كيفية تقييم مخاطر مشروع Web3: قائمة مرجعية عملية للمستخدم
في Web3، غالبًا ما يحتفظ المستخدمون بمفاتيحهم الخاصة ويوقعون المعاملات مباشرة. لذلك فإن المراجعة المفيدة لا تبدأ بـ "كم يمكنني أن أكسب؟" ولكن مع: ما الذي أوقعه، وما هو الرمز الذي سيتمكن من الوصول إلى أصولي، ومن يمكنه تغيير القواعد؟
لا تستطيع أي قائمة تحقق إثبات أن المشروع آمن. والغرض منها كشف المجهول ومقارنة الادعاءات بأدلة قابلة للتحقق وتقليل الضرر المحتمل.
هذه المقالة لأغراض تعليمية فقط ولا تمثل نصيحة مالية أو استثمارية أو قانونية. قد تؤدي معاملات Web3 إلى خسارة الأصول المحوّلة بالكامل.
1. تحقّق من المصدر
- استخدم إشارة مرجعية محفوظة أو عنوان URL من قناة رسمية مؤكدة.
- تحقّق من كل حرف في اسم النطاق.
- تجنب توصيل المحفظة من خلال الإعلانات أو الرسائل غير المطلوبة أو نتائج البحث العشوائية.
- قارن عناوين العقود بين مواد المشروع الرسمية.
- لا تفصح أبدًا عن عبارة الاسترداد أو المفتاح الخاص.
إشارة التوقف: يطلب منك أحد المواقع "مزامنة" أو "التحقق من صحة" أو "استعادة" المحفظة عن طريق إدخال كلمات سرية.
2. تأكّد من الشبكة والأصل
قبل تحويل أي شيء، سجّل:
- الشبكة؛
- عنوان عقد الرمز؛
- عنوان المستلم أو العقد المستدعى؛
- المبلغ؛
- أصل دفع الرسوم؛
- الإجراء المقصود.
اسم مثل USDT لا يحدد الرمز المميز بشكل فريد. تحقق من عنوان عقد الرمز المميز الكامل. نفس الشيء 0x… يمكن استخدام تنسيق العنوان على شبكات EVM مختلفة، لكن الأصول والحالة تظل خاصة بالشبكة.
إشارة التوقف: يقدم المشروع شريطًا ولكنه لا ينشر عنوان الشبكة والرمز المميز.
3. افحص الشفرة المنشورة
في مستكشف الكتل:
- اعثر على العقد باستخدام العنوان الرسمي؛
- فحص التحقق من شفرة المصدر؛
- تحديد ما إذا كان proxy؛
- افتح التنفيذ الحالي؛
- قارن جميع العناوين بوثائق المشروع.
على BscScan، المطابقة التامة يعني أن معلمات المصدر والمنشئ المنشورة قد تمت مطابقتها مع الرمز الثانوي المنشور. يؤدي هذا إلى تحسين الشفافية ولكنه ليس تقييمًا أمنيًا.
إشارة التوقف: لم يتم نشر أي عنوان، ولم يتم التحقق من المصدر، ولا يزال المشروع يدعي "الشفافية الكاملة" دون توضيح.
4. افهم الصلاحيات الإدارية
ابحث عن أدوار ووظائف مثل:
- المالك والمسؤول والمشغل والقائم بالترقية؛
- الإيقاف المؤقت والاستئناف؛
- تغييرات الرسوم أو الحدود؛
- تغييرات العناوين المرتبطة؛
- سكّ الرموز؛
- سحب الأصول؛
- ترقيات التنفيذ؛
- حظر العناوين.
اسأل من يتحكم في هذه المفاتيح، وهل تُستخدم محفظة متعددة التوقيعات، وهل تخضع التغييرات لقفل زمني، وكيف يُبلَّغ المستخدمون. لا يعني التحكم المركزي الاحتيال تلقائيًا، لكنه اعتماد على جهات تحكم محددة.
إشارة التوقف: يحمل عنوان واحد صلاحيات حاسمة بينما يدعي المشروع أنه لا يمكن لأحد تغيير أي شيء.
