ما المقصود بالتدقيق؟
التدقيق هو مراجعة مستقلة لمشروع تشفري (cryptoproject) للكشف عن الثغرات في الكود، التصميم، والعمليات قبل أن تتسبب في إيذاء المستخدمين. فكر فيه كفحص صحة الكود حيث يتفحص المحترفون ويدقون ويختبرون الأشياء. مثل فريق سباق قبل السباق، لكن هذا لصفقات العقود الذكية.
"التدقيق يضمن السلامة." هذا ليس صحيحاً. إنه يقلل المخاطر ويكشف الكثير، لكن لا يمكن لأي مراجعة أن تعد بالكمال. عاملها كتحري دقيق قوي، لا كدرع سحري.
كيف يعمل التدقيق
فيما يلي walkthrough سريع لمراجعة أمان نموذجية للعقود الذكية، من البداية حتى التقرير العام.
- النطاق: يتفق الفريق والمراجعون على الكود، الإعدادات، والافتراضات التي ستُفحص.
- المراجعة: أدوات تفحص المستودع، ثم البشر يراجعون سطراً بسطر للعثور على قضايا مثل ثغرات إعادة الدخول والانزلاقات المنطقية.
- الاختبار: يكتب المراجعون اختبارات، يجربون fuzzing، ويحاكون التدفقات الفعلية لاستثارة الحواف.
- التقارير: تُرص القضايا حسب شدة المخاطر، مع تصحيحات واضحة وأمثلة. يقوم الفريق بالتصحيح والتكرار.
- التحقق: يعيد المراجعون فحص الإصلاحات وينشرون تقريراً يمكنك قراءته فعلاً.
نعم، الأمر بسيط بتلك الدرجة وذو شمولية عند أداءه بشكل جيد.
لماذا يهم التدقيق
تهتم لأن المال يتحرك بسرعة الكود. يمكن أن يكون تدقيق حاد هو الفرق بين الإطلاق والفظيع.
- الفائدة: عيوب أقل، مفاجآت أقل، وبناء ثقة أعلى للمستخدمين والشركاء.
- المنظور: الهجمات تتراوح من فخاخ منطقية دقيقة إلى رفض الخدمة (DoS)، لذا فإن وجود عينين إضافيتين أمر ذكي.
- الصلة: سترى تقارير التدقيق حول إطلاق الرموز، إصدارات DeFi، الجسور، سك NFT، وترقيات DAO.
عند قراءة تقرير التدقيق، اذهب أولاً إلى قائمة “غير المحلول”. إذا بقيت بنود خطيرة، اسأل لماذا ومتى ستُصلح.
السمات الأساسية للتدقيق
ما الذي يجعل التدقيق القوي يبرز:
- مستقل: المراجعون منفصلون عن الفريق ويراهنون بسمعتهم على التقرير.
- شفاف: يتم توثيق النتائج بمستويات الشدة وأدلة مفاهيم وحلول.
- موقّت: يمكن أن يتغير الكود بعد الإصدار، لكن العديد من العقود ثابتة، لذا تحمل المراجعات قبل الإطلاق وزناً إضافياً.
- قابلة لإعادة التكرار: عملية جيدة تعني أن المشاريع المشابهة تتلقى فحوصات وتعمق اختبارات متسقة.
ال Variations
التدقيقات تأتي بعدة أنواع. اختر النوع الذي يناسب تكدستك ومخاطرك.
- الكود: يركز على العقود الذكية والمنطق على السلسلة.
- الأمن: نظرة أوسع على المفاتيح، البنية التحتية، النشر، ونماذج التهديد.
- الاقتصادية: مراجعة حوافز الرمز، افتراضات الأوراكل، ونظرية الألعاب.
- مستمر: فحص مستمر مع تنبيهات ومراجعات صغيرة دورية.
- داخلي: مراجعة يقودها الفريق قبل جلب مراجعين خارجيين.
التدقيق هو لقطـة زمنية. قد تعيد الالتزمات الجديدة إدخال قضايا قديمة مثل تجاوزات الأعداد الصحيحة، لذا فالمراجعات المعادة بعد التغييرات ذكية.
مثال
يتوقف بروتوكول الإقراض عن ميزة جديدة حتى يشير التدقيق إلى مسار تصفية عالي المخاطر، يقوم الفريق بتصحيحه، ويتحقق المراجعون من الإصلاح قبل الإطلاق.
معلومة ممتعة
كلمة تدقيق جاءت من اللاتينية audire، أي السمع، لأن فحوصات مبكرة كانت تُقرأ علناً للمسؤولين. اليوم ما زلنا نستمع، لكن لاختبار السجلات وتقارير الغاز أكثر من الخطب.
الختام
خلاصة سريعة: التدقيق هو فحص ما قبل الإقلاع للكود الذي يحرك المال. اعتبره كضرورة أساسية، ثم اطلق بثقة.