ، أو مشغلي جسور، أو مزودي البنية التحتية، أو منصة مكافآت اكتشاف الثغرات.

والتنسيق مهم لأن أنظمة الكريبتو غالباً ما تكون قابلة للتركيب.

فقد تؤثر ثغرة في بروتوكول واحد في بروتوكولات أخرى تتكامل معه.

وقد يؤثر خطأ في مكتبة محفظة في تطبيقات عديدة.

وقد تؤثر ثغرة في جسر في الأصول عبر سلاسل متعددة.

ويجب أن تحدد عملية الإفصاح من يحتاج إلى المعرفة، ومتى يحتاج إليها، وكيف يمكن مشاركة المعلومات دون زيادة مخاطر الهجوم.

الإفصاح عن الثغرات مقابل مكافأة اكتشاف الثغرات

الإفصاح عن الثغرات ومكافأة اكتشاف الثغرات مرتبطان، لكنهما ليسا الشيء نفسه.

الإفصاح عن الثغرات هو عملية الإبلاغ عن نقطة ضعف أمنية ومعالجتها.

أما مكافأة اكتشاف الثغرات فهي برنامج مكافآت يدفع للباحثين مقابل تقارير الثغرات الصحيحة.

يمكن أن يكون لدى المشروع سياسة للإفصاح عن الثغرات من دون دفع مكافآت.

ويمكن أن يكون لديه أيضاً برنامج مكافآت اكتشاف الثغرات بنطاق صارم وقواعد للشدة ونطاقات للدفع ومتطلبات للإبلاغ وقيود على الإفصاح.

يوضح برنامج Ethereum Foundation لمكافآت اكتشاف الثغرات كيف تحدد منظومة بروتوكول رئيسية قنوات الإبلاغ والنطاق وتوقعات البحث الأمني.

قد تشجع مكافآت اكتشاف الثغرات الباحثين على الإبلاغ عن المشكلات بدلاً من بيعها سراً أو استغلالها.

لكن المكافأة لا تجعل المشروع آمناً تلقائياً.

إذ يظل المشروع بحاجة إلى الفرز والاستجابة الهندسية ونشر الإصلاح والتواصل مع المستخدمين والتخطيط للحوادث.

مكافأة اكتشاف الثغرات طبقة تحفيزية، بينما الإفصاح عن الثغرات هو سير عمل الأمان الكامل.

الإفصاح المسؤول مقابل الإفصاح الكامل

يعني الإفصاح المسؤول عادةً الإبلاغ الخاص عن ثغرة إلى الفريق المتضرر ومنحه وقتاً لإصلاحها قبل نشر التفاصيل علناً.

أما الإفصاح الكامل فيعني مشاركة تفاصيل الثغرة علناً، أحياناً فوراً وأحياناً بعد موعد نهائي.

في الكريبتو، قد يكون الإفصاح الكامل الفوري خطيراً للغاية إذا كان الخطأ يؤثر في عقود ذكية نشطة تحتوي أموال المستخدمين.

إذ يمكن للمهاجمين نسخ التقرير واستغلال البروتوكول قبل نشر الإصلاح.

لكن الإفصاح الخاص إلى أجل غير محدد قد يكون ضاراً أيضاً لأن المستخدمين قد يظلون معرضين للخطر بينما يؤخر المشروع اتخاذ إجراء.

ولهذا السبب، يستخدم الإفصاح المنسق غالباً جداول زمنية وقواعد للتصعيد وتوقعات للإفصاح العلني.

ينص مستودع Ethereum للإفصاحات العامة على أن Ethereum Foundation تهدف إلى الإفصاح العلني عن الأخطاء المبلّغ عنها من خلال برنامج مكافآت اكتشاف الثغرات خلال 90 يوماً، مع تعديل التوقيت عندما تتطلب الظروف ذلك.

يساعد الجدول الزمني الواضح على موازنة حماية المستخدمين وإنصاف الباحثين والشفافية العامة.

سياسة الإفصاح عن الثغرات الأمنية

توضح سياسة الإفصاح عن الثغرات للباحثين كيفية الإبلاغ عن المشكلات الأمنية بأمان.

وينبغي أن تشرح الأنظمة التي تقع ضمن النطاق.

وينبغي أن تشرح الاختبارات المسموح بها.

وينبغي أن تشرح الاختبارات المحظورة.

وينبغي أن تسرد قناة الإبلاغ الرسمية.

وينبغي أن تصف أوقات الاستجابة المتوقعة.

وينبغي أن تشرح بنود الملاذ الآمن، إن توفرت.

وينبغي أن تصف كيفية التعامل مع الإفصاح العلني.

وينبغي أن توضح ما إذا كانت المكافآت متاحة.

وينبغي أن تخبر الباحثين بكيفية حماية بيانات المستخدمين وتجنب الضرر.

تنص صفحة معيار ISO/IEC 29147:2018 على أن الإفصاح عن الثغرات يقدم متطلبات وتوصيات للمورّدين بشأن الإفصاح عن الثغرات في المنتجات والخدمات.