5. اقرأ تقرير التدقيق قراءة صحيحة
تحقّق مما يلي:
- نشر المدقق التقرير؛
- المستودع و commit hash مذكوران؛
- العقد النشط مشمول في نطاق المراجعة؛
- يغطي التقرير التنفيذ الحالي؛
- ما زالت هناك نتائج لم تُحل؛
- أُعيد اختبار الإصلاحات؛
- استُبعدت مكونات مهمة.
التدقيق مراجعة مستقلة إضافية. ولا يمكنه اكتشاف كل عيب، كما أنه لا يغطي تلقائيًا الموقع أو إدارة المفاتيح أو نموذج العمل أو الترقيات المستقبلية.
إشارة التوقف: توجد شارة "مدققة" ولكن لا يوجد تقرير أو إصدار كود تمت مراجعته.
6. قارن طلبات المساعدة بالسلوك على الشبكة
افحص عدة معاملات بحثًا عن:
- الحالة؛
منوإلى / تفاعلت مع;- حركات BEP-20؛
- الاستدعاءات الداخلية؛
- السجلات؛
- الرسوم؛
- التغييرات في الأرصدة وحالة العقد.
قارن المسار الفعلي للأموال بالبنية المنشورة. لا تتوصل إلى نتيجة على مستوى النظام من معاملة توضيحية واحدة. النجاح يعني تنفيذ التعليمات البرمجية دون الرجوع؛ وهذا لا يعني أن العملية كانت آمنة أو مفيدة.
إشارة التوقف: تختلف تدفقات الأموال الملحوظة عن العملية المذكورة ولا يتم تقديم تفسير واضح.
7. افصل الأصول عن الالتزامات
الرصيد الظاهر للعنوان حقيقة واحدة فقط. اسأل:
- هل جميع العناوين ذات الصلة معلنة؛
- من يتحكم في الأصول؛
- هل يمكن سحبها؛
- ما الالتزامات القائمة تجاه المستخدمين الآخرين؛
- كيفية تحديد السعر الخارجي؛
- ما إذا كان الوصول يعتمد على جسر أو DEX أو oracle أو طرف مقابل.
لا يثبت الرصيد الكبير من الرموز وجود سيولة. فقد يكون لعدد كبير من الوحدات قيمة فعلية ضئيلة.
إشارة التوقف: يتم تقديم رصيد عنوان واحد كدليل على الملاءة دون الكشف عن الالتزامات أو حقوق السيطرة.
8. اشرح النموذج الاقتصادي بلغة واضحة
ابحث عن إجابات واضحة عن:
- مصدر أي دفعة؛
- من يدفع الرسوم؛
- ما الذي يحدث إذا لم ينضم مستخدمون جدد؛
- شروط الخروج وفترات الحجز؛
- مواضع احتمال حدوث الخسائر؛
- المعايير التي يستطيع المسؤولون تغييرها؛
- ما الذي يحرك سعر الرمز.
إذا اعتمدت النتيجة على الأسواق أو المشاركين الجدد أو السيولة أو قرارات الفريق، فيجب توضيح هذه التبعيات صراحةً.
إشارة التوقف: يتم الوعد بنتيجة ثابتة دون مصدر يمكن التحقق منه للأموال أو سيناريو الخسارة.
9. تحكّم في التوقيعات ومخصصات الرموز
قبل التأكيد، تحقّق مما تعرضه المحفظة:
- الشبكة؛
- العنوان المستدعى؛
- الدالة أو الإجراء المقروء؛
- قيمة الرمز الأصلي؛
- الرمز ومبلغ السماح؛
- التغييرات المتوقعة في الأصول.
ان الموافقة لا تقوم المكالمة بنقل الرمز المميز على الفور. ويجوز له أن يأذن لعقد منفق للاتصال نقل من حتى البدل. يزيد البدل غير المحدود من الخسارة المحتملة إذا كان المنفق معرضًا للخطر أو معيبًا.
ارفض التوقيع إذا كانت البيانات غير واضحة أو كان العنوان مختلفًا عن الذي فحصته. وبعد الاستخدام، راجع الأذونات التي لم تعد مطلوبة وألغها عبر أداة موثوقة.
إشارة التوقف: يتم الضغط عليك للتوقيع على بيانات غير قابلة للقراءة أو يتم إخبارك أن التوقيع "لا يفعل شيئًا".