وبالنسبة لمشاريع الكريبتو، ينبغي أن تشرح سياسة الإفصاح أيضاً نطاق العقود الذكية والواجهة الأمامية وOracle والجسر والمحفظة والحوكمة وعمليات الطوارئ الخاصة بالخزانة.

Security.txt وقنوات الإبلاغ

غالباً ما يواجه الباحثون الأمنيون صعوبة في العثور على جهة الاتصال الصحيحة للإبلاغ عن ثغرة.

ولهذا يوجد security.txt.

يعرّف RFC 9116 security.txt بأنه تنسيق قابل للقراءة آلياً يساعد المؤسسات على وصف ممارساتها في الإفصاح عن الثغرات.

يمكن أن يسرد ملف security.txt معلومات الاتصال ومفاتيح التشفير وروابط السياسات وروابط التوظيف والإقرارات وتفضيلات الإفصاح.

وبالنسبة لمشاريع الكريبتو، يمكن أن يساعد security.txt باحثي Whitehat في العثور بسرعة على مسار الإبلاغ الصحيح.

وهذا مهم لأن كل ساعة قد تكون مهمة أثناء وجود خطر استغلال نشط.

لا ينبغي أن يجبر المشروع الباحثين على البحث في قنوات اجتماعية عشوائية، أو مراسلة المؤسسين مباشرة، أو تخمين عنوان البريد الإلكتروني الحقيقي.

تقلل قنوات الإبلاغ الواضحة من الالتباس وتحسن سرعة الاستجابة.

ينبغي لمشروع Web3 ذي القيمة الكبيرة المعرضة للخطر نشر جهة اتصال أمنية في الوثائق الرسمية وتذييل الموقع وسياسة الأمان في المستودع وملف security.txt.

ثغرات الكريبتو الشائعة التي تتطلب الإفصاح

قد يشمل الإفصاح عن ثغرات الكريبتو أنواعاً عديدة من نقاط الضعف.

قد تشمل أخطاء العقود الذكية إعادة الدخول، وفشل التحكم في الوصول، والتلاعب بـ Oracle للأسعار، والأخطاء الحسابية، وأخطاء منطق الأعمال، والاستدعاءات الخارجية غير المفحوصة، وعيوب قابلية الترقية.

يسرد OWASP Smart Contract Top 10 2026 مخاطر رئيسية للعقود الذكية في Web3، مثل ثغرات التحكم في الوصول، وثغرات منطق الأعمال، والتلاعب بـ Oracle للأسعار، وهجمات القروض السريعة، والاستدعاءات الخارجية غير المفحوصة، وإعادة الدخول، والفيض والنقصان في الأعداد الصحيحة، ومشكلات قابلية ترقية Proxy.

قد تشمل ثغرات المحفظة التوقيع غير الآمن، أو كشف عبارة الاسترداد، أو فشل محاكاة المعاملات، أو مطالبات dApp الخبيثة، أو تخزين المفاتيح غير الآمن.

وقد تشمل ثغرات الجسور اختراق المدققين، أو فشل التحقق من الرسائل، أو هجمات إعادة التشغيل، أو عدم كفاية فحوصات النهائية، أو نقاط ضعف الحفظ.

وقد تشمل ثغرات الواجهة الأمامية اختطاف DNS، أو حقن JavaScript خبيث، أو عناوين عقود مزيفة، أو تبعيات حزم مخترقة، أو تغييرات في واجهة المستخدم تستنزف المحفظة.

وقد تشمل ثغرات البنية التحتية أخطاء RPC، أو أخطاء المفهرس، أو مشكلات عميل المدقق، أو كشف API، أو إدارة المفاتيح الخاصة، أو إعدادات سحابية خاطئة.

تحدد برامج الإفصاح الجيدة أي هذه المشكلات تقع ضمن النطاق وكيف ينبغي الإبلاغ عنها.

الإفصاح عن ثغرات العقود الذكية

يتميز الإفصاح عن ثغرات العقود الذكية بحساسية خاصة لأن العقود الذكية قد تكون عامة وغير قابلة للتغيير ومرتبطة مباشرة بالأموال.

ينبغي للباحث الذي يعثر على خطأ في عقد ذكي تجنب استغلاله لتحقيق الربح.

وينبغي له تجنب نقل أموال المستخدمين ما لم يكن هناك ملاذ آمن أو عملية إنقاذ طارئة مصرح بها بوضوح.

وينبغي أن يجمع أدلة كافية لإثبات المشكلة دون التسبب في ضرر غير ضروري.

وينبغي لفريق البروتوكول الإقرار بالتقرير بسرعة.

وينبغي للفريق إعادة إنتاج المشكلة في بيئة آمنة.

وينبغي له تقييم العقود المتضررة والأموال المتضررة وعمليات التكامل ومسارات الترقية وضوابط الحوكمة.

وينبغي أن يقرر ما إذا كان سيتوقف مؤقتاً أو يرقّي أو يهاجر أو يبلغ جهات التكامل أو يتخذ إجراء طارئاً.

وبعد وضع الحماية، ينبغي للفريق نشر تقرير ما بعد الحادث أو تنبيه واضح عندما يكون ذلك آمناً.

ينبغي أن يكون الإفصاح عن العقود الذكية حذراً لأنه بمجرد أن تصبح تفاصيل الاستغلال علنية، يمكن للمهاجمين التحرك بسرعة.

منصات مكافآت اكتشاف الثغرات في Web3

تساعد منصات مكافآت اكتشاف الثغرات في إدارة طلبات الإبلاغ عن الثغرات والفرز والمكافآت وتقييم الشدة والتواصل مع الباحثين ونطاق البرنامج.

تصف منصة Immunefi نفسها بأنها تستخدم مجموعة بيانات كبيرة من استغلالات البلوكشين وتقارير الأخطاء والإصلاحات لدعم الدفاع الأمني على السلسلة.

وأفاد بحث Immunefi لعام 2026 حول ثغرات الكريبتو الحرجة بأن حصة كبيرة من الثغرات الحرجة بعد الإطلاق في الكريبتو كُشف عنها عبر منصتها.

يمكن لمنصة مكافآت اكتشاف الثغرات أن تساعد المشاريع على تلقي التقارير بطريقة منظمة.

كما يمكنها مساعدة الباحثين على فهم مكان التقديم وما هو المؤهل وكيف تُحسب المكافآت.

لكن المنصة لا تزيل المسؤولية عن فريق المشروع.

فالمشروع ما زال يحتاج إلى مهندسين ومالكي أمان وموقّعين للطوارئ ومراجعة قانونية وخطط للتواصل.

قد يؤدي صندوق استقبال للمكافآت دون قدرة على الاستجابة إلى إحباط الباحثين وزيادة مخاطر المستخدمين.

وينبغي لبرنامج مكافآت Web3 الجاد أن يتناسب مع القيمة المعرضة للخطر.

تقييم الشدة والأثر

يحدد تقييم الشدة مدى خطورة الثغرة.

في الكريبتو، ينبغي أن يركز تقييم الشدة على الأثر الواقعي، لا على الأناقة التقنية وحدها.

قد تسمح الثغرة الحرجة بسرقة مباشرة أو خسارة دائمة للأموال أو سك غير محدود أو الاستيلاء على الحوكمة أو اختراق الجسر أو خفض حصة المدقق أو إيقاف البروتوكول.

قد تتطلب المشكلة عالية الشدة شروطاً خاصة، لكنها تظل تهدد أموالاً كبيرة أو أذونات مهمة.

قد تؤدي المشكلة متوسطة الشدة إلى خسارة محدودة أو حجب الخدمة أو محاسبة غير صحيحة أو تصعيد صلاحيات مقيد.

وقد تكون المشكلة منخفضة الشدة نقطة ضعف طفيفة ذات أثر عملي محدود.

ينبغي لتقييم الشدة الجيد أن يأخذ في الحسبان الأصول المعرضة للخطر وتعقيد الاستغلال والصلاحيات المطلوبة والمستخدمين المتضررين وقابلية التركيب وقابلية الترقية وإمكان استغلال المهاجمين للمشكلة على السلسلة في معاملة واحدة.

وينبغي أن يأخذ تقييم الشدة أيضاً في الحسبان ما إذا كان الخطأ معروفاً بالفعل أو مستغلاً بالفعل أو ظاهراً في الكود العام.

يوضح برنامج الإفصاح القوي كيفية ربط الشدة بأولوية الاستجابة ونطاق المكافأة.

الجدول الزمني للإفصاح

يحدد الجدول الزمني للإفصاح متى يتم الإقرار بالتقارير، ومتى يحدث الفرز، ومتى يتوقع الإصلاح، ومتى قد يحدث الإفصاح العلني.

غالباً ما يستخدم الإفصاح عن البرمجيات التقليدية جداول زمنية مثل 60 أو 90 يوماً بحسب السياسة.

وقد تكون جداول الكريبتو الزمنية أقصر عندما تكون الأموال النشطة معرضة للخطر.

قد يتطلب استغلال عقد ذكي استجابة طارئة خلال دقائق أو ساعات.

وقد تتطلب ترقية بروتوكول إجراءً من محفظة متعددة التوقيع، أو تصويت حوكمة، أو تأخير Timelock، أو ترحيل السيولة، أو فترة سحب للمستخدمين.

وهذا يجعل الجداول الزمنية للإفصاح أكثر تعقيداً في Web3.

إذا حدث الإفصاح قبل انتهاء Timelock، فقد يستغل المهاجمون المشكلة المعروفة قبل تنفيذ الإصلاح.

وإذا تأخر الإفصاح مدة طويلة جداً، فقد يواصل المستخدمون الإيداع في عقود تحتوي ثغرات من دون علمهم.