10. أدرج المخاطر خارج الشبكة
حتى الشفرة التي خضعت لمراجعة جيدة لا تستطيع منع كل:
- اختراق الموقع أو DNS؛
- إضافة متصفح ضارة؛
- سرقة المفاتيح؛
- حساب مشروع مخترق؛
- عطل في النظام الخلفي؛
- هجوم هندسة اجتماعية؛
- قيد قانوني؛
- عطل في الدعم أو التشغيل.
راجع الوثائق وإجراءات الحوادث وقنوات الإشعار وسجل التغييرات. وقيّم الادعاءات القانونية استنادًا إلى الوثائق الفعلية وفي نطاق ولايتك القضائية.
11. قلّل الضرر المحتمل
حتى بعد إكمال المراجعة:
- ابدأ بأصغر مبلغ اختبار عملي؛
- استخدم محفظة منفصلة لتطبيقات dApps غير المألوفة؛
- لا تحتفظ بجميع الأصول في المحفظة المتصلة؛
- لا توقّع مطلقًا تحت ضغط الوقت؛
- احفظ معرّفات المعاملات والعناوين؛
- راجع صلاحيات إنفاق الرموز بانتظام؛
- حدّد حدًا أقصى للتعرض يمكن تحمّل خسارته بالكامل.
توصي إرشادات Solidity الأمنية الرسمية بتقييد مقدار الأصول المحتفظ بها في العقد؛ فإذا وُجد خطأ في الشفرة أو المصرّف أو المنصة، قد يحد تقليل التعرض من الخسارة.
قائمة التحقق قبل المعاملة
الإجابة نعم, لاأو غير معروف:
- تحققت من النطاق.
- أعرف الشبكة بدقة.
- تحققت من عنوان عقد الرمز.
- تحققت من عنوان العقد المستدعى.
- أعرف حالة توثيق الشفرة المصدرية.
- تحققت من عقد الوكيل والتنفيذ.
- أفهم صلاحيات المسؤول.
- يطابق التدقيق النسخة المنشورة حاليًا.
- فحصت معاملات فعلية.
- أفهم مصدر المدفوعات وسيناريوهات الخسارة.
- أفهم طلب التوقيع.
- المخصص محدود بقدر معقول.
- أخذت مخاطر الواجهة والمفاتيح والمخاطر القانونية في الحسبان.
- لا يمكن للمبلغ التجريبي إحداث ضرر بالغ.
بالنسبة لسؤال حاسم، غير معروف ليست إجابة محايدة، بل هي مخاطرة غير مقيمة. عادة ما يكون التوقف مؤقتًا للتحقق أرخص من المعاملة التي لا رجعة فيها.
أسئلة ينبغي للمستخدم الحذر طرحها
هل المشروع آمن إذا كان الكود الخاص به مفتوحًا ومدققًا؟
كلا. إنها إشارات مفيدة، ولكن الأخطاء والمخاطر الإدارية والتشغيلية والاقتصادية والخارجية غير المعروفة تظل قائمة.
إذا كانت الأصول مرئية على السلسلة، فهل يمكن إعادتها بالتأكيد؟
لا، تعتمد الإرجاع على الكود والحالة الحالية وحقوق التحكم والتبعيات الخارجية.
هل يثبت اختبار ناجح صغير أن صفقة أكبر ستنجح؟
لا، فهو يختبر مسارًا واحدًا في لحظة واحدة. قد تختلف الحدود والسيولة والحالة والتنفيذ لاحقًا.
ماذا لو لم أفهم التوقيع؟
رفض ذلك. حدد الوظيفة التي تسمى العنوان وتغييرات الأصول والأذونات قبل المحاولة مرة أخرى.
المصادر وقراءات إضافية
- توثيق الصلابة — اعتبارات الأمان
- موقع ايثريوم.org — أمان العقود الذكية
- موقع ايثريوم.org — اختبار العقود الذكية
- مركز المعلومات BscScan — عرض المعاملات
- مركز المعلومات BscScan — أنواع التحقق من العقود
- مركز المعلومات BscScan — ما العنوان؟
- مستندات OpenZeppelin — نمط ترقية عقد الوكيل