توضح السياسة الجيدة الاستثناءات الطارئة وتوقعات حظر النشر وتحديثات الباحثين وقواعد الإفصاح العلني.

يقلل وضوح الجدول الزمني من النزاعات بين الباحثين والمشاريع.

باحثو Whitehat والملاذ الآمن

باحث Whitehat هو باحث أمني يهدف إلى المساعدة في حماية المستخدمين والأنظمة بدلاً من استغلالها بشكل خبيث.

في الكريبتو، يواجه باحثو Whitehat أحياناً خيارات صعبة أثناء الاستغلالات النشطة لأن الأموال على السلسلة يمكن استنزافها بسرعة.

قد تتطلب بعض الحالات إجراءات إنقاذ طارئة، لكن هذه الإجراءات قد تنطوي على مخاطر قانونية وأخلاقية إذا لم تكن مصرحاً بها بوضوح.

يصف إطار SEAL للملاذ الآمن لباحثي Whitehat إطاراً قانونياً وتقنياً يسمح للبروتوكولات بالتفويض المسبق لباحثي Whitehat للتدخل أثناء الاستغلالات النشطة وإنقاذ الأموال وإعادتها وفق قواعد محددة.

تساعد بنود الملاذ الآمن في تقليل عدم اليقين للباحثين الأخلاقيين.

كما تساعد البروتوكولات في تحديد إجراءات الطوارئ المسموح بها قبل وقوع الأزمة.

ومن دون ملاذ آمن، قد يواجه باحث Whitehat الذي ينقل الأموال لحماية المستخدمين مخاطر قانونية.

ومع ملاذ آمن واضح، يمكن للبروتوكول وضع الحدود وقواعد الإعادة ومتطلبات الإبلاغ والحماية القانونية مسبقاً.

المخاطر القانونية والأخلاقية

قد ينطوي الإفصاح عن الثغرات على مخاطر قانونية لكل من الباحثين والمشاريع.

قد ينتهك الباحث القوانين أو شروط الخدمة أو قواعد إساءة استخدام الحاسوب أو قواعد الخصوصية أو قواعد تجاوز الحماية إذا لم يكن الاختبار مصرحاً به.

وقد يخلق المشروع مخاطر عبر تهديد الباحثين أو تجاهل التقارير أو عدم تحذير المستخدمين أو سوء التعامل مع البيانات الشخصية.

ولهذا ينبغي أن تحدد سياسات الإفصاح الاختبارات المصرح بها بوضوح.

ينبغي للباحثين تجنب الاختبار المدمر وسرقة البيانات وحجب الخدمة والهندسة الاجتماعية ونقل الأموال الحقيقية ما لم يكن ذلك مصرحاً به صراحةً.

وينبغي لهم الإبلاغ بسرعة والإبقاء على الأدلة عند الحد الأدنى.

وينبغي للمشاريع الاستجابة باحترام وتجنب التعامل مع التقارير المقدمة بحسن نية باعتبارها هجمات.

ويضيف الكريبتو تعقيداً قانونياً إضافياً لأن الأموال يمكن أن تنتقل عبر الحدود وقد تخضع البروتوكولات لإدارة DAO أو مؤسسات.

لا يمكن لسياسة واضحة إزالة جميع المخاطر القانونية، لكنها قد تقلل الالتباس وتحسن الثقة.

ينبغي التخطيط للحماية القانونية لباحثي Whitehat قبل أن تصبح الثغرة حالة طوارئ.

الإفصاح لـ DAO

تحتاج DAO إلى عمليات خاصة للإفصاح عن الثغرات لأن اتخاذ القرار قد يكون علنياً وبطيئاً ومدفوعاً بالحوكمة.

يصف دليل Ethereum الرسمي حول DAO DAO بأنها منظمات أصلية للإنترنت يملكها الأعضاء ويديرونها جماعياً.

تُعد الحوكمة العلنية قيّمة، لكن النقاش العام حول ثغرة حرجة لم يُنشر لها إصلاح قد يكون خطيراً.

قد تحتاج DAO إلى مجلس أمان خاص أو محفظة طوارئ متعددة التوقيع أو لجنة مكافآت اكتشاف الثغرات أو مجموعة إفصاح محدودة الوصول.

يمكن لهذه المجموعة فرز التقارير الحساسة قبل النقاش العام الكامل.

ويمكن لـ DAO مع ذلك نشر تقارير ما بعد الحوادث وتقارير المساءلة بعد حماية المستخدمين.

والتحدي الأساسي هو موازنة الشفافية مع الأمان التشغيلي.

إذا تطلب كل إصلاح مقترحاً علنياً، فقد يستغل المهاجمون المشكلة قبل اكتمال الحوكمة.

وإذا كان كل إجراء طارئ سرياً، فقد يفقد المستخدمون الثقة.

تحدد DAO الناضجة صلاحيات الطوارئ وقواعد الإفصاح وواجبات الموقّعين وتوقعات التقارير العامة قبل الأزمة.

الإفصاح لبروتوكولات DeFi

تحتاج بروتوكولات DeFi إلى استجابة سريعة للإفصاح لأن الأصول يمكن استنزافها أو التلاعب بها مباشرة على السلسلة.

يوضح دليل Ethereum الرسمي حول DeFi أن التمويل اللامركزي يستخدم البلوكشين العامة والعقود الذكية لتقديم المنتجات والخدمات المالية.

قد تؤثر ثغرة في DeFi في مجمعات السيولة أو أسواق الإقراض أو حسابات الضمانات أو حصص الخزائن أو Oracle أو منطق التصفية أو محاسبة المكافآت أو عقود التخزين أو ضوابط الحوكمة.

وتجعل قابلية التركيب الأمر أصعب، لأن بروتوكولاً واحداً يحتوي ثغرة قد يتكامل مع بروتوكولات أخرى عديدة.

ينبغي لاستجابة الإفصاح في DeFi تحديد عمليات التكامل اللاحقة سريعاً.

وينبغي أن تقيم ما إذا كان يجب إيقاف الإيداعات مؤقتاً.

وينبغي أن تقرر ما إذا كان يلزم سحب طارئ أو ترقية عقد أو تغيير Oracle أو ترحيل السيولة.

وينبغي أن تنسق مع المدققين وشركاء الأمان حيثما أمكن.

وينبغي أن تتواصل بما يكفي لحماية المستخدمين من دون كشف تعليمات الاستغلال مبكراً جداً.

وبعد الإصلاح، ينبغي للبروتوكول شرح السبب الجذري وأثره في المستخدمين بوضوح.

الإفصاح للمحافظ وتطبيقات Web3

قد تضر ثغرات المحفظة وتطبيقات Web3 بالمستخدمين حتى عندما لا تكون العقود الذكية معطلة.

قد يعرض خطأ في المحفظة تفاصيل معاملة غير صحيحة.

وقد يوجه خطأ في واجهة dApp الأمامية المستخدمين إلى العقد الخطأ.

وقد يوافق خطأ اتصال المحفظة على السلسلة أو الطريقة الخطأ.

وقد يخفي خطأ في محاكاة المعاملة حركة خطرة للأصول.

وقد يكشف خطأ في امتداد المتصفح بيانات حساسة.

وقد تحقن تبعية مخترقة كوداً يستنزف المحفظة.

يوضح دليل Ethereum الرسمي حول الأمان أنه يجب على المستخدمين حماية الوصول إلى المحفظة والمفاتيح الخاصة وعبارات الاسترداد.

ينبغي التعامل مع الإفصاح عن ثغرات المحافظ بعناية شديدة لأن المستخدمين يعتمدون على واجهات المحافظ لفهم ما يوقعون عليه.

ينبغي أن يمتلك فريق المحفظة جهة اتصال أمنية واضحة وعملية تحديث سريعة وخطة للتواصل بشأن مخاطر التوقيع ونظاماً لتنبيه المستخدمين.

ولا ينبغي لتطبيق Web3 أن يفترض أن تدقيق العقود كافٍ إذا كانت الواجهة الأمامية قابلة للاختراق.

الإفصاح العلني وتقارير ما بعد الحادث

ينبغي أن يساعد الإفصاح العلني المستخدمين على فهم ما حدث وما تأثر وما تم إصلاحه وما الإجراء الذي يحتاجون إلى اتخاذه.

يوضح تقرير ما بعد الحادث الجيد نوع الثغرة.

ويوضح الجدول الزمني.

ويوضح العقود أو الأنظمة المتضررة.

ويوضح ما إذا كانت الأموال معرضة للخطر أو فُقدت.

ويوضح الإصلاح.

ويوضح ما ينبغي أن يفعله المستخدمون لاحقاً.

ويوضح ما سيحسنه الفريق.

ويُنسب الفضل للباحثين عند الاقتضاء وعندما يكون ذلك مسموحاً.

ويتجنب نشر تفاصيل جاهزة للاستغلال قبل حماية المستخدمين.

الإفصاح العلني مهم لأن مستخدمي الكريبتو يحتاجون غالباً إلى تقرير ما إذا كانوا سيسحبون أو يهاجرون أو يلغون الموافقات أو يحدثون المحافظ أو يتجنبون واجهة أمامية أو يراقبون عنواناً.

وقد يكون الصمت ضاراً لأنه يترك المستخدمين في حالة تخمين.

يبني الإفصاح الواضح الثقة حتى عندما تكون الثغرة خطيرة.

ما الذي ينبغي للباحثين تضمينه في التقرير؟

ينبغي أن يكون تقرير الثغرة القوي واضحاً وواقعياً وقابلاً لإعادة الإنتاج.

وينبغي أن يشمل المشروع المتضرر أو المكون أو العقد أو Commit أو نقطة النهاية أو إصدار المحفظة أو السلسلة أو العنوان.

وينبغي أن يصف الثغرة بلغة واضحة.

وينبغي أن يشرح الأثر.

وينبغي أن يتضمن خطوات إثبات المفهوم التي تتجنب إلحاق الضرر الحقيقي بالمستخدمين.

وينبغي أن يشمل السلوك المتوقع والسلوك الفعلي.

وينبغي أن يتضمن لقطات شاشة أو سجلات أو معاملات اختبار أو نتائج اختبار محلي أو مقتطفات من الكود عندما تكون مفيدة.

وينبغي أن يوضح ما إذا كانت الأموال معرضة للخطر.

وينبغي أن يوضح ما إذا كانت المشكلة تبدو قابلة للاستغلال على الشبكة الرئيسية (Mainnet).

وينبغي أن يتجنب الأسرار غير الضرورية وبيانات المستخدمين والاستغلال النشط.

يساعد التقرير الجيد الفريق على إعادة إنتاج المشكلة وإصلاحها بسرعة.

ما الذي ينبغي للمشاريع فعله بعد تلقي تقرير؟

ينبغي للمشروع الإقرار بالتقرير بسرعة.

وينبغي أن يعيّن مسؤولاً عن الأمان.

وينبغي أن يتحقق من ادعاءات الباحث في بيئة آمنة.

وينبغي أن يقيّم الشدة والأنظمة المتضررة.

وينبغي أن يحافظ على الأدلة.

وينبغي أن يتجنب النقاش العام قبل وجود خطة للحماية.

وينبغي أن يعد إصلاحاً أو تخفيفاً للمخاطر.

وينبغي أن ينسق مع جهات التكامل المتضررة عند الحاجة.

وينبغي أن يدفع المكافآت وفق سياسة المكافآت عند الاقتضاء.

وينبغي أن يتواصل مع الباحث باحترام.

وينبغي أن ينشر إفصاحاً أو تقرير ما بعد الحادث عندما تتم حماية المستخدمين.

المشروع الذي يتجاهل التقارير يخلق مخاطر للمستخدمين ويضر بالثقة مع الباحثين.

فوائد الإفصاح عن الثغرات الأمنية

الفائدة الأولى للإفصاح عن الثغرات هي حماية المستخدمين.

إذ يمكن إصلاح العيوب الأمنية قبل أن يستغلها المهاجمون.

الفائدة الثانية هي ثقة الباحثين.

يكون باحثو Whitehat أكثر ميلاً للإبلاغ عن المشكلات عندما تكون العملية واضحة وعادلة.

الفائدة الثالثة هي مرونة البروتوكول.

إذ تتعلم المشاريع من نقاط الضعف وتحسن بنية أمانها.

الفائدة الرابعة هي الشفافية.

إذ يمكن للمستخدمين فهم المخاطر الحقيقية بعد حل المشكلات.

الفائدة الخامسة هي أمان المنظومة.

يمكن للبروتوكولات المتكاملة والمحافظ ومزودي البنية التحتية التنسيق عندما تؤثر الثغرات في أنظمة متعددة.

الفائدة السادسة هي الوضوح القانوني.

تقلل السياسات وبنود الملاذ الآمن عدم اليقين للباحثين حسني النية.

الفائدة السابعة هي ثقافة أمان أفضل.

فالمشاريع التي ترحب بالتقارير تكون أكثر قابلية للتحسن المستمر.

مخاطر الإفصاح السيئ عن الثغرات الأمنية

الخطر الأول هو تسريع الاستغلال.

فالتفاصيل العلنية التي تُنشر مبكراً جداً قد تساعد المهاجمين على سرقة الأموال.

الخطر الثاني هو ضرر المستخدمين.

فالاستجابة المتأخرة قد تترك المستخدمين معرضين للخطر.

الخطر الثالث هو إحباط الباحثين.

فقد يتوقف الباحثون عن الإبلاغ إذا تجاهلتهم المشاريع أو هددتهم.

الخطر الرابع هو النزاع القانوني.

فالقواعد غير الواضحة قد تخلق نزاعات بين باحثي Whitehat وفرق المشروع.

الخطر الخامس هو الضرر بالسمعة.

قد يفقد المستخدمون الثقة إذا أخفى المشروع ثغرات خطيرة أو تواصل بصورة سيئة.

الخطر السادس هو الارتباك في الحوكمة.

قد تواجه DAO صعوبة في التصرف بسرعة إذا لم توجد عملية إفصاح طارئة.

الخطر السابع هو ضرر قابلية التركيب.

قد تنشر ثغرة في بروتوكول واحد المخاطر عبر عمليات التكامل قبل تحذير الآخرين.

مفاهيم خاطئة شائعة حول الإفصاح عن الثغرات الأمنية

أحد المفاهيم الخاطئة هو أن الإفصاح عن الثغرات يعني نشر تفاصيل الاستغلال فوراً.

غالباً ما يبدأ الإفصاح الجيد بشكل خاص حتى يتمكن الفريق المتضرر من حماية المستخدمين أولاً.

ومفهوم خاطئ آخر هو أن مكافأة اكتشاف الثغرات تعني تلقائياً أن المشروع آمن.

تساعد المكافأة على تلقي التقارير، لكنها لا تحل محل عمليات التدقيق والمراقبة والاختبار والاستجابة للحوادث.

والمفهوم الخاطئ الثالث هو أن كل نقل للأموال بواسطة Whitehat آمن.

يمكن أن يخلق نقل الأموال دون تصريح مخاطر قانونية وأخلاقية حتى عندما تكون النوايا حسنة.

والمفهوم الخاطئ الرابع هو أن العقود الذكية وحدها تحتاج إلى الإفصاح.

يمكن أن تحتوي المحافظ والواجهات الأمامية وAPI وأنظمة RPC والجسور وOracle والمدققون وأنظمة الحوكمة أيضاً على ثغرات خطيرة.

والمفهوم الخاطئ الخامس هو أن الإفصاح ينتهي بعد الإصلاح.

قد يظل المستخدمون بحاجة إلى تعليمات للترحيل أو إرشادات لإلغاء الموافقات أو تحديثات للمحفظة أو تفاصيل ما بعد الحادث.

والمفهوم الخاطئ السادس هو أن الشفافية العامة والتنسيق الخاص متضادان.

يمكن لعملية ناضجة أن تنسق سراً أولاً ثم تفصح علناً بعد وضع الحماية.

الإفصاح عن الثغرات الأمنية ببساطة

يعني الإفصاح عن الثغرات الأمنية الإبلاغ عن خطأ أمني بطريقة آمنة ومنظمة.

وفي الكريبتو، تحمي هذه العملية أموالاً حقيقية ومستخدمين حقيقيين.

يعثر الباحث على نقطة ضعف.

ويبلغ الباحث عنها عبر القناة الرسمية.

ويؤكد المشروع المشكلة.

ويصلح المشروع المشكلة أو يخففها.

ويتواصل المشروع مع المستخدمين عندما يكون ذلك آمناً.

إذا كان هناك برنامج مكافآت اكتشاف الثغرات، فقد يتلقى الباحث مكافأة.

وإذا كان هناك ملاذ آمن، فقد يتمتع الباحث بحماية قانونية أوضح للإجراءات حسنة النية.

وبالنسبة للمبتدئين، فإن القاعدة الأساسية بسيطة.

يساعد الإفصاح الجيد عن الثغرات على إصلاح الأخطاء قبل أن يحولها المهاجمون إلى خسائر.

الأسئلة الشائعة

ما هو الإفصاح عن الثغرات الأمنية؟

الإفصاح عن الثغرات الأمنية هو عملية الإبلاغ عن نقطة ضعف أمنية في البرامج أو العقود الذكية أو المحافظ أو البروتوكولات أو بنية Web3 التحتية، والتحقق منها وإصلاحها والتواصل بشأنها.

ما هو الإفصاح المنسق عن الثغرات الأمنية؟

الإفصاح المنسق عن الثغرات الأمنية هو عملية منظمة يتعاون فيها الباحثون والموردون وفرق المشاريع وأحياناً المنسقون قبل الإفصاح العلني.

لماذا يهم الإفصاح عن الثغرات في الكريبتو؟

لأنه قد يؤثر مباشرة في أموال المستخدمين وخزائن البروتوكولات والعقود الذكية والجسور والمحافظ وأنظمة الحوكمة.

هل الإفصاح عن الثغرات هو نفسه مكافأة اكتشاف الثغرات؟

لا، الإفصاح عن الثغرات هو عملية الإبلاغ والاستجابة، بينما مكافأة اكتشاف الثغرات برنامج مكافآت للتقارير الأمنية الصحيحة.

ماذا ينبغي أن يتضمن تقرير ثغرة كريبتو؟

ينبغي أن يتضمن الأنظمة المتضررة والأثر وخطوات إعادة الإنتاج وأدلة إثبات المفهوم وتفاصيل السلسلة أو العقد وتوصيات آمنة دون الإضرار بالمستخدمين.

هل ينبغي للباحثين الإفصاح علناً عن خطأ في عقد ذكي فوراً؟

عادة لا، لأن تفاصيل الاستغلال العلنية قد تساعد المهاجمين على سرقة الأموال قبل أن يتمكن المشروع من حماية المستخدمين.

ما هو الإفصاح المسؤول؟

يعني الإفصاح المسؤول عادةً الإبلاغ الخاص عن ثغرة ومنح الفريق المتضرر وقتاً لإصلاحها قبل نشر التفاصيل علناً.

ما هو الإفصاح الكامل؟

يعني الإفصاح الكامل مشاركة تفاصيل الثغرة علناً، إما فوراً أو بعد موعد نهائي.

ما هي سياسة الإفصاح عن الثغرات الأمنية؟

توضح سياسة الإفصاح عن الثغرات للباحثين ما يقع ضمن النطاق، وكيفية الإبلاغ عن المشكلات، والاختبارات المسموح بها، وكيفية التعامل مع الإفصاح.

ما هو security.txt؟

Security.txt هو تنسيق ملف موحد يساعد المؤسسات على نشر معلومات الاتصال للإبلاغ عن الثغرات وممارسات الإفصاح.

ما هو باحث Whitehat في الكريبتو؟

باحث Whitehat هو باحث أمني يحاول حماية المستخدمين والأنظمة عبر الإبلاغ عن الثغرات أو المساعدة في الدفاع المصرح به.

ما هو الملاذ الآمن؟

الملاذ الآمن هو لغة في سياسة أو قانون تمنح الباحثين حسني النية حماية أوضح عند اتباعهم القواعد المحددة.

هل يستطيع باحثو Whitehat نقل أموال البروتوكول أثناء استغلال؟

ينبغي لهم فعل ذلك فقط عندما يكون مصرحاً به بوضوح من خلال ملاذ آمن أو عملية طوارئ أو إذن صحيح آخر، لأن نقل الأموال دون تصريح قد يخلق مخاطر قانونية.

هل تحل عمليات تدقيق العقود الذكية محل الإفصاح عن الثغرات؟

لا، تقلل عمليات التدقيق المخاطر قبل النشر، بينما يعالج الإفصاح الثغرات التي تُكتشف بعد النشر أو خارج فترة التدقيق.

هل تحتاج DAO إلى سياسات للإفصاح عن الثغرات؟

نعم، تحتاج DAO إلى مسارات واضحة للإبلاغ الخاص وقواعد لصلاحيات الطوارئ وإجراءات للموقّعين وتوقعات للإفصاح العلني.

ماذا يحدث بعد إصلاح الثغرة؟

ينبغي للمشروع توضيح أثرها في المستخدمين، ونشر تقرير ما بعد الحادث أو تنبيه عندما يكون ذلك آمناً، ونسبة الفضل للباحثين عند الاقتضاء، وتحسين الضوابط.

هل يمكن أن يكون الإفصاح عن ثغرة عملية احتيال؟

نعم، قد يرسل المهاجمون تقارير مزيفة أو ملفات خبيثة أو رسائل ابتزاز أو روابط تصيد احتيالي، لذا ينبغي للمشاريع فرز التقارير بأمان.

ما أفضل عملية للإفصاح عن الثغرات لمشاريع Web3؟

تتضمن أفضل عملية قناة إبلاغ واضحة ونطاقاً محدداً وفرزاً سريعاً وتقييم الشدة وقواعد مكافآت اكتشاف الثغرات وبنود الملاذ الآمن والاستجابة للطوارئ وتقارير ما بعد الحوادث الشفافة.

الخلاصة

الإفصاح عن الثغرات الأمنية عملية أمان أساسية لقطاع الكريبتو.

فهو يمنح الباحثين طريقة آمنة للإبلاغ عن نقاط الضعف قبل أن يستغلها المهاجمون.

ويمنح فرق البروتوكولات مساراً منظماً لتأكيد المشكلات الأمنية وإصلاحها وتخفيفها والتواصل بشأنها.

كما يمنح المستخدمين حماية أكبر ومعلومات أفضل عن الأنظمة التي قد تحتفظ بأصولهم.

في Web3، يكون الإفصاح أكثر إلحاحاً منه في كثير من بيئات البرمجيات التقليدية لأن الكود الذي يحتوي ثغرات قد يتحكم مباشرة في أموال نشطة.

قد يتسبب خطأ في عقد ذكي أو عيب في جسر أو مشكلة في محفظة أو نقطة ضعف في Oracle أو خطأ في الحوكمة أو اختراق الواجهة الأمامية في خسائر جسيمة بسرعة كبيرة.

ولهذا تحتاج مشاريع الكريبتو إلى سياسات إفصاح واضحة وجهات اتصال أمنية وبرامج مكافآت اكتشاف الثغرات وسير عمل للفرز وخطط طوارئ وممارسات لتقارير ما بعد الحوادث.

كما تحتاج DAO وبروتوكولات DeFi إلى مسارات للتنسيق الخاص لأن الحوكمة العلنية بالكامل قد تكشف تفاصيل خطرة قبل أن تصبح الإصلاحات جاهزة.

ويحتاج باحثو Whitehat إلى قنوات إبلاغ آمنة ووضوح قانوني.

ويحتاج المستخدمون إلى تواصل صادق بعد تقليل المخاطر.

وتحتاج فرق الأمان إلى صلاحيات كافية للتصرف بسرعة.

الإفصاح عن الثغرات ليس علامة على ضعف المشروع.

بل هو علامة على أن المشروع ناضج بما يكفي للتعامل مع واقع الأمان.

ببساطة، لا تدعي أفضل مشاريع الكريبتو أن الثغرات لن تحدث أبداً.

بل تستعد لها، وترحب بالتقارير حسنة النية، وتصلح المشكلات بسرعة، وتفصح بوضوح عندما تتم حماية المستخدمين.